VPN mit Hybrid-Anschluss (IPSec)

[#1]

Hallo,

in unserer Firma arbeiten viele Teleworker von zu Hause aus. Dazu bauen alle einen VPN-Tunnel zu unserer Firma auf, um auf das Firmennetzwerk zuzugreifen. Einige Teleworker verwenden zum Verbindungsaufbau einen auf dem Laptop installiereten IPSec-Software-Client für temporäre Verbindungen. Andere bekommen jedoch einen VPN-Router gestellt, der einen permanenten VPN-Tunnel zum Firmennetzwerk aufrecht hält (quasi eine Standleitung) und an diesem befinden sich dann mehrere Rechner für den Zugriff. In beiden Fällen stellt ein Speedport-Router die Verbindung zum Internet her, woran dann entweder der Laptop mit seinem Software-Client oder der VPN-Router angeschlossen ist.

In Gebieten wo LTE schneller als DSL und die Vorraussetzungen für Hybrid gegeben sind, könnte man die Bandbreite dadurch deutlich nach oben schrauben, worüber sich sicherlich alle Teleworker freuen würden. Auch im Falle eines Ausfalls von DSL, stünde nach meinem bisherigen Verständnis zu dieser Technologie, LTE auch als quasi Internetbackup für DSL zur Verfügung.

Fragen:

1. Ist der Hybrid-Zugang und der Speedport Hybrid grundsätzlich für VPN (speziell IPSec und wie oben beschrieben) geeignet
2. Was passiert, sobald die Lastverteilung aktiv oder inaktiv (DSL auf LTE oder LTE auf DSL) wird - bricht der VPN-Tunnel jedes Mal zusammen (bspw. weil sich die öffentliche IP-Adresse ändert)
3. Wird die DSL-Verbindung (bspw. durch einen Bagger) getrennt, kann dann über LTE ganz normal weitergearbeitet werden (Backup für DSL)
4. Ist der Hybrid-Router standortgebunden, oder könnte ich diesen beispielsweise auch mit in den Urlaub an einen anderen Standort in Deutschland mit LTE Empfang mitnehmen und betreiben, sofern er einmalig an einem DSL-Anschluss angebunden war

Vielen Dank für die Beantwortung der Fragen

[#2 · Accepted solution]

Hallo twimax,

hallo und herzlich willkommen hier in der Telekom hilft Community!

Ein großes DANKESCHÖN an buenni, denn die tollen Antworten treffen den Nagel gut auf den Kopf. Viel mehr kann ich auch gar nicht ergänzen, es sei denn, Sie haben noch die eine oder andere Frage für mich. Wenn dem so ist: Dann nur zu, ich laufe nicht weg.

Viele Grüße

Stefan

[#3 · Accepted solution]

---

---

Ist der Hybrid-Zugang und der Speedport Hybrid grundsätzlich für VPN (speziell IPSec und wie oben beschrieben) geeignet

Grundsätzlich geht VPN (selber getestet) . Ob im Speziellen IP Sec geht, kann ich nicht  beantworten.

Was passiert, sobald die Lastverteilung aktiv oder inaktiv (DSL auf LTE oder LTE auf DSL) wird - bricht der VPN-Tunnel jedes Mal zusammen (bspw. weil sich die öffentliche IP-Adresse ändert)

Bei meinem Beobachtungen in der Praxis hat es keine Abbrüche gegeben. Das mag aber sicherlich auch von der Gegenseite abhängen. Eigentlich dürfte sich die öffentliche IP-Adresse allerdings nicht ändern.

Wird die DSL-Verbindung (bspw. durch einen Bagger) getrennt, kann dann über LTE ganz normal weitergearbeitet werden (Backup für DSL).

so sollte es sein. Ausfallsicherheit ist auf jeden Fall gegeben.

Ist der Hybrid-Router standortgebunden, oder könnte ich diesen beispielsweise auch mit in den Urlaub an einen anderen Standort in Deutschland mit LTE Empfang mitnehmen und betreiben, sofern er einmalig an einem DSL-Anschluss angebunden war

Das sind standortgebundene Festnetztarife. Also JA, keine Nutzung im Ferienhaus.

[#4 · Accepted solution]

---

---

Ist der Hybrid-Zugang und der Speedport Hybrid grundsätzlich für VPN (speziell IPSec und wie oben beschrieben) geeignet

Grundsätzlich geht VPN (selber getestet) . Ob im Speziellen IP Sec geht, kann ich nicht  beantworten.

