VPN zwischen zwei Geräten

[VPNFrage]

Hallo,
ich habe zwei private Netzwerke. Diese sind über das VPN der FritzBoxen miteiannder verbunden. Wie bekannt ist, ist die Leistung da nicht der Hit. Ich möchte zwecks Datensicherung eine VPN-Verbindung aufbauen, die die Leitung auch ausreizen kann (100 MBit/s Download und 40 MBit/s Upload). Ich habe in jedem Netzwerk einen Windows Server stehen. Meine Idee war nun mit OpenVPN einen dauerhaften Tunnel zwischen beiden Servern aufzubauen. Das hatte ich vor 6-7 Jahren schon mal gemacht. Ist das heute immer noch das Mittel der Wahl?Meine FritzBoxen machen einfach nur 10 MBit/s oder so. Neue Hardware (als pfSense) möchte ich nicht besorgen. Wie habt ihr ggf. VPN-Lösungen im privaten Bereich aufgebaut?

 

[martinallnet]

Wenn beide Geräte keine feste IP haben, bietet sich da z. B. eher Tinc an.
Da braucht es aber einen Server, der eine extern erreichbare IP hat, den Rest handeln sich die Clients über den Server hinter dem NAT aus.

 

[till69]

Was für Fritzboxen? Die 7590 mit Laborfirmware 7.19 soll inzwischen deutlich schneller geworden sein.

Ansonsten OpenVPN oder Wireguard oder die Windows Server Onboard Lösung SSTP

 

[Bugg-Report]

Ich melde aus nahezu identischen Gründen auch Interesse an.

Nach meinem Verständnis einen/beide (?) Server als Exposés Host und eine neue eingehende Verbindung hier und eine neue ausgehende da. Aber ich hab die nie aktiv bekommen.

Shame on me.

 

[BFF]

Als maximum werden theoretische 40 Mbit/s moeglich sein. Eher weit mehr darunter.

BFF

 

[KillerCow]

Ist das heute immer noch das Mittel der Wahl?

Mittel der Wahl ist, das zu benutzen, was den Anforderungen entspricht und wo das know-how vorhanden ist. OpenVPN ist ok bei der Bandbreite. Richte es doch einfach mal ein und teste. Größtes "Problem" ist wahrscheinlich die Serverseite zu erreichen, wegen wechselnder IP, nehme ich an. Falls eine der beiden Seiten eine fest IP hat, sollte die Server spielen.

 

[martinallnet]

Ich verwende eigentlich fast nur noch Wireguard und Tinc.
Für leistungsschwächere Geräte ist Wireguard gut geeignet, das schafft selbst auf TP-Link Plasteroutern 30 - 40 Mbps.

 

[VPNFrage]

@martinallnet
Schaue ich mir mal an. Wireguard schaue ich auch mal rein.

@till69
Eine 7590 und eine 7490.

@BFF
Wieso weit darunter? So groß dürfte der Protokoll-Overhead eigl nicht sein. Und die 40 MBit/s liegen voll an.

@KillerCow
Mit OpenVPN habe ich früher sehr viel gemacht. Muss mich nur wieder einlesen. Aber probieren geht wohl wirklich über studieren.

 

[QwayZee]

Ich hänge mich mal ein. Suche auch eine schnellere, stabilere Alternative, die nicht mit dem Kauf von zusätzlicher Hardware verbunden ist.

Bei mir sieht es so aus:

Server <-------> FritzBox 7490 Büro <------> FritzBox 6591 @ Home


Damit wird DATEV genutzt und die Verbindung ist wirklich mies...

 

[KillerCow]

Ansonsten, falls du einfach nur Dateien kopierst, kannst du dir den VPN Overhead auch sparen und bspw. einfach mit ssh (scp, sftp) arbeiten.

 

[VPNFrage]

@KillerCow
Ja, das habe ich auch schon überlegt. Ich will einfach tägliche Backups von A nach B verschieben. Sind meistens nur 10 GB pro Tag und bei einem Vollbackup auch mal 300 GB. Wenn dann aber die Verbindung zusammen bricht, ist doof. Wobei ich muss das Backup einfach nur in kleinere Teile aufteilen. Das wird dann wohl auch nochmal eine Variante sein, die ich verfolge.

 

[MetalForLive]

Wechselnde IP ist doch gar kein Problem dank Dyndns z.B. noip.com hat auch einen Agent den man auf einem Windows Server installieren kann welcher alle 5 Minuten die IP checkt und ggf. aktualisiert.

Du kannst OpenVPN nutzen, sollte dafür in Ordnung sein.
Falls du die entsprechenden Ressourcen auf dem Windows Server hast, würde ich aber an deiner Stelle auf beiden Seiten Hyper-V aktivieren und eine PFsense oder kostenlose Sophos Firewall aufsetzen und darüber dann ein IPSEC VPN machen.
Musst dann nur auf den Fritzboxen eine statische Route für die entsprechenden Remote Netze auf die Firewall zeigen lassen welchen den Tunnel aufbaut und abfahrt.
Allerdings musst du auf der Fritzbox dann jegliche VPN funktionalität abschalten, weil sie sonst alle VPN Pakete abfängt weil sie denkt, sie wären für sie selbst bestimmt.
Zumindest hatte ich das Problem mal bei mir.

