VPN über Mobilfunk

[infoholicer]

Hallo zusammen,

wir haben hier im Betrieb einen Lancom R883VAW Router stehen und würden gerne von außen mobil auf das Firmennetz zugreifen. Habe jeweils eine VPN auf einem Android und einem Apple-Gerät eingerichtet. In einem fremden WLAN funktioniert das auch problemlos. Im Mobilfunk wird die VPN zwar hergestellt, jedoch scheint es, dass keinerlei Daten fließen (bei Android und Apple). Alle Geräte wählen sich mit IPv4 ins Netz ein (habe das mal gecheckt, da auf anderen Seite das als mögliches Problem genannt wurde). Weiß jemand wo das Problem liegen könnten?

Gibt es für die VPN-Verbindung von einem Windowsrechner zum Lancom über eine VPN eine kostengünstige/freie Alternativen zum offiziellen Lancom-Client? Möchte ungern pro Lizenz 100€ ausgeben.
Habe den Shrew Soft VPN Client probiert, konnte aber keine Verbindung aufbauen.

Grüße

 

[till69]

Welches Netz? o2?

 

[Sir_Sascha]

Vielleicht blockiert der Provider da etwas bei dir. Welchen Provider nutzt du denn?

 

[infoholicer]

Welches Netz? o2?

Vodafone und Telekom

 

[till69]

Lancom scheint IPSec zu verwenden, dass heißt UDP Ports 500/4500 dürfen nicht geblockt sein. ... und IP-Protokol ESP sofern kein NAT-T verwendet wird.

https://www.lancom-systems.de/docs/LCOS/referenzhandbuch/topics/aa1175697.html

"Den Schalter zur Aktivierung von NAT-T finden Sie in LANconfig im Konfigurationsbereich 'VPN' auf der Registerkarte 'Allgemein'. "

 

[oberstkhan]

Gibt es für die VPN-Verbindung von einem Windowsrechner zum Lancom über eine VPN eine kostengünstige/freie Alternativen zum offiziellen Lancom-Client? Möchte ungern pro Lizenz 100€ ausgeben.
Habe den Shrew Soft VPN Client probiert, konnte aber keine Verbindung aufbauen.

Haben auch ne Lancom Kiste im Büro, ein Kollege hat es geschafft mit dem Shrewsoft Client ne Verbindung aufzubauen aber frag mich nicht wie...

 

[nitech]

Je nach Mobilnetz kann das evt. aktive doppelte NAT (du bekommst mit deinem Smartphone eine interne IP deines Netzbetreibers welche dann mit mehreren anderen eine öffentliche IP sich teilt) Probleme machen.
Es scheint dass die VPN-Verbindung aufgebaut ist, aber es geht nichtmal ein ping durch. Habe da auch leider keine Lösung gefunden außer mit dem Mobilfunkbetreiber auszuhandeln dass man direkt eine öffentliche IP bekommt (bei Businessverträgen sollte das gehen). Oder alternative einen Router der SSL-VPN kann, da hatten wir nie Probleme.
mfg

 

[Legolas]

Nutzt Du den Lancom VPN Client oder was anderes? Mit dem Lancom Client hatte ich noch nie Probleme.

 

[eigs]

Lancom scheint IPSec zu verwenden

Unterstützt aber auch PPTP das wegen GRE in vielen Netzwerken meiner Erfahrung nach nicht funktioniert.

Dieser Router unterstützt aber auch IPSec over HTTPS. Damit kann man über TCP 443 verbinden.

 

[infoholicer]

Haben auch ne Lancom Kiste im Büro, ein Kollege hat es geschafft mit dem Shrewsoft Client ne Verbindung aufzubauen aber frag mich nicht wie...

Wie?

Ergänzung (19. März 2019)

Lancom scheint IPSec zu verwenden, dass heißt UDP Ports 500/4500 dürfen nicht geblockt sein. ... und IP-Protokol ESP sofern kein NAT-T verwendet wird.

https://www.lancom-systems.de/docs/LCOS/referenzhandbuch/topics/aa1175697.html

"Den Schalter zur Aktivierung von NAT-T finden Sie in LANconfig im Konfigurationsbereich 'VPN' auf der Registerkarte 'Allgemein'. "

Ob die Ports freigegeben sind kann ich nicht genau sagen. In den Firewall Einstellungen gibts es war Listeneinträge für die VPNs, die Ports an sich werden darin aber nicht aufgeführt. Die VPN hab ich nach Apple und Android eingerichtet. Habe NAT-T nun eingeschaltet und siehe da, es funktioniert zumindest auf Android (Apple muss ich noch testen). Danke!

 

[till69]

Gerne doch

Kann sein, dass es bei o2 trotzdem nicht geht, die sperren gerne mal Ports 500/4500

 

[snaxilian]

Unterstützt aber auch PPTP das wegen GRE in vielen Netzwerken meiner Erfahrung nach nicht funktioniert.

Dann kannst auch VPN gleich sein lassen, PPTP gilt schon seit ein paar Jahren als nicht mehr sicher bzw. geknackt.

 

[carnival55]

Mir fällt noch was ein, was ich mal erlebt habe beim VPN einrichten:
- Mit UDP hat es nicht geklappt, nach dem Umstellen auf TCP gings mobil.
Es war iirc OpenVPN.
Ist vielleicht einen Versuch wert.

 

[infoholicer]

Nutzt Du den Lancom VPN Client oder was anderes? Mit dem Lancom Client hatte ich noch nie Probleme.