Was passiert, sobald die Lastverteilung aktiv oder inaktiv (DSL auf LTE oder LTE auf DSL) wird - bricht der VPN-Tunnel jedes Mal zusammen (bspw. weil sich die öffentliche IP-Adresse ändert)

Bei meinem Beobachtungen in der Praxis hat es keine Abbrüche gegeben. Das mag aber sicherlich auch von der Gegenseite abhängen. Eigentlich dürfte sich die öffentliche IP-Adresse allerdings nicht ändern.

Wird die DSL-Verbindung (bspw. durch einen Bagger) getrennt, kann dann über LTE ganz normal weitergearbeitet werden (Backup für DSL).

so sollte es sein. Ausfallsicherheit ist auf jeden Fall gegeben.

Ist der Hybrid-Router standortgebunden, oder könnte ich diesen beispielsweise auch mit in den Urlaub an einen anderen Standort in Deutschland mit LTE Empfang mitnehmen und betreiben, sofern er einmalig an einem DSL-Anschluss angebunden war

Das sind standortgebundene Festnetztarife. Also JA, keine Nutzung im Ferienhaus.

[#5 · Accepted solution]

Hallo twimax,

hallo und herzlich willkommen hier in der Telekom hilft Community!

Ein großes DANKESCHÖN an buenni, denn die tollen Antworten treffen den Nagel gut auf den Kopf. Viel mehr kann ich auch gar nicht ergänzen, es sei denn, Sie haben noch die eine oder andere Frage für mich. Wenn dem so ist: Dann nur zu, ich laufe nicht weg.

Viele Grüße

Stefan

[#6]

Also hier mal ein ganz klares NEIN. VPN funktioniert nicht mit dem Speedport Hybrid. ( Steht auch in der Anleitung ). Wie kann man dann hier sagen, das es ohne Probleme funktioniert ???

[#7]

Der Speedport selber hat keinen VPN Server oder Client integriert, das ist richtig. Dennoch kann man hinter dem Speedport Hybrid problemlos VPN Clients verwenden, und mit den entsprechenden Portweiterleitungen auch VPN Server. Das praktiziere ich selber problemlos.

Leider kann man im Speedport Hybrid keine statische Route einrichten, um allen Clients einen Weg in VPN Netz zu ebnen, wenn der VPN Router nicht Default Gateway ist. Deshalb müssen alle Clients aufwendig entsprechend konfifuriert werden, soweit möglich. Das ist nicht schön. Aber der VPN Tunnel an sich ist kein Problem.

Also: VPN funktioniert auch mit dem Speedport Hybrid.

[#8]

Wichtig wäre mir besonders die Backupfunktion, da wir hier neulich einen mehrtägigen DSL-Ausfall hatten. Diese ist tatsächlich gegeben, d.h. der Zugang über LTE funktioniert auch wenn DSL gestört ist?

Desweiteren geht aus der Karte der LTE-Abdeckung nicht ganz klar hervor, ob LTE 800 an unserem Standort funktioniert. Besteht die Möglichkeit das zu testen (mit Hybrid-Router oder einem anderen LTE-Gerät, z.B. geliehen im Telekom-Shop?). Wenn es funktioniert würde ich sofort zum Hybrid-Tarif wechseln.

Schon jetzt danke für die Antwort.

[#9]

Hallo LutzSchulze,

herzlich willkommen in unserer Telekom hilft Community.

Bitte entschuldigen Sie, dass wir uns erst heute bei Ihnen melden.

Wenn Sie mir Ihre Daten über das Kontaktformular zusenden, schaue ich mir das gerne für Sie an.

Das Formular dazu finden Sie hier.

Viele Grüße
Florian Sa.

[#10]

Hallo zusammen,

zum Thema VPN können wir schonmal soviel sagen: Es wird mit dem nächsten Firmwareupdate, das voraussichtlich im April herauskommt, Verbesserungen geben.

Schönes Wochenende!

Grüße von

Schmidti

[#11]

Vielen Dank für die Information, dass es im April ein Update für den Hybrid Router geben soll.

Folgende Protokolle sind für VPNs auf Schicht 3 essentiell!

https://tools.ietf.org/html/rfc2784 - IP-Protokoll 47 - Generic Routing Encapsulation (GRE)

https://tools.ietf.org/html/rfc4303 - IP-Protokoll 50 - IP Encapsulating Security Payload (ESP)

Routing Information Protocoll (RIP) - Dieses Protokoll sollte ein Router umbedingt können und auch konfigurierbar sein!

[#12]

Hat jemand schon mal versucht einen IPsec (oder zur Not auch PPTP) Server hinter dem Speedport Hybrid zu betreiben und hatte damit Erfolg?

