VPN Kopplung AVM Fritz!Box 7170 an LC1724

[AS1306]

Hi ctedv,

schau mal hier (Phase 1 Problem?): http://www.google.de/search?hl=de&q=IKE ... uche&meta=

DPD (Dead Peer Detect)? Ist die FB tatsächlich online??? Liegt da ein Problem an der DSL-Leitung vor?

Irgendwie macht mich Dein dynamisches VPN stutzig!

Andreas

[ctedv]

Hallo,

vielen Dank für deine Hilfe. Leider werde ich es heute nicht mehr schaffen, deine Tipps zu befolgen. Ich melde mich morgen wieder, und gebe Bescheid.

Vielen Dank noch mal und einen schönen Abend noch.

PS: Beide Router sind definitiv online.

[AS1306]

Hi ctedv,

habe mal ein wenig "gegooglet" - backslash hat hierzu wohl mal was geschrieben:

http://www.lancom-forum.de/fehlermeldun ... -4445.html (finde dies aber irgendwie nicht hier im Forum!)

http://www.google.de/search?hl=de&q=dyn ... uche&meta=

Was zumindest den LANCOM-Fehler spezifizieren würde Ist also irgendwie erklärbar.

Ich bekomme immer mehr den Eindruck, dass das nur an der FB liegen kann :

http://www.google.de/search?hl=de&q=IKE ... c%5D&meta=

Schick mir mal Deine *.cfg Datei (USER-Daten mit XXXX versehen ) Vielleicht liegt das auch an der Firmware der FB. Vielleicht kannst Du ja diesbezüglich mal den AVM-Support konsultieren?!

Bis später

Andreas

[AS1306]

Hi,

habe noch ein paar Hinweise gefunden:

Ich hatte mal in einem anderen Forum etwas von DPD (Dead Peer Detect) zu diesem Fehler code (IKE ERROR 0x2027) gelesen und mal logisch geschlussfolgert: DPD = Host nicht erreichbar.

Habe ich aus dem IP-Phone Forum - ich denke mittlerweile, dass die FB eventuell doch Probleme mit einer statischen Ip haben könnte. Ich habe in noch keiner einzigen *.cfg Datei eine feste IP finden können! Wäre zwar meiner Meinung nach logisch, wenn es so funktionieren würde, aber anscheinend gibt´s da wirklich ein Problem!

http://ippf.eu/showthread.php?p=1113534

Ich hatte gerade auch einen Artikel bezüglich der Abschaltung von PFS gelesen, leider finde ich den gerade nicht mehr

Aber bevor ich weiter herumrätsele, warum es bei Dir nicht funktioniert - mach bitte mal einen VPN-Trace vom LANCOM aus! Im LANMonitor -> Gerät -> Traces (da sollte irgendwo in der linken Liste VPN stehen)
Entferne Deine persönlichen Daten und ersetz sie durch XXX. Dann schauen wir mal weiter ...

Bis später

Andreas

[ctedv]

Hallo AS1306,

anbei sende ich dir meine Fritzbox *.cfg-Datei und einen Screenshot vom Lanmonitor. Die FritzBox 7270 verwendet die aktuelle Laborfirmaware: Version 54.04.63-12122

Den VPN-Trace kann ich im Monitor nicht finden. (s. Screenshot VPNTrace).

Viele Grüße....

[ctedv]

/*
* C:\Dokumente und Einstellungen\praxis\Anwendungsdaten\AVM\FRITZ!Fernzugang\xxxxxx_dyndns_org\fritzbox.cfg
* Tue Sep 02 10:12:39 2008
*/

vpncfg {
connections {
enabled = yes;
conn_type = conntype_lan;
name = "FRITZ!BOX";
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 0.0.0.0;
remotehostname = xxx.xx.xx.xx;
localid {
fqdn = "FRITZBOX";
}
remoteid {
fqdn = "LANCOM1724";
}
mode = phase1_mode_aggressive;
phase1ss = "all/all/all";
keytype = connkeytype_pre_shared;
key = "xxxxxxxxxxx";
cert_do_server_auth = no;
use_nat_t = yes;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.3.0;
mask = 255.255.255.0;
}
}
phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any 192.168.2.0 255.255.255.0";
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

[AS1306]

Hi ctedv,

eines fällt mir sofort auf:

remote_virtualip = 0.0.0.0;
remotehostname = xxx.xx.xx.xx;
localid {
fqdn = "FRITZBOX";

Beim "remotehostname" fehlen die "XXX.XX...." !!!

