Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 23 replies
  • Subscribers 36 subscribers
  • Views 60437 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

VPN Einstellungen UTM9 -> Fritzbox 7360

taipan1005
Hallo erst einmal.

Ich versuche seit 2 Tagen eine VPN Verbindung zwischen einer ASG220 (neuse Firmware) und einer Fritzbox 7360 (neuse Firmware) einzurichten. 
Beide haben eine Dynamische IP und sind per DynDNS erreichbar. 

Config der Fritzbox 

vpncfg {

        connections {

                enabled = yes;

                conn_type = conntype_lan;

                name = "AstaroASG220";

                always_renew = yes;

                reject_not_encrypted = no;

                dont_filter_netbios = yes;

                localip = 0.0.0.0;

                local_virtualip = 0.0.0.0;

                remoteip = 0.0.0.0;

                remote_virtualip = 0.0.0.0;

                remotehostname = "unt-astaro.homelinux.net";

                localid {

                        fqdn = "unt-tmp-fritz.homelinux.net";

                }

                remoteid {

                        fqdn = "unt-astaro.homelinux.net";

                }

                mode = phase1_mode_idp;

                phase1ss = "all/all/all";

                keytype = connkeytype_pre_shared;

                key = "geheim";

                cert_do_server_auth = no;

                use_nat_t = yes;

                use_xauth = no;

                use_cfgmode = no;

                phase2localid {

                        ipnet {

                                ipaddr = 172.30.0.0;

                                mask = 255.255.0.0;

                        }

                }

                phase2remoteid {

                        ipnet {

                                ipaddr = 192.168.0.0;

                                mask = 255.255.255.0;

                        }

                }

                phase2ss = "esp-all-all/ah-all/comp-all/pfs";

                accesslist = "permit ip any 192.168.0.0 255.255.255.0";

        }

        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 

                            "udp 0.0.0.0:4500 0.0.0.0:4500";

}


Config der UTM als Bild im Anhang

Das Log der Fritzbox enthält folgenden Fehler: VPN-Fehler: AstaroASG220, IKE-Error 0x1c

Im Live-Protokoll der UTM wird sehr viel angezeigt. (Kontrollverlauf und Kernel-Messaging an) 

2013:07:24-10:58:08 FW01-1 pluto[22616]: | *received 92 bytes from 91.66.165.26:4500 on ppp0 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | ICOOKIE: 1d 5f 48 80 7d 99 f9 2e 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | RCOOKIE: c2 fb 5d 0f c9 48 f4 9d 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | peer: 5b 42 a5 1a 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | state hash entry 26 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | state object #80 found, in STATE_MAIN_R2 



2013:07:24-10:58:08 FW01-1 pluto[22616]: "S_unt-tmp-fritz.homelinux.net" #80: Peer ID is ID_FQDN: 'unt-tmp-fritz.homelinux.net' 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | peer CA: %none 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | S_unt-tmp-fritz.homelinux.net: no match (id: no, auth: ok, trust: ok, request: ok, prio: 2048) 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | D_REF_IpsRoaForIngoToInter: no match (id: no, auth: no, trust: no, request: ok, prio: 2048) 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | D_REF_IpsRoaForIngoToInter: no match (id: no, auth: no, trust: no, request: ok, prio: 2048) 



2013:07:24-10:58:08 FW01-1 pluto[22616]: "S_unt-tmp-fritz.homelinux.net" #80: no suitable connection for peer 'unt-tmp-fritz.homelinux.net' 



2013:07:24-10:58:08 FW01-1 pluto[22616]: "S_unt-tmp-fritz.homelinux.net" #80: sending encrypted notification INVALID_ID_INFORMATION to 91.66.165.26:500 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | state transition function for STATE_MAIN_R2 failed: INVALID_ID_INFORMATION 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | next event EVENT_RETRANSMIT in 1 seconds for #64 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | *received 476 bytes from 91.66.165.26:500 on ppp0 



2013:07:24-10:58:08 FW01-1 pluto[22616]: packet from 91.66.165.26:500: received Vendor ID payload [XAUTH] 



2013:07:24-10:58:08 FW01-1 pluto[22616]: packet from 91.66.165.26:500: received Vendor ID payload [Dead Peer Detection] 



2013:07:24-10:58:08 FW01-1 pluto[22616]: packet from 91.66.165.26:500: received Vendor ID payload [RFC 3947] 



2013:07:24-10:58:08 FW01-1 pluto[22616]: packet from 91.66.165.26:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-03] 



2013:07:24-10:58:08 FW01-1 pluto[22616]: packet from 91.66.165.26:500: ignoring Vendor ID payload [a2226fc364500f5634ff77db3b74f41b] 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | preparse_isakmp_policy: peer requests PSK authentication 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | creating state object #81 at 0x96b1fa8 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | ICOOKIE: ad 91 3a fc 3c 82 b1 7c 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | RCOOKIE: c3 9b ba ca 0c 66 58 02 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | peer: 5b 42 a5 1a 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | state hash entry 31 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | inserting event EVENT_SO_DISCARD, timeout in 0 seconds for #81 



2013:07:24-10:58:08 FW01-1 pluto[22616]: "S_unt-tmp-fritz.homelinux.net" #81: responding to Main Mode 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | inserting event EVENT_RETRANSMIT, timeout in 10 seconds for #81 



2013:07:24-10:58:08 FW01-1 pluto[22616]: | next event EVENT_RETRANSMIT in 1 seconds for #64 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | *received 300 bytes from 91.66.165.26:500 on ppp0 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | ICOOKIE: ad 91 3a fc 3c 82 b1 7c 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | RCOOKIE: c3 9b ba ca 0c 66 58 02 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | peer: 5b 42 a5 1a 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | state hash entry 31 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | state object #81 found, in STATE_MAIN_R1 



