Gelöst
Digitalisierungsbox hinter FritzBox per VPN Site to Site
vor 5 Jahren
Guten Tag,
ich habe folgendes Szenario:
- Büroanschluss mit Digitalisierungbox Premium ("Firmenbox") direkt am Telekomanschluss als normaler Router.
- Privatanschluss bei einem Kabelkanbieter (mit öffentlicher IPv4 Adresse) und einer FritzBox als Router
- Für das Büro zuhause hinter der FritzBox eine Digitalisierungsbox Premium ("Privatbox"), die eine Netztrennung zum Privatnetz erstellen soll und dann dauerhaft per VPN im Firmennetz eingewählt sein soll. Die Privatbox habe ich gerade erst ausgepackt, es gibt bis auf die Internetverbindung per "externes Gateway/Kabelmodel" keine weiteren Einstellungen
- Surfen etc. geht problemlos über die Privatbox
Die Digitalisierungboxen habe ich nach diesem Video eingerichtet:
https://digitalisierungsbox.bintec-elmeg.com/vpn-site-to-site-zwischen-zwei-digitalisierungsboxen/
In der FritzBox habe ich die Privatbox als Exposed Host angegeben, testweise habe ich auch mal eine ganz normale Weiterleitung auf einen Rechner mit offenem Port 80 gemacht, das funktioniert (IP stimmt also).
Beim Verbindungsaufbau steht in der Oberfläche beider Digitalisierungsboxen als Status "Phase 1 aktiv".
Diesen Thread habe ich schon bearbeitet, trotz der für die Digitalisierungsbox angegeben Einstellungen ist das Ergebnis unverändert:
Portweiterleitungen gibt es auf den beiden Digitalisierungsboxen keine, an den Firewalleinstellungen wurde meines Wissens auch nichts geändert
Nun zur eigentlich Fragen:
Wo kann ich Logs finden mit denen eine nähere Eingrenzung des Fehlers möglich ist? Oder gibt es noch andere Aspekte, die ich übersehen habe?
Im Anhang ein paar Screenshots
Vielen Dank
iuv
1099
20
Das könnte Sie auch interessieren
Kaufberatung
Sie benötigen eine persönliche Kaufberatung? Das Geschäftskundenteam der Telekom berät Sie gerne.
Angebote anzeigen
Informieren Sie sich über unsere aktuellen Internet-Angebote.
vor 5 Jahren
@iuv
Was für eine Fritzbox hast du (gekauft oder gemietet)? Bei welchem Anbieter?
Bei Vodafone Kabel Deutschland mit einer gekauften Fritzbox oder bei Vodafone West mit einer gemieteten Fritzbox gäbe es eine einfache Lösung.
1
Antwort
von
vor 5 Jahren
@Maximilia Vielen Dank für die schnelle Antwort.
Ich habe hier in meiner Testumgebung eine 6490 Cable, im Realbetrieb soll das unter der 6591 laufen. Beides sind Leihgeräte von Vodafone Kabel Deutschland.
Uneingeloggter Nutzer
Antwort
von
vor 5 Jahren
Hallo @iuv ,
Warum die DB als Exposed Host?
Die udp Ports 500 und 4500 würden ausreichen.
VPN auf der FB ist nicht aktiv?
3
Antwort
von
vor 5 Jahren
Moin,
@wari1957: Nein, VPN ist auf der FB nicht aktiv. Exposed Host der Einfachheit halber. Habe jetzt die beiden Ports explizit freigegeben, hat aber leider keinen Unterschied gemacht.
Antwort
von
vor 5 Jahren
@iuv
Siehst du unter Home -> Mehr anzeigen -> Monitoring Internes Protokoll im Subsystem IPSec Meldungen?
Antwort
von
vor 5 Jahren
@iuv
Hast du am KDG Anschluss eine feste IP, die im sogenannten RIP-Modus läuft?
Das würde das Problem erklären, weil man dann VPN im NAT über VPN Tunneln würde, funktioniert in der Praxis nie richtig.
Ansonsten würde ich eine gekaufte Fritzbox empfehlen, da kann man einen LAN Anschluss in einen Brigdemode schalten, also man hat dann quasi 2 getrennte Anschlüsse mit getrennten IP Adressen, die sich aber die gebuchte Bandbreite teilen.
Eine gekauft fritzbox kann man aber nicht bei Altprodukten mit fester IP einsetzen.
Uneingeloggter Nutzer
Antwort
von
vor 5 Jahren
haben die Hinweise aus der Community bereits weitergeholfen?
Geben Sie uns hier gern eine Rückmeldung.
Lieben Gruß, Melanie B.
12
Antwort
von
vor 5 Jahren
@Maximilia Nein, hier habe ich eine dynamische IP, die sich alle paar Tage ändert.
@Maximilia Nein, hier habe ich eine dynamische IP, die sich alle paar Tage ändert.
@iuv
Dann empfehle ich dir, eine Kabelfritzbox zu kaufen, da kann man dann einen Bridgeanschluss freischalten, sodass du zwei getrennte Netzwerke mit unterschiedlichen IPs hast, wäre m.E. die bessere Lösung als Doppelnat.
Antwort
von
vor 5 Jahren
@wari1957 Die Loganzahl war's wohl, jetzt habe ich diese Ausgabe:
Firmenbox:
Und die Privatbox:
Die VPN Anzeige standen übrigens beide auf "Standby", als ich dann von der Firmenbox aus gesagt habe, dass sie verbinden soll, ist die Heimbox auch angesprungen auf Phase 0.
Hier auch nochmal die einzelnen VPN Settings, beginnend sie sind soweit auf beiden Digiboxen identisch:
(Hier hat die Firmenbox den Bereich 192.168.2.100-199 und zusätzlich noch den Gast-WLAN DHCP-Bereich 192.168.4.100-199, dieser war vorher bei 3.100-199).
Falls du die IPv4-Adressen der DB anpingen willst, mußt du erst die IPSec-Schnittstelle beim administrativen Zugriff hinzufügen und Ping erlauben.
Habe ich gemacht (auf der Firmenbox), ein Ping von Zuhause auf die 192.168.2.1 lief leider noch ins Leere.
Die Meldung Dead Peer Detection klingt ja noch so, als wenn irgendwas nicht 100% passt.
Unter IPSec -> Phase 1 > Erweiterte Einstellungen steht bei der "Erreichbarkeitsprüung" " Automatische Erkennung", "Blockzeit" "30 Sekunden", "NAT Traversal" "aktiviert".
@Maximilia Vielen Dank für die Hilfe, wenn es irgendwie ohne neue FritzBox geht wäre ich nicht böse, da ich die zweite Digibox extra gekauft habe, damit die beiden Endgeräte gut zusammenarbeiten.
Antwort
von
vor 5 Jahren
@iuv
Sieht doch gar nicht so schlecht aus.
Die beiden VPNs hast du nicht mit dem Assistenten erstellt?
Ich frage deshalb, weil bei mir in Phase2 die PFS-Gruppe 5 aktiviert ist.
Kannst du bitte auch noch die IPv4-Routen beider DBs posten.
Zur weiteren Analyse wirst du um Traces nicht herumkommen.
Uneingeloggter Nutzer
Antwort
von
Akzeptierte Lösung
akzeptiert von
vor 5 Jahren
@iuv
In deiner Firmenbox ist das Gast-WLAN falsch.
Du hattest von 192.168.4.0/24 geschrieben.
0
Uneingeloggter Nutzer
Frage
von