Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 18 replies
  • Subscribers 2 subscribers
  • Views 11971 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

FritzBox VPN hinter Astaro?

patrick.schneider
Hallo zusammen!

Ich stehe momentan vor folgendem Problem: Es soll eine Außenstelle (dynamische IP, DynDNS Account verfügbar, FritzBox 7170) per VPN an die Hauptniederlassung angebunden werden.
Bei der Hauptniederlassung (fixe IP) sorgte eine ASG120 v7.306 hinter einem DSL-Modem für die Internetverbindung.
Da die FritzBox IPSec VPN kann, wäre natürlich eine direkte Verbindung zwischen FritzBox und Astaro wünschenswert, aber leider nicht möglich, da die Verbindung laut AVM nur zwischen 2 fixen IP-Adressen funktioniert.
Soweit zur Vorgeschichte...

Wir haben aber hier noch eine alte FritzBox 7170 liegen...
Meine Idee wäre hier also eine VPN-Verbindung zwischen der Zweigstellen-FritzBox und der Hauptniederlassungs-FritzBox, welche dann hinter der Astaro wäre.
Also ungefähr so:

Zweigstelle -> FritzBox 7170#1  (Internet)  Astaro  FritzBox 7170#2 

        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 

                            "udp 0.0.0.0:4500 0.0.0.0:4500";

Kann jemand was damit anfangen? Google konnte mir nichts sinnvolles zur Erklärung liefern...

- die 7170#2 könnte Probleme mit der internen IP haben: Die VPN-Funktion im Webinterface auf der FritzBox ist nur erreichbar, wenn die FritzBox auf "Internetverbindung über DSL" eingstellt ist. Dort habe ich ebenfalls noch die Verbindungseinstellungen auf "Routed Raw IP" gestellt und eine IP-Adresse aus dem LAN-Bereich der Astaro eingetragen. Möglicherweise will sie dann mit der LAN-IP eine VPN-Verbindung aufbauen, was natürlich nicht klappen wird.

Hat jemand Erfahrung mit einem solchen Szenario? Bin für Tipps offen [:)]

Gruß,
Patrick


This thread was automatically locked due to age.
Parents
  • 0
    Hallo PAtrick, 

    also, man kann eine FritzBox Problemlos an eine Astaro anschliesen, 
    auch mit dynamischen IP addressen.

    Du musst lediglich eine Options in der Konfigurations Datenbank Confd von Hand setzen, diesen werden wir in einem der naechsten Updates auch ins GUI holen. 

    Bitte konfiguriere den VPN tunnel komplett mit IP adresse als VPN-ID fuer das Remote gateway. 

    Danach verbinde dich per SSH auf die Astaro und werden mit 'su -' root user und starte den Confd-Client mit dem program 'cc'.

    Danach musst du dich mit folgenden befehlen durchhangeln um den FQDN als VPN-ID zu setzen. du kannst 'tab' nutzen um eine tab-completion zu bekommen under/oder zu sehen welche optionen es gibt.



    ghansenfw2:/root # cc
    Confd command-line client.  Maintainer: 
    $Id: confd-client.pl,v 1.107.2.8.2.9 2009/08/21 13:13:15 ischwarze Exp $

    Connected to 127.0.0.1:4472, SID = lnSPuFySQhBOteArlxdb.
    Available modes: MAIN OBJS RAW WIZARD.
    Type mode name to switch mode.
    Typing 'help' will always give some help.

    127.0.0.1 MAIN > 


    Nun in den Object namespace wechseln mit dem Befehl "OBJS":
                                          
    127.0.0.1 MAIN > OBJS
    Switched to OBJS mode.
                                                                                                                              


    Nun das ipsec remote gateway object heraussuchen um die Referenz auf das Authentication object zu bekommen:

                     
    127.0.0.1 OBJS > ipsec
    ipsec              ipsec_connection   ipsec_remote_auth
    127.0.0.1 OBJS > ipsec
                                                                                                                                               
    127.0.0.1 OBJS ipsec >
    MAIN           OBJS           policy         RAW            remote_gateway WIZARD
    127.0.0.1 OBJS ipsec > remote_gateway
                                                                                                                                               
    127.0.0.1 OBJS ipsec remote_gateway >
    MAIN                                                                 REF_wEAxCWURUx[Andre Scheffknecht GW,ipsec,remote_gateway]
    OBJS                                                                 REF_WsxrbnZgaE[Heidrun Hansen GW,ipsec,remote_gateway]
    RAW                                                                  REF_ZBdTLvxXEB[Astaro Karlsruhe Cluster,ipsec,remote_gateway]
    REF_doPXHxYEvk[Fritz Test,ipsec,remote_gateway]                      WIZARD
    REF_lFABMQdXvU[Astaro Heaven,ipsec,remote_gateway]
    127.0.0.1 OBJS ipsec remote_gateway > REF_doPXHxYEvk[Fritz Test,ipsec,remote_gateway]
    Logged into object 'REF_doPXHxYEvk'. Use 'w' to write eventual changes.
    {
              'comment' => '',
              'name' => 'Fritz Test',
              'authentication' => 'REF_YATgenqSTd',
              'networks' => [
                              'REF_WjmQmoNbQv'
                            ],
              'host' => 'REF_NetworkAny'
            }