Den Lancom VPN Client habe ich noch nicht ausprobiert. Bin eig nicht bereit pro Lizenz, auch wenn das bei uns bis jetzt nur 2 wären, 100 € hinzulegen.

 

[infoholicer]

Anbei die Lösung zum Aufbauen der VPN über den Shrew soft VPN Client.

Die muster.text umbenennen in muster.vpn!!

 

[Olunixus]

@infoholicer Danke das du dir die Mühe für ne Anleitung machst. Aber als .docx wird sowas bei mir auf keinen Fall runter geladen. Wäre cool wenn du die Anleitung einfach hier ins Forum schreiben würdest. Das funktioniert echt gut, auch mit Bildern. Und die Config aus dem .txt kannst du ja hier in eine Code-Umgebung packen, dann kann man das auch sehr einfach kopieren Dann finden auch andere Leute die via Google hier her stolpern die Lösung

 

[snaxilian]

Ein docx ist ja erst einmal nicht gefährlich solange man nicht Makros blind aktiviert hat und die Ausführung erlaubt Ansonsten kannst ein docx auch mit einem Entpacker auf machen und findest dann darin die ein oder andere XML mit Format des Textes, Inhalt etc

 

[Cinderella22]

Gerne doch

Kann sein, dass es bei o2 trotzdem nicht geht, die sperren gerne mal Ports 500/4500

Baue meine VPN nach Hause ebenfalls über Lancom und Android / o2 auf - läuft bisher ohne Probleme

Dementsprechend denke ich nicht, dass o2 da etwas blockt

 

[infoholicer]

So nachfolgen direkt die Anleitung zum Einrichten einer VPN über den Shrew Soft VPN Client und einem Lancom Router. Möglicherweise zu ausführlich (aber lieber so, als das dann nachher ein Detail fehlt).

Die Lösung für das Mobilfunkproblem ist ganz unten nochmal beschrieben.

Firmwareversion des Routers ist die 10.20.0798.

Im Programm LANconfig (kostenlos verfügbar im Internet) den Setup-Assistenten starten.

• „Name (VPN)“ wählen
• Bei "Adresse dieses Routers" die externe IP des Routers eintragen

• Speicherort für .ini-Datei auswählen

• .ini Datei mit dem Editor öffnen und die Werte „IkeIdStr“ und „Secret“ auslesen

Den nachfolgenden Code in einen Editor packen und als "muster.vpn" abspeichern.

n:version:4
n:network-ike-port:500
n:network-mtu-size:1380
n:client-addr-auto:1
n:network-natt-port:4500
n:network-natt-rate:15
n:network-frag-size:540
n:network-dpd-enable:1
n:client-banner-enable:1
n:network-notify-enable:1
n:client-dns-used:1
n:client-dns-auto:1
n:client-dns-suffix-auto:1
n:client-splitdns-used:1
n:client-splitdns-auto:1
n:client-wins-used:1
n:client-wins-auto:1
n:phase1-dhgroup:2
n:phase1-keylen:256
n:phase1-life-secs:86400
n:phase1-life-kbytes:0
n:vendor-chkpt-enable:0
n:phase2-keylen:256
n:phase2-life-secs:3600
n:phase2-life-kbytes:0
n:policy-nailed:0
n:policy-list-auto:1
s:network-host:172.217.18.163
s:client-auto-mode:pull
s:client-iface:virtual
s:network-natt-mode:enable
s:network-frag-mode:enable
s:auth-method:mutual-psk
s:ident-client-type:ufqdn
s:ident-server-type:ufqdn
s:ident-client-data:VPN_CB@intern
s:ident-server-data:VPN_CB@intern
b:auth-mutual-psk:cXdlc3dzMQ==
s:phase1-exchange:aggressive
s:phase1-cipher:aes
s:phase1-hash:sha1
s:phase2-transform:esp-aes
s:phase2-hmac:sha1
s:ipcomp-transform:disabled
n:phase2-pfsgroup:14
s:policy-level:auto

• Shrew Soft VPN Client Version Build2.2.2 öffnen und Beispieldatei „muster.vpn“ importieren (Downloadseite: https://www.shrew.net/download/vpn) und anschließend auf "Modify"

• Bei "Host Name or IP-Adress" die externe IP des Routers eintragen

• Jeweils die Einträge „UFQDN String“ unter den Registerkarten „Local Identity“ und „Remote Identity“ abändern auf den Wert „IkeIdStr“ aus der .ini Datei

• Eintrag „Pre Shared Key“ abändern auf den Wert „Secret“ aus der .ini Datei (siehe 7.)
• Jetzt versuchen die VPN aufzubauen, die nachfolgenden Punkte nur, wenn es nicht funktioniert.

• Ein Fehler bei mir war, dass in vielen Foren bei „PFS Exchange“ der Wert „group 2“ vorgeschlagen wurde. Mein Lancom hat allerdings automatisch „group 14“ eingetragen. Fehlermeldung im Log des Routers „no proposal choosen“. Habe den Wert wie im Bild angepasst. Vielleicht nimmt ein anderer Router hier eine andere Standardeinstellung. Einstellung ist im Router hier zu finden:
• Lanconfig->Router konfigurieren->VPN->IKE/IPSec->Verbindungs-Paramater->Verbindung auswählen-> Wert "PFS-Gruppe" (siehe die nächsten 2 Bilder)

• Damit die VPN im Mobilfunknetz und auch über den Shrew Soft VPN Clienten lief, musste ich hier noch NAT-Traversal einschalten.