Portweiterleitung für VPN hinter Speedport Hybrid

tino.rothe · ‎06.01.2018

Hallo,

ich nutze seit einiger Zeit einen Speedport Hybrid in Kombination mit einem entpsrechenden Hybrid Tarif. Nun habe ich hinter dem Speedport (IP 192.168.3.1) eine FB7490 (192.168.4.1, alle weiteren Geräte hängen in diesem Subnetz) in Betrieb genommen. Diese soll u.a. einen VPN-Zugang bereitsstellen. Ich habe die Einstellungen entsprechend der Anleitung von @aluny (lubensky.de) vorgenommen (Weiterleitung der Ports UDP 500 und 4500, sowie TCP 443 für den https-Zugang von außen an die FB). Einen entsprechenden Benutzer habe ich in der FB angelegt. Mein DynDNS-Anbieter ist im Speedport eingetragen.

Ein Zugriff von außen ist über den https-Zugang in Richtung Benutzeroberfläche der FB problemlos möglich. D.h. für mich, dass das DynDNS und die Portweiterleitung TCP 443 entsprechend funktionieren. Möchte ich mich nun mit meinem Iphone von außen in das VPN einloggen (Verbindungseinstellungen lt. Angaben in der FB, IPSec usw.), kommt die Fehlermeldung, dass der VPN-Server nicht antwortet.

Ich habe jetzt schon Ewigkeiten mit zusätzlichen Ports probiert (z.B. UDP 1701 und 53). Leider ohne Erfolg.

Was könnte ich noch falschmachen?

Viele Grüße

Tino

tino.rothe · ‎10.01.2018

Hallo @danXde, @aluny,

Vielen Dank für Eure Anregungen.

Folgende Lösung: habe mich ins Netz der SP-H eingeloggt und versucht über die WAN-IP der FB die VPN Verbindung herzustellen. Hat wieder nicht geklappt. Deshalb musste ja das Problem bei der FB liegen (Danke @danXde)...

Da alle Daten soe von der FB angezeigt wurden, hab ich nach einen anderen Möglichkeit gesucht einen VPN-Benutzer für die FB zu erstellen. Dazu gibt es von AVM eine Software für Windows (FritzBox!-Fernzugang einrichten heißt das Programm). Damit habe ich mir in einer virtuellen Wondows-Maschine (da ich sonst nur Mac nutze) eine Konfiguration gebaut und in die FB importiert.

Verbinde ich mich jetzt mit den angezeigten Einstellungen über die neue Konfiguration mit der FB, so komme ich sowohl aus meinem kleinen Internet (Netz der SP-H) und aus dem großen weiten Internet über Mobilfunk in mein internes Netz. Bei den auf dem Client einzutragenden Daten ist nur noch ein Gruppenname (identisch zum Benutzernamen des VPN-Users) hinzugekommen.

Also scheint das Problem irgendwo bei der Erstellung der VPN-Profile in der Fritzbox zu liegen, wenn extern erstellte Konfigurationen funktionieren.

Ich werde mich mal an AVM wenden, ob die das Problem nachvollziehen können...

Vielen Dank nochmal für die Anregungen, die letztendlich zur Lösung geführt haben.

Tino

Lösung in ursprünglichem Beitrag anzeigen

aluny · ‎06.01.2018

Hallo @tino.rothe

Hier so aus der Ferne und ohne das zu sehen, ist es schwierig viel dazu zu schreiben.

Bei "(Verbindungseinstellungen lt. Angaben in der FB, IPSec usw.)" stellt sich mir die Frage, was hast Du denn im VPN-Client als Server angegeben?

Deine DynDNS-Adresse oder die in den Verbindungseinstellungen hinter "Server" angezeigte WANseitige IP der Fritzbox?

tino.rothe · ‎06.01.2018

Ich hab meine DynDNS-Adresse eingegeben, da ja die WAN-IP der FB (192.168.3.100) von draußen nicht erreichbar ist...

tino.rothe · ‎08.01.2018

@aluny Kannst Du mir mit dieser Information weiterhelfen?

