Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

gelöst ZyWALL USG 20 mit FritzBOX WLAN 7360 via IPSecVPN verbinden

Mitglied: iceget

iceget (Level 2) - Jetzt verbinden

29.09.2016, aktualisiert 14:41 Uhr, 6748 Aufrufe, 4 Kommentare

Hallo liebe Community,

habe folgendes Problem:
Standort A = eine ZyWALL USG 20 (auch) mit einer ZyWALL 2 + getestet (beide aktuellste Firmware)
Standort B = eine FritzBox Fon WLAN 7360 (Modell: FRITZ!Box Fon WLAN 7360, FRITZ!OS:06.52-33765 BETA)

Beide haben eine statische IP-Adresse.

Standort A: 192.168.20.0/24 - WAN: 91.113.X.X
Standort B: 192.168.21.0/24 - WAN: 88.116.X.X

Meine Konfiguration Standort A:
Phase 1:
Phase 2:
Meine VPN-Konfiguration auf der Fritzbox:
Nun zum eigentlichen Problem.
Der Tunnel geht auf, ohne Probleme. Leider schreibt die Fritzbox nach diesen 3600 Sekunden folgende Meldungen:
Der Meldung nach auf der Fritzbox 0x2026: IKE-Error 0x2026 "no proposal chosen"
Der Meldung nach auf der Fritzbox 0x203d: IKE-Error 0x203D "phase 1 sa removed during negotiation"

auf der Gegenseite ZyWALL:
Folgendes hab ich schon versucht:
- Main + Aggressive
- SHA1 / MD5
- 3DES / AES128

D.h. kurz; jede Stunde wird der Tunnel für zirka 15 Sekunden getrennt, und verbindet sich jedoch dann wieder selbst.

Habe auch versucht beide LifeTimes (P1+P2) von 3600 auf 86400 zu setzen. Auch P1: 3600 und P2: 86400 und umgekehrt.

Könnt ihr mir helfen? Was mache ich falsch?
log - Klicke auf das Bild, um es zu vergrößern

So sieht dies auf den Geräten aus:

Mitglied: aqui
29.09.2016, aktualisiert um 15:55 Uhr
Was mache ich falsch?
Negotiation Mode Main ist falsch wenn du Fremdhersteller koppelst. Hier solltest du unbedingt beide Seiten in den Agressive Mode setzen.
"no proposal chosen" bedeutet das sich beide Seiten nicht auf eine gemeinsame Cipher Suite (Phase 2) einigen können.
3DES und SHA1 bzw. AES128 und SHA1 sollte eigentlich immer klappen wenn das auf beiden Seiten eingestellt ist. Das ist eigentlich der reguläre minimale Standard.
https://blog.webernetz.net/2015/03/11/fritzos-ab-06-23-ipsec-p2-proposal ...
und auch
http://forum.ipfire.org/viewtopic.php?t=16254
Auch die zyklische Trennung zeugt von einem Lifetime Mismatch auf beiden Seiten. Den solltest du auf alle Fälle anpassen das der identisch ist.
Weitere Grundlagen zu der Thematik findest du in diesem Forums Tutorial:
https://www.administrator.de/wissen/ipsec-vpn-praxis-standort-kopplung-c ...
Bzw. ein identischer Forumsthread.
https://www.administrator.de/content/detail.php?id=316404&token=59
Bitte warten ..
Mitglied: iceget
30.09.2016, aktualisiert um 11:20 Uhr
Hallo aqui,

danke für deine Antwort.

Habe mir alles durchgelesen, und habe mittlerweile auch dei ZyWALL USG 20 in Verwendung.

Folgendes Setup seitens FritzBOX:
Konfiguration ZyWALL:
p1 - Klicke auf das Bild, um es zu vergrößern

p2 - Klicke auf das Bild, um es zu vergrößern

Log nach Verbindungsaufbau (trotz Fehler, der Tunnel steht):
log - Klicke auf das Bild, um es zu vergrößern

Hab auch anderen Konfigurationen versucht, leider immer das gleiche Ergebnis.

Was mach ich falsch?