D.h. werden ESP und GRE aktuell z.B. konfigurationslos weitergeleitet? (Es gibt ja keinen Modem-Modus, Exposed Host o.Ä. und Weiterleitungen lassen sich nur für TCP und UDP konfigurieren) Ein anspruchsvoller und moderner Router sollte das können von dem was ich aber so in den Foren gelesen habe, habe ich aber bei Speedport(s) Zweifel?!?!?

Wäre toll, wenn jemand konkret seine eigenen Erfahrungen nennen kann.

[#13]

Nein leider noch nicht. Ich weiß nur, dass ein Speedport W724V und W921V das nicht macht! Ergo auch nicht der Hybrid Router es sei, denn das wird noch gepatcht. Das Betriebssystem ist ja offensichtlich ein Linux, da in den Technischen Dokumentationen von Linux die rede ist und Linux Routing kann das.

Ich wäre für einen Telnet oder SSH Zugang auf den Router, wie bei der Fritzbox! Wenn man den Telnet Zugang bei der Fritzbox einrichtet, steht auf der Weboberfläche Telnet Zugang aktiv. Vielleicht kann man sowas auch bei dem Speedport einrichten. Sobald wir ein Terminal haben reicht mir das schon für die Konfiguration! Ich brauch kein Webinterface!!!

[#14]

Wenn der W724V und W921V das bis heute nicht können, habe ich Zweifel, dass der Hybrid das jemals können wird. S. auch hier: https://telekomhilft.telekom.de/t5/Frage-stellen/Unterst%C3%BCtzt-der-Speedport-W921V-das-ESP-Protok...

Ob eine solche Entscheidung, aktiv essentielle Funktionen auszublenden, heutzutage vertretbar ist, wage ich zu bezweifeln. Der Trend geht ja eindeutig in Richtung everything - everywhere und der Zugriff im privaten Bereich von außen auf eigene Daten wird immer beliebter. Hier bieten ja auch AVM oder Synology vergleichsweise einfache Lösungen für den Home-User an.

Zum Speedport gibt es ja beim Hybrid Anschluss keine Alternative und ich denke fast, dass das so bleiben wird, da es sich um eine proprietäre Technik handelt. Wenn man Freigaben im Speedport ordentlich managen könnte würde ich sogar einen Speedport nutzen, da dann ja alle Möglichkeiten im Heimnetz offen stehen. (Eine Shell wäre natürlich eine feine Sache aber hier kann ich noch nachvollziehen, dass so etwas bei gebrandeten Geräten ausgeblendet wird)

Also kein Hybrid für mich... außer jemand hat wirklich andere Erfahrungen?!? 

[#15]

Ich lade mir gerade mal den Quellcode runter und versuche diesen mal zum laufen zu kriegen.

http://hilfe.telekom.de/dlp/eki/downloads/Speedport/Speedport%20Hybrid/DT_Hybrid_GPL_1.00.053.zip

Gibt es irgendwo auch die neue Version als Quellcode?

1.00.057

[#16]

Du kannst eine PPPTP oder IPSec Verbindung als Client aufbauen, weil der Speedport für ausgehende Verbindungen die GRE sowie die ESP IP Pakete weiterleitet.

# VPN Passtrhough GRE Protocol
iptables -A OUTPUT -p 47 -j ACCEPT

# VPN Passtrhough ESP Protocol
iptables -A OUTPUT -p 50 -j ACCEPT

Bei Eingehenden Verbindungen über PPPTP oder IPSec müssten die Regeln eingetragen werden.

# VPN Passtrhough GRE Protocol
iptables -A INPUT -p 47-j ACCEPT

# VPN Passtrhough ESP Protocol
iptables -A INPUT -p 50 -j ACCEPT

Macht die Telekom aber nicht. Weiß der Geier warum nicht!!!

Wenn GRE oder ESP Pakete von außen in den Speedport rein gehen, macht der Speedport DROP und verwirft diese Pakete anstelle diese ins Lokale Netz weiterzuleiten.

[#17]

Hallo ,
wenn ich Hybrid nutze, kann ich dann noch meine Fritzbox dahinter schalten und die Fritzbox to Fritzbox VPN nutzen ?? Das wäre für mich sehr wichtig

[#18]

Nur wenn die Telekom im Speedport Hybrid die IPTables config ändert!
Also praktisch diese Parameter zuätzlich zu den ja schon bereits erlaubten ausgehenden Regeln nutzt!

Die Telekom hat bereits die Ausgehenden IP Verbindungen erlaubt, warum erlauben die dann nicht auch gleich eingehende???