Vielen Dank!

aluny · ‎08.01.2018

Hallo @tino.rothe

Entschuldigung, das Thema war bei mir untergegangen...

Wenn Du als Server deine DynDNS-Adresse angegeben hast, bleibt wohl nur noch die Kontrolle der sonstigen Einstellungen im VPN-Client und Fritzbox.

Ich würde das Ganze nochmal ganz von vorn (incl. Anlegen des Benutzers) aufsetzen.

Eine Frage dazu kommt mir gerade noch in den Sinn, testet Du das per WLAN aus dem eigenen Netz oder von einem anderen Anschluß/ über Mobilfunk ?

tino.rothe · ‎08.01.2018

Ich habe von extern über mein IPhone und Mobilfunk getestet.

Ich werde nochmal alles nach Deiner Anleitung ausprobieren und dann berichten...

Vielen Dank

tino.rothe · ‎10.01.2018

Hallo @aluny,

ich bin jetzt nochmal Schritt für Schritt Deine Anleitung durchgegangen.

- DynDNS in der SP-H hinterlegt und Erfolg über die Logmeldung überprüft - erledigt

- Portweiterleitung in SP-H für UDP 500 und 4500 angelegt - erledigt

(- Portscan von meinem iPhone über Mobilfunk auf den beinen UDP Ports unter meiner DynDNS-Adresse - werden als offen angezeigt)

- in der FB 7490 (FritzOS 06.92) unter VPN eine neue Verbindung für inen Benutzer hinzugefügt. Einen neuen Nutzer angelegt und ihm nur VPN-Rechte erteilt. Dazu bei den Einstellungen auch "Zugriff aus dem Internet erlauben" angeklickt. Gespeichert und die angezeigten Daten unter meiner DynDNS-Adresse auf meinem iPhone unter VPN eingegeben (DynDNS-Adresse, Benutzername und Password des FB-Benutzers und SharedSecret).

- Versuche ich jetzt eine Verbindung herzustellen, dann wird wieder angezeigt, dass der VPN-Server nicht antwortet. Geht man nochmal in die Benutzereinstellungen des FB-Benutzers, so hat sich ohne mein Zutun die Option "Zugriff aus dem Internet erlauben" deaktiviert.

wo könnte mein Fehler liegen?

Vielen Dank und beste Grüße

Tino

aluny · ‎10.01.2018

Hallo @tino.rothe

Also wenn ich das nach der Einstellungsdatei einrichte, dann klappt das unter Android bzw. mit ShrewSoft bei mir problemlos.

IPhone / iPod touch / iPad VPN-Konfiguration
Wählen Sie auf dem Homescreen Ihres iPhones, iPod touch oder iPad das Symbol "Einstellungen".
"Allgemein" > "Netzwerk" > "VPN" > "VPN hinzufügen"
Wählen Sie als VPN-Betriebsmodus "IPSec".
Tragen Sie in die Felder folgende Angaben ein:
Beschreibung :
                 (Die Beschreibung kann frei gewählt werden.)
Server:          deine DynDNS-Adresse
Account:         Benutzername laut Fritzbox
Kennwort:        *laut Benutzereinstellungen Fritzbox*
                 (Das Kennwort wird bei jedem VPN-Verbindungsaufbau abgefragt.)
Zertifikat verwenden ist deaktiviert
Gruppenname:     Benutzername laut Fritzbox
Shared Secret:   *laut Einstellungen Fritzbox*
Geben Sie bei "Proxy" "aus" an.
Beenden Sie die VPN-Einrichtung mit "Sichern".

Hast Du mal im DynDns-Account geschaut, ob wirklich die richtige IP gemeldet wurde.

Wobei das aber eigentlich nicht das Problem sein dürfte, da ja der Zugung auf die Weboberfläche klappt?