2013:07:24-10:58:09 FW01-1 pluto[22616]: "S_unt-tmp-fritz.homelinux.net" #81: NAT-Traversal: Result using RFC 3947: peer is NATed 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | inserting event EVENT_RETRANSMIT, timeout in 10 seconds for #81 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | next event EVENT_RETRANSMIT in 0 seconds for #64 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | *time to handle event 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | event after this is EVENT_RETRANSMIT in 0 seconds 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | handling event EVENT_RETRANSMIT for 91.66.165.26 "S_unt-tmp-fritz.homelinux.net" #64 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | inserting event EVENT_RETRANSMIT, timeout in 20 seconds for #64 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | next event EVENT_RETRANSMIT in 0 seconds for #63 



2013:07:24-10:58:09 FW01-1 pluto[22616]: | 


Wo liegt der Fehler? Oder was kann ich tun um den Fehler einzugrenzen?
Ich hoffe sehr Ihr könnt mir helfen!!!


This thread was automatically locked due to age.
Parents
  • 0
    Hi Leute,

    hat den wirklich keiner von euch eine Idee? Ich komme einfach nicht weiter. Ist es überhaupt möglich einen VPN Tunnel zwischen einer UTM9 und einer Fritzbox zu bauen?
    Die Anleitungen die ich im Netz gefunden habe sind schon recht alt und beziehen sich auf alte Versionen der UTM. 

    Bitte Helft mir!
  • 0 in reply to taipan1005
    Nein, ist in deiner Konstellation nicht möglich. In der AVM-Hilfe gib es ein Konfigurationsbeispiel dazu, dort wird aber ausdrücklich erwähnt, dass diese Konfiguation nur mit festen öffentlichen IP-Adressen funktioniert.

    Meiner Erfahrung nach funktioniert es auch, wenn nur die UTM eine feste IP hat. Hierfür könnte ich dir ein Beispiel raussuchen, wie wir es bei einem Kunden für das Homeoffice des Geschäftsführers am Laufen haben...

    ----------
    Sophos user, admin and reseller.
    Private Setup:

    • XG: HPE DL20 Gen9 (Core i3-7300, 8GB RAM, 120GB SSD) | XG 18.0 (Home License) with: Web Protection, Site-to-Site-VPN (IPSec, RED-Tunnel), Remote Access (SSL, HTML5)
    • UTM: 2 vCPUs, 2GB RAM, 50GB vHDD, 2 vNICs on vServer (KVM) | UTM 9.7 (Home License) with: Email Protection, Webserver Protection, RED-Tunnel (server)
  • 0 in reply to scorpionking
    Nein, ist in deiner Konstellation nicht möglich. In der AVM-Hilfe gib es ein Konfigurationsbeispiel dazu, dort wird aber ausdrücklich erwähnt, dass diese Konfiguation nur mit festen öffentlichen IP-Adressen funktioniert.


    Ja, hier habe ich auch schon viele Tests durchgeführt. Sobald DynDNS Adressen verwendet werden (müssen), funktioniert es nicht. Mit IPs Adressen funktioniert es, bringt natürlich nix, wenn die sich täglich ändern.

    Meiner Erfahrung nach funktioniert es auch, wenn nur die UTM eine feste IP hat. Hierfür könnte ich dir ein Beispiel raussuchen, wie wir es bei einem Kunden für das Homeoffice des Geschäftsführers am Laufen haben...

    Hatten so einen ähnlichen Fall, aber mit dyn. Adressen --> Lösung war dann eine RED.

    Nice greetings
Reply
  • 0 in reply to scorpionking
    Nein, ist in deiner Konstellation nicht möglich. In der AVM-Hilfe gib es ein Konfigurationsbeispiel dazu, dort wird aber ausdrücklich erwähnt, dass diese Konfiguation nur mit festen öffentlichen IP-Adressen funktioniert.


    Ja, hier habe ich auch schon viele Tests durchgeführt. Sobald DynDNS Adressen verwendet werden (müssen), funktioniert es nicht. Mit IPs Adressen funktioniert es, bringt natürlich nix, wenn die sich täglich ändern.

    Meiner Erfahrung nach funktioniert es auch, wenn nur die UTM eine feste IP hat. Hierfür könnte ich dir ein Beispiel raussuchen, wie wir es bei einem Kunden für das Homeoffice des Geschäftsführers am Laufen haben...

    Hatten so einen ähnlichen Fall, aber mit dyn. Adressen --> Lösung war dann eine RED.

    Nice greetings
Children
  • 0 in reply to GuyFawkes
    Wenn die FritzBox ein pivat genutztes Gerät ist und du ein bisschen Basteltrieb hast, gäbe es auch noch die Möglichkeit, OpenVPN auf der FritzBox zu installieren (hilfreich hier das IP-Phone-Forum) und dann per SSL-VPN die Verbindung zur UTM aufzubauen.

    Das funktioniert bei mir privat wunderbar (in Verbindung mit der erweiterten (selbskompilierten) FritzBox-Firmware "Freetz").
    Man darf nur nicht unbedacht ein Firmware-Update der FritzBox machen, da dann die erweiterten Funktionen weg sind.

    ----------
    Sophos user, admin and reseller.
    Private Setup:

    • XG: HPE DL20 Gen9 (Core i3-7300, 8GB RAM, 120GB SSD) | XG 18.0 (Home License) with: Web Protection, Site-to-Site-VPN (IPSec, RED-Tunnel), Remote Access (SSL, HTML5)
    • UTM: 2 vCPUs, 2GB RAM, 50GB vHDD, 2 vNICs on vServer (KVM) | UTM 9.7 (Home License) with: Email Protection, Webserver Protection, RED-Tunnel (server)
Unfiltered HTML