So kann die Gegenstelle nicht gefunden werden! - Check das mal!
Im 1. Bild befindet sich bei mir über dem Feld Optionen ein Menüpunkt Traces ... Welche LANMonitor-Version nutzt Du?

Bis dann

Andreas

[ctedv]

Hallo,

hatte eine altet Version vom LANMonitor installiert. Nach dem Update auf die Version V754.0019 vom 17.06.2008, konnte ich auch den Punkt Traces auswählen. Leider öffnet sich danach nur ein grauses Fenster und kurze Zeit später erscheint die

Meldung:
Verbindung fehlgeschlagen. Es konnte keine Verbindung zum Gerät hergestellt werden.

Die " " bei der Remote-Ip habe ich gesetzt. Leider kann ich die Box jetzt nicht mehr per Fernwartung erreichen. Ich kann mich erst morgen wieder melden. Vielen Dank für die super Unterstützung.

Gruß,

ctedv

[AS1306]

Hi ctedv,

Meldung:
Verbindung fehlgeschlagen. Es konnte keine Verbindung zum Gerät hergestellt werden.

Welche Firmware hast Du im LANCOM? Die sollte natürlich mit der LANMonitor- und LANConfig-Version übereinstimmen!

Hattest oder hast Du die " "-Zeichen nach meinem Hinweis gesetzt? Irgendwie kommt schon die Phase 1 nicht zustande, da die Router sich nicht zu "sehen" scheinen. Ich würde Dich daher bitten mal bei der Erstellung der *.cfg-Datei mit der AVM-Software zusätzlich einen einzelnen Benutzer anzulegen. Dieses erstellte Profil dann in den AVM-VPN Client laden. (Hierbei nicht vergessen das NAT auch manuell in dieser *.cfg Datei zu aktivieren!)

Vielleicht fragst Du wozu das: 1. Kontrolle, ob die FRITZ!Box korrekt angesteuert wird (Auflösung des DynDNS-Namens!) und 2. kannst Du bei einem erfolgreichen VPN-Aufbau mit dem Client die FRITZ!Box "lokal" ansprechen! Die "Fernadministration" kann so umgangen werden. Schau mal bitte in der FRITZ!Box in den Protokollen ob es zu einem häufigen Abbruch der DSL-Verbindung und einem entsprechendem Neuaufbau kommt!!! Ich hatte heute auch so einen IKE-ERROR und das lag definitiv an einem ausgefallenem DSL, da da jemand schlauer Weise den Stecker gezogen hatte!!! Dann wird natürlich wieder etwas Zeit für die DynDNS-Registrierung benötigt und der "hinterlegte" IP stimmt nicht mit der tatsächlichen IP überein.

Ein Versuch wäre es auch Wert, die feste IP auf Seiten des LANCOM´s durch einen DynDNS Eintrag zu komplettieren. Vielleicht ist ja eine Namensauflösung seitens der FRITZ!Box unbedingt notwendig. Ich habe hierzu leider aber nichts Verbindliches finden können. Diese Frage kann Dir aber definitiv nur der AVM-Support beantworten. Das Ergebnis würde ich auch gern erfahren und hier posten, falls Du da Hinweise erhälst !

Den dynamik VPN-Fehler kannst Du übrigens erst einmal negieren, da er solange kommen wird, solange keine VPN-Verbindung steht. Die zu pollende IP ist ja aus dem entfernten lokalen Netz, die er ja nicht finden kann. Also sucht er in der PPP-Liste nach einer "Gegenstelle" (Meine Vermutung, da ich die Sache net programmiert habe )

Und noch eine Sache: Bei allen VPN-Verbindungen zwischen einer FRITZ!Box und einem LANCOM-Router wird der VPN-Tunnel seitens der FRITZ!Box initiiert! (Dies kannst Du im LANMonitor an dem Pfeil vor der VPN-Verbindung sehr gut erkennen!) Wenn ich also alles hier erwähnte noch einmal kurz "zusammenaddiere" liegt das Problem nicht am LANCOM-Router direkt. Es gibt ein Problem ihn zu "sehen", entweder durch die statische öffentliche IP oder einer schlechten DSL-Leitung auf Seiten der FRITZ!Box (siehe Protokolle!) - Siehe auch IKE-ERROR Meldungen.