Hallo @danXde, hast Du hier noch eine Idee?

danXde · ‎10.01.2018

@tino.rothe kannst Du dich mit dem VPN-Client erstmal am SP-H anmelden. Wenn ja, ist myfritz noch aktiv? Dann Trag im VPN-Client mal die myfritz.URL ein, oder halt die WAN-IP der Fritz.Box. Teste somit erstmal der Zugriff von aussen. Wenn das Klappt, dann aus der großen weiten Welt - dem Internet. Wenn erstes Scheitert, liegt's noch an der Client - Fritz.Box kommunikation. bei zweitem, dann am SP-H,sofern erstes Szenario funzt.

Grüße

danXde

tino.rothe · ‎10.01.2018

Hallo @danXde, @aluny,

Vielen Dank für Eure Anregungen.

Folgende Lösung: habe mich ins Netz der SP-H eingeloggt und versucht über die WAN-IP der FB die VPN Verbindung herzustellen. Hat wieder nicht geklappt. Deshalb musste ja das Problem bei der FB liegen (Danke @danXde)...

Da alle Daten soe von der FB angezeigt wurden, hab ich nach einen anderen Möglichkeit gesucht einen VPN-Benutzer für die FB zu erstellen. Dazu gibt es von AVM eine Software für Windows (FritzBox!-Fernzugang einrichten heißt das Programm). Damit habe ich mir in einer virtuellen Wondows-Maschine (da ich sonst nur Mac nutze) eine Konfiguration gebaut und in die FB importiert.

Verbinde ich mich jetzt mit den angezeigten Einstellungen über die neue Konfiguration mit der FB, so komme ich sowohl aus meinem kleinen Internet (Netz der SP-H) und aus dem großen weiten Internet über Mobilfunk in mein internes Netz. Bei den auf dem Client einzutragenden Daten ist nur noch ein Gruppenname (identisch zum Benutzernamen des VPN-Users) hinzugekommen.

Also scheint das Problem irgendwo bei der Erstellung der VPN-Profile in der Fritzbox zu liegen, wenn extern erstellte Konfigurationen funktionieren.

Ich werde mich mal an AVM wenden, ob die das Problem nachvollziehen können...

Vielen Dank nochmal für die Anregungen, die letztendlich zur Lösung geführt haben.

Tino

Svenja Ba. · ‎10.01.2018

Hallo @tino.rothe,

es freut mich, dass Sie den weg zu uns gefunden haben. Herzlich willkommen bei uns.

Es freut mich, dass Sie eine Lösung gefunden haben. Vielen Dank an @aluny und an @danXde für die Unterstützung.

Viele Grüße
Svenja Ba.

alternativ999 · ‎12.01.2019

Hallo,

Auch ich verzweifle an dem VPN Zugriff auf eine 7490 (nun auch Beta vom 11.01.2019 drauf) hinter dem SPH.

Alles versucht, schon myfritz gelöscht und neu aufgesetzt, neue Nutzer, andere email ...

Portfreigaben UDP laut Anleitung, verwende meinen no-ip Host (also borisxxxxx.no-ip.org) im Android client.

Aber immer "Nicht erfolgreich".

VPNCILLA sagt immer mein no-ip.org antwortet nicht.

Nun hatte ich auch schon diese AVM Software verwendet um eine .cfg zu erstellen, aber das ist ja wohl ein Witz, in der 7490

gibt es den Tab gar nicht mehr um diese .cfg einzulesen. Das soll unter Freigaben ein Tab VPN sein, den gibt es nicht mehr!!

Auch sonst finde ich keine Möglichkeit diese cfg zu importieren. AVM wird echt immer schlimmer.

Wer hat eine Idee wie ich den VPN ZUgriff hinbekomme?

Kann ich eigentlich nicht per VPN direkt auf den SPH zugreifen und ich lass die FB einfach im Wald stehen?

aluny · ‎12.01.2019

Hallo @alternativ999

Betreibst Du die Fritzbox als Router oder als Client?

alternativ999 · ‎12.01.2019

Zusatz:

Ich habe nun auch die Fritz App und Fritz App 2 installiert um zu schauen, ob es damit funktioniert.

Und ja die alte Fritz App greift ohne Probleme über Mobilfunk auf die FB zu. In der alten App habe ich ja auch manuell

die no-ip adresse eingetragen.