# Eingehende IP Protkoll Regeln für GRE und ESP
iptables -A INPUT -p 47-j ACCEPT
iptables -A INPUT -p 50 -j ACCEPT

[#19]

Schade... wie befürchtet, dass man damit kein eingehendes VPN mit GRE oder ESP (PPTP, IPSec und auch IKE der Fritzbox) realisieren kann.

[#20]

Finde ich auch schade. Aber es ist ja schon mehrere Jahre ein Thema und immer noch keine Lösung mit Speedport Protdukten.

Außerdem steckt die Hybrid Technik der Telekom auch noch in den Kinderschuhen. Ich habe erst vor einer Woche davon erfahren als ein Kumpel von mir sich den Vertrag umstellen hat lassen. Seit dem Basteln wir halt ein wenig herum. Und so langsam steigen wir auch in die Technik dahinter ein! Ich habe schon mit Leitungs Aggregation, Bonding und Multichannel WANs gearbeitet. Aber noch keine echte Multipath-TCP Technik in Aktion gesehen. Und für entgegen meiner Befürchtungen fufnktioniert die Hybrid Technik ziemlich gut.

Ein OpenVPN Site-To-Site lässt sich allemal über TCP aufbauen auch über den Hybrid zugang. Wir lassen aber aktuell die OpenVPN ausschließlich über den DSL Zugang laufen.

[#21]

Na dann bin ich aber beruhigt...

Bin wegen Hybrid von Fritzbox 7390 zum Huawai Speedsport Hybrid, hatte nicht damit gerechnet dass er (noch)kein VPN kann

Im huetigen Zeitalter Smarthome usw. ist das immer mehr ein Thema, und ich glaube nicht daran dass es nur 1% Nutzer gibt

Viele wissen momentan noch gar nicht wofür und was man damit anstellen kann, aber wege wenn der letzte erfährt was geht

Kannste ein bischen mehr verraten, kann ich meine Fritzbox 7390 in Rente schicken ?

[#22]

Ich muss vom Home-Office aus per VPN (Open VPN) auf ein CRM- und Mail-Programm meines Arbeitgebers (beide browserbasiert) zugreifen. Per DSL und Speedport W723V Typ B klappte das problemlos.

Mit dem Speedport Hybrid klappt das heute leider nicht. Ich bekomme wohl eine VPN Verbindung hin - komme noch ins Intranet meines Arbeitsgebers - ab dann klappt nichts.

Gehe ich per UMTS-Karte rein, kein Problem, nur sehr langsam (Edge).

Muss ich am Speedport Hybrid irgendetwas einstellen? Hilft es, LTE abzuschalten für diesen speziellen Fall?

Muss ich irgendwelche Ports freigeben? Ich habe wirklich keine Ahnung in dem Gebiet. Unsere IT-Abteilung sagt, wenn ich per UMTS reinkomme und alles läuft, kann es nicht an denen liegen

Danke für gute Tipps!

[#23]

Am besten du konfigurierst eine LTE Ausnahme Regel, sodass der VPN nur über DSL läuft.

Dafür benötigst du die IP-Adresse der Gegenstelle (VPN-Server)

[#24]

Hallo zusammen,

Ich habe den Beitrag nicht komplett gelesen, sorry.

Ich möchte Euch nur sagen, das ich eine Fritz Box VPN Verbindung ankommend wie abgehend hinter dem Speedport Hybrid am laufen habe.

Fritz Box 7490

Ich hoffe ich kann mit der Info Nutzern helfen

[#25]

Hallo, ich habe seit heute den Hybrid-Anschluss und versuche nun verzweifelt meine bisher genutzten "Fritz-Annehmlichkeiten" hinter dem "Zwangsrouter Speedport Hybrid" zum laufen zu bekommen. Wie hast du das mit dem eingehenden VPN-Verbindungen geschafft?

[#26]

Hallo Thorsten,

schau mal hier.

https://telekomhilft.telekom.de/t5/Hybrid/VPN-Server-hinter-Hybrid-Router-Zugang-von-außen-möglich/m...

Es müssen die 3 Ports im Hybridrouter an die FritzBox freigegeben werden. 

Fritz Box nicht im Client Modus.

Hauptproblem ist der DynDns Dienst. Der sollte eigentlich in den Hybridrouter. Nutzt aber nichts. In der Fritz Box geht es auch nicht mehr.

Ich hoffe das wird mit einem Update der FW behoben (Hybridrouter).

Ich habe folgende Lösung die bei mir funktioniert.

An einem Endgerät ist ein Update (alle 5 min) eingestellt der die aktuelle Adresse aktualisiert.

[#27]

Bei mir funktioniert das DynDNS trotzdem in der FB.