    Bitte die Referenz "REF_YATgenqSTd" merken und mit ".." zurueck zur root gehen:
                                                                                                                              
               
    127.0.0.1 OBJS ipsec remote_gateway [REF_doPXHxYEvk] > ..
                                                                                                                                               
    127.0.0.1 OBJS ipsec remote_gateway > ..
                                                                                                                                               
    127.0.0.1 OBJS ipsec > ..

    127.0.0.1 OBJS > 


    Nun das passende Remote Auth Object finden und oeffnen, bitte TAB nutzen und wenn es mehr als ein PSK auth object gibt, das mit der oben gemerkten Referenz nutzen:

    127.0.0.1 OBJS > ipsec_remote_auth
                                                                                                                
    127.0.0.1 OBJS ipsec_remote_auth >
                                                                                                                
    127.0.0.1 OBJS ipsec_remote_auth > psk
                                                                                                                
    127.0.0.1 OBJS ipsec_remote_auth psk >

    127.0.0.1 OBJS ipsec_remote_auth psk > REF_YATgenqSTd[REF_YATgenqSTd,ipsec_remote_auth,psk]

    Logged into object 'REF_YATgenqSTd'. Use 'w' to write eventual changes.
    {
              'psk' => 'pppp',
              'comment' => '',
              'name' => 'REF_YATgenqSTd',
              'vpn_id' => '1.1.1.1',
              'vpn_id_type' => 'ipv4_address'
            }
                                                                                                                              127.0.0.1 OBJS ipsec_remote_auth psk [REF_YATgenqSTd] > 


    Jetzt sind wir im edit modus dieses objectes, einfach die beiden keys mit den richtigen werten ueberschreiben und am ende mit 'w' speichern.
                     
    127.0.0.1 OBJS ipsec_remote_auth psk [REF_YATgenqSTd] > vpn_id_type='fqdn'
    {
              'psk' => 'pppp',
              'comment' => '',
              'name' => 'REF_YATgenqSTd',
              'vpn_id' => '1.1.1.1',
              'vpn_id_type' => 'fqdn'
            }
                                                                                                                                               
    127.0.0.1 OBJS ipsec_remote_auth psk [REF_YATgenqSTd] > vpn_id='fritz.dyndns.net'
    {
              'psk' => 'pppp',
              'comment' => '',
              'name' => 'REF_YATgenqSTd',
              'vpn_id' => 'fritz.dyndns.net',
              'vpn_id_type' => 'fqdn'
            }
                                                                                                                                               
    127.0.0.1 OBJS ipsec_remote_auth psk [REF_YATgenqSTd] > w
    {
              'ref' => 'REF_YATgenqSTd',
              'lock' => '',
              'type' => 'psk',
              'data' => {
                          'psk' => 'pppp',
                          'comment' => '',
                          'name' => 'REF_YATgenqSTd',
                          'vpn_id' => 'fritz.dyndns.net',
                          'vpn_id_type' => 'fqdn'
                        },
              'class' => 'ipsec_remote_auth',
              'hidden' => 0,
              'nodel' => ''
            }
    Changes to object saved successfully.
    {
              'psk' => 'pppp',
              'comment' => '',
              'name' => 'REF_YATgenqSTd',
              'vpn_id' => 'fritz.dyndns.net',
              'vpn_id_type' => 'fqdn'
            }
                                                                                                                                               
    127.0.0.1 OBJS ipsec_remote_auth psk [REF_YATgenqSTd] >


    mit dem Befehl "exit" kommt man wieder auf die Shell. 

    So das war es, jetzt ist in der Astaro geaendert und auch teil des Backups, es wird nun, wenn der tunnel fertig konfiguriert und angeschalten ist, auch automatisch umgesetzt und die Verbindung sollte hochkommen. 

    Ich hoffe das hilft, viel Erfolg, 
    gruss Gert
  • 0 in reply to Gert Hansen
    Man lernt nie aus [8-)] danke Gert !
  • 0 in reply to NicolasPerrot1
    Hallo zusammen!

    das Problem hat sich mittlerweile anders gelöst. Der betroffene Mitarbeiter hat seine Büroanschrift gewechselt und damit auch gleich zur Telekom als Business-DSL-Anbieter mit fixer IP.
    Aber gut zu wissen, dass es auch anders geht, diese Möglichkeiten werde ich mir für die Zukunft merken (für den nächsten armen Tropf, der sich keine fixe IP holt [;)] )
    Vielen Dank für die vielen Rückmeldungen!

    Gruß,

    Patrick
Reply
  • 0 in reply to NicolasPerrot1
    Hallo zusammen!

    das Problem hat sich mittlerweile anders gelöst. Der betroffene Mitarbeiter hat seine Büroanschrift gewechselt und damit auch gleich zur Telekom als Business-DSL-Anbieter mit fixer IP.
    Aber gut zu wissen, dass es auch anders geht, diese Möglichkeiten werde ich mir für die Zukunft merken (für den nächsten armen Tropf, der sich keine fixe IP holt [;)] )
    Vielen Dank für die vielen Rückmeldungen!

    Gruß,

    Patrick
Children
No Data
Unfiltered HTML