Die neue Fritz App2 faselt was von langsamen Mobilfunk (zuHause nur E) und bricht dann ab, mit der Meldung

die FB benötigt eine offene IP4 Adresse oder so ähnlich. In der App unter Heimnetz sehe ich auch diese myfritz.net

Adresse.

Also scheint die alte App über no-ip zu laufen, die Neue versucht es über myfritz.net was nicht funktioniert.

Aber das bedeutet doch, das der Zugriff über no-ip funktioniert!

Wieso bekomme ich dann keinen Zugriff mit einen normalen VPN Client?

alternativ999 · ‎12.01.2019

Hi Aluny,

im IP Client mode, die FB habe ich fix auf 192.168.2.2 adressiert

aluny · ‎12.01.2019

Ich ahnte es...

Um Firewall, Kindersicherung und VPN nutzen zu können muss die Fritzbox im Routermodus betrieben werden.

alternativ999 · ‎12.01.2019

Oh nee, so ein Mist, das habe ich gerade erst geändert, da ich so im gleichen Adressbereich des SPH bin, so ein Mist, das hat mich nun vieeeele Stunden gekostet!!!

Also die Einstellung in der FB - FB stellt Internet-Verbindung selbst her - wählen, korrekt?

danXde · ‎12.01.2019

@alternativ999 einfach mal bei @aluny's Anleitung unter https://www.lubensky.de/hybrid/ schauen. Da ist alles erklärt.

Grüße

danXde

alternativ999 · ‎12.01.2019

Also, soweit habe ich das hinbekommen nur 2 Kleinigkeiten bleiben

1. Kann es sein wenn die FB im Router Mode läuft, dass ich nun nicht mehr über no-ip auf, an der FB verbundene webcams, zugreifen kann? Ich habe in der FB die entsprechenden ports freigegeben und die gleichen im SPH freigegeben.

Dyndns nur in der SPH, aber ich komme zum Teufel nicht mehr auf die Webcams

2. Wenn ich einen DSL Speedtest an der FB mache bekomme ich nur noch ca. 9.000 Speed am SPH habe ich ca. 49.000,

hat das was mit dem Router mode zu tun?

Danke euch

danXde · ‎12.01.2019

@alternativ999 ... schau mal bei den Tips und Tricks vorbei.

Ansonsten mal im SPH hast Du die Port alle auf die Fritz.Box gelegt? Wegen der Geschwindigkeit gab es bei einigen älteren Boxen Problem, wenn Gigabit- und Fast-Ethernet Geschwindigkeiten gemixt waren. Es kann helfen, dann den WAN-Port auch auf 100 MBit/s zu beschränken.

Grüße

danXde

alternativ999 · ‎13.01.2019

Hallo, ja die Port Freigaben sind auf fritz.box im sph. Trotzdem komme ich nicht auf die Cams. Verstehe es auch nicht.

Du meinst den Lan Port 1 auf 100 oder alle 4 auf Gigabit?

danXde · ‎13.01.2019

@alternativ999 ...wenn alle auf GE gehen, dann alle GE einstellen. Welches Model hattest Du?

Grüße

danXde

alternativ999 · ‎13.01.2019

Sph und eine 7490. In der FB habe ich nur lan 1 belegt, über einen Gigabit Switch an den Sph.

In der FB nur Lan 1 auf Gigabit Rest auf 100.

danXde · ‎13.01.2019

@alternativ999 Auch wenn sie nicht belegt sind, schalte sie trotzdem mal alle auf GE.... probieren geht über studieren.

Grüße

danXde

alternativ999 · ‎13.01.2019

Also das funktioniert, auch komme ich nun über Mobilfunk an die Cams die im WLAN der FB hängen. Auch über VPN.

Auch über no-ip an die Cams.

Was aber nicht geht, ich komme im WLAN des SPH nicht an die Cams der FB. Was ist denn das nun wieder?

zum Mäuse melken...

Portweiterleitung für VPN hinter Speedport Hybrid

Social Media