 

[Bugg-Report]

Weit drunter mag aber mehr als bisher sein ... 10MBit/s laut Opener.

 

[Wishbringer]

Die 7590 und auch die 6591 kann mit der 7.19 Firmware bei VPN arg beschleunigt werden.
Mit der 7490 wirst Du aber selbst mit 7.19 Labor keine Leistungssteigerung bekommen, da einfach die Hardwarefunktionen dafür nicht existieren.
Da ist bei voller CPU-Auslastung gerade mal 1-2 MByte/Sek. drin.

 

[VPNFrage]

@MetalForLive
DDNS wird auch jeweils über die FritzBoxen realisiert. Firewall über Hyper-V zu realisieren hatte ich auch mal angedacht. Aber ich die Server sind jeweils mit VeraCrypt verschlüsselt. Bei einem Neustart der Server greife ich via Intel AMT auf den Bootscreen zu und gebe das Passwort ein. Sollte dazu wohl sagen, dass die beiden Standorte, welche ich verbinde, nicht mein eigener Haushalt sind und ich noch von einem dritten Standort zugreife.
Ohne die Systemverschlüsselung ist das aber auch eine gute Lösung.

@Bugg-Report
Hast Du einen Link zu "Opener"? Beziehst Du dich auf die Performance von OpenVPN bei 40 MBit/s Upload?

@Wishbringer
Also falls die 7590 ausreichend Leistung bereitstellt, bin ich auch bereit die 7490 durch eine 7590 zu ersetzen. Aber dafür sollte es schon deutlich mehr werden an Leistung. Ich suche mal nach Benchmarks.

 

[KillerCow]

Wenn dann aber die Verbindung zusammen bricht, ist doof.

Ist bei nem VPN Tunnel doch aber dasselbe Problem!? Natürlich kann man da auch drauf aufbauen und rsync benutzen. Ist wie gesagt auch nur eine Idee, um der "Komplexität" mit einem VPN aus dem Weg zu gehen.

 

[VPNFrage]

Der VPN-Tunnel hat wohl wirklich dasselbe Problem. Auf jeden Fall danke für alle eure Beiträge. Ich werde mal die verschiedenen VPN-Lösungen, SFTP und Ähnliches durchprobieren und schaue, was sich am ehesten für mich eignet. Ich werde dann Bericht erstatten wenn ich ein Ergebnis habe. Ich muss halt mit der Lösung halbwegs sicher schlafen können (Sicherheit und Zuverlässigkeit).

EDIT//
https://www.ip-phone-forum.de/threads/fritz-box-7590-07-19-labor-serie.305074/page-4
"
Mit der Nutzung zeitgemäßer Kryptoverfahren in Verbindung mit der Software-Kryptologie der F!B wurde wohl deren Prozessor an die Leistungsgrenzen gebracht. Der von dir bemerkte Einbruch in der VPN-Bandbreite war die Ursache, dass ich mit meinen VPN (ein VPN-Dreieck zw. drei weit entfernten Endpunkten und auf jeden Endpunkt bis zu 10 Clients) jetzt auf Wireguard + RaspberryPi setze. Ergebnis: Ausnutzung des vollen Uplinks zwischen den Endpunkten und auch zu den verbundenen Clients. Getestet mit 10 bzw. fast 40 Mbit/s je nach DSV-Vertrag.
Ob die 7590 Hardware-Kryptologie mitbringt, wage ich zu bezweifeln. Es sollte wohl gesagt werden, "bei künftigen F!B-Versionen". Ich lasse mich aber gern belehren. "

Wireguard + RaspberryPi ist ggf. auch eine Option.

 

[Wishbringer]

Da Du auf das IP-Phone-Forum verweist...
Link zu Hinweis auf HWCrypto-Library bei 7590 in 7.19
https://www.ip-phone-forum.de/threads/unter-die-haube-geschaut-Änderungen-neuigkeiten-im-fritz-os-der-labor-reihe-07-19.305167/post-2351216

Der Chip der 7590 ist ein Intel Lantiq GRX550
https://www.intel.de/content/dam/ww...uct-briefs/anywan-soc-grx350-grx550-brief.pdf

Hardware acceleration for VPN/IPsec, TLS, storage, etc.

Hardware die es kann ist vorhanden, wurde bis zur aktuellen Labor aber nicht genutzt, erst in der sind nun die entsprechenden Libraries enthalten.

inzwischen gibt es diese "rc.hwcrypto" auch (die 74093 hatte sie noch nicht, obwohl die Aufruf-Zeile schon vorhanden war ... )

Aktueller Build bei der 7590 Labor 7.19 ist: 77569

 

[Avenger84]

ich hab was du vor hast seit bald 1 Jahr mit Wireguard gelöst.
Zuhause am Raspberry und in der Arbeit mit HyperV (Ubuntu).

Der Tunnel steht immer zu 100%, Datensicherung klappt einwandfrei.

40MBit/s bzw. andere Seite 90 MBit/s schaffe ich immer.

 

[martinallnet]

Stimmt, für den Zweck könnte rsync durchaus ausreichend sein.