Ich würde Dich allerdings bis zur Lösung der Problematik bitten, Deine Erkenntnisse und Erfahrungen bzgl. dieser VPN-Konfiguration hier zu posten. Irgendwie wollen wir ja alle davon profitieren. Diese AVM-VPN Geschichte finde ich schon irgendwie proprietär, anders kann man das manuelle Bearbeiten der Config-Datei ja wohl net bezeichnen - da lob ich mir meine LAN-LAN Kopplung mit echten LANCOM´s - 1-Click und das VPN steht

Also bis später, lass den Kopf nicht hängen - irgendwie klappt es schon noch!

Andreas

[ctedv]

Hallo,

der Lancom-Router verwendet jetzt die Firmware 7.54 mit der passenden Software. Leider funktioniert der VPN-Trace trotzdem nicht.

Die " "-Zeichen habe ich gesetzt. Leider auch ohne Erfolg. Habe gestern noch zum Test eine VPN-Verbindung zwischen meiner 7270 und einer weiteren 7270 eingerichtet. Hier gab es keine Probleme.

Eine Client-Lan-Verbindung aus dem Netz mit dem Lancom-Router zur 7270 konnte ich ebenfalls erfolgreich herstellen.

Bezüglich der festen IP-Adresse im Lancom-Router habe ich eine Anfrage beim AVM-Support gestellt. Wenn ich eine Antwort erhalte, werde ich diese natürlich hier posten.

Schaun wir mal, wie es weiter geht. Ich melde mich auf jeden Fall, sobald ich neue Erkenntnisse habe.

Bis dann...

ctedv

[AS1306]

Hi ctedv,

probier doch mal folgendes:

Leg Dir bei DynDNS einen DNS-Eintrag an, den Du ja nicht unbedingt aktualisieren musst! Gehe dann vom LANCOM-Netz auf Deinen DynDNS-Account und den neu angelegten DNS-Eintrag - jetzt gibt es die Option, die aktuelle IP für diesen Eintrag zu übernehmen. Da sich Deine IP nicht ändern wird, benötigst Du für 90 Tage keine Aktualisierung. Falls kein weiterer DNS-Eintrag vorhanden sein sollte, mußt Du allerdings aufpassen, dass sie Dir Deinen Account nicht löschen!

Durch den so erstellten DNS-Eintrag findet man schnell raus, ob eine IP an dieser Stelle möglich ist oder eben nicht. Ich weiß nicht wie lange der AVM-Support zur Beantwortung Deiner Anfrage benötigen wird, deshalb dieser kleine "Workaround".

Hast Du die Dokumentenstruktur der *.cfg Datei sonst irgendwie verändert? Ich meine die Einzüge!

Bis dann

Andreas

[ctedv]

Hallo!

Sorry, dass ich mich erst jetzt melde, aber ich hatte in den letzten Tagen einfach keine Zeit gefunden.

Von AVM habe ich leider noch keine Aussage bezüglich feste IP-Adresse und DynDns-Namen erhalten. Habe aber deinen Rat befolgt und bei DynDns einen Account für die feste IP-Adresse angelegt.

Das Problem konnte damit leider nicht gelöst werden. - Ausser dem Einfügen des DynDns-Namens habe ich an der *.cfg nicht geändert.

[ctedv]

Wenn man vom Teufel spricht....

Gerade habe ich eine Antwort von AVM erhalten. Die FritzBox unterstützt auch feste IP-Adressen. Das sollte also nicht das Problem sein. Zur weiteren Konfiguration wurde ich auf die AVM-VPN-Webseite verwiesen.

[Alex030]

Hallo Leute,

wollte mal horchen, ob sich das Problem bei euch jetzt erledigt hat?
Habe mir nun aus mehreren Foren und HowTos irgendwie die richtigen Angaben zusammengschnippelt und nun ein lauffähiges VPN zwischen einer Fritbox 7270 und einem LANCOM 1711. Ich kann nur sagen, der Teufel ist ein Eichhörnchen

Mache gerade eine kleine Doku dazu und würde die bei Bedarf hier posten.

Gruß
Alex

[AS1306]

Hallo Alex030,

interessant wäre diese Anleitung schon - da ich mit der von mir aufbereiteten Anleitung nie Probleme habe, würde ich gerne wissen, was Du hier noch anders konfigurierst. Wo liegt hier also der Hase im Pfeffer begraben ctedv ist im Urlaub, so dass wir vielleicht sein Problem mit Deinem Hinweis schon gelöst hätten. Wie gesagt - interessant ist, was von meiner Anleitung abweicht bzw. neu hinzugekommen ist. Nicht die eventuelle Lösung andeuten ... posten

Bis später

Andreas