Danke und lg
Bitte warten ..
Mitglied: iceget
03.10.2016 um 14:41 Uhr
Hab nochmal mit AVM telefoniert. Die haben mir auch die aktuellsten Strategien geschickt,
hab dann noch mal etwas rum experimentiert, folgendes läuft anstandslos:

Fritzbox-Konfiguration:
ZyWALL-Konfiguration:
config - Klicke auf das Bild, um es zu vergrößern

Hier nochmal die Infos von AVM.
Die FRITZ!Box unterstützt folgende Sicherheitsstrategien für VPN-Verbindungen IKE Phase 1 und 2

IPSEC-Strategien für die Phase 1
IPSEC-Strategien für die Phase 2
Seitens AVM die Lifetime-Konfiguration:
Für die IKE-KPhase 1 und 2 ist die Lifetime auf 1 Stunde festgesetzt, außer für

IKE Phase 1
"LT8h/all/all/all"

und IKE Phase 2

"LT8h/esp-all-all/ah-none/comp-all/pfs"
und
"LT8h/esp-all-all/ah-none/comp-all/no-pfs"

Hier ist die Lifetime der SAs auf 8 Stunden.



Lg
Bitte warten ..
Mitglied: aqui
04.10.2016 um 14:23 Uhr
Danke für das hilfreiche Feedback !
Bitte warten ..
Ähnliche Inhalte
Router & Routing
ZyXEL ZyWALL USG 20 Routing
Frage von Oggy01Router & Routing42 Kommentare

Hallo, und wieder habe ich ein Problem mit dem Routing. Bis vor ein paar Tagen habe ich das mit ...

Firewall

Zyxel ZyWall USG 20 Firmware Update bleibt stehen

gelöst Frage von lmediciFirewall5 Kommentare

Hallo Ich habe ein Firmwareupdate der Firewall ZyWall USG 20 hochgeladen und initiiert. Es gibt hierfür ein Video auf ...

Router & Routing

Router und Firewall Zyxel USG-20

Frage von maax227Router & Routing1 Kommentar

Guten Abend Habe ein Heimnetz und habe hinter dem InternetProvider Router ein Firewall. Nun möchte ich zwei getrennte Netze ...

DSL, VDSL

Fritzbox mit ZyXEL USG

Frage von seiimonnDSL, VDSL2 Kommentare

Hallo zusammen, bei einem Kunde in Deutschland ist eine Fritbox im Einsatz. Nun wünscht sich der Kunde eine Zyxel ...

Neue Wissensbeiträge
Informationsdienste

Leistungsschutzrecht: Ein neuer Diskussionsentwurf liegt vor

Information von Frank vor 20 StundenInformationsdienste7 Kommentare

Anfang April (leider kein Scherz) hat das Bundesjustizministerium den nächsten ausformulierten Referentenentwurf für ein "erstes Gesetz zur Anpassung des ...

Instant Messaging

Videokonferenz oder Chatsystem für das Homeoffice

Information von Frank vor 1 TagInstant Messaging6 Kommentare

Ich hatte es bereits in einem Kommentar gepostet, da ich aber viele Nachfragen dazu bekam, hier noch mal meine ...

Off Topic

Ein wenig Aufklärung über Corona von Bill Gates persönlich

Information von Frank vor 1 TagOff Topic24 Kommentare

Amerika hat ein Problem: Die Arroganz des sehr klugen Präsidenten führte zur aktuellen Corona-Krise in den USA. Was jetzt ...

Off Topic
3D-Drucker gegen Corona - helft mit!
Information von DerWoWusste vor 2 TagenOff Topic12 Kommentare

Unter vorigem Link sind Anleitungen, wie man sich mit seinem 3D-Drucker an der Produktion (Druck) von Bauteilen für Atemmasken ...

Heiß diskutierte Inhalte
Windows Server
Hyper-V VM vorm Admin absichern
Frage von MarabuntaWindows Server24 Kommentare

Hallo, wie bekomme ich eine VM in WS 2012 Hyper-V soweit abgetrennt, dass ein Admin ohne Passwort keinen (leichten) ...

Off Topic
Ein wenig Aufklärung über Corona von Bill Gates persönlich
Information von FrankOff Topic24 Kommentare

Amerika hat ein Problem: Die Arroganz des sehr klugen Präsidenten führte zur aktuellen Corona-Krise in den USA. Was jetzt ...

Windows Server
Windows 7 wird im WSUS nicht angezeigt
Frage von DavidHergWindows Server21 Kommentare

Guten Abend zusammen, nachdem sich die Frage mit meinem WSUS erledigt hat und somit alles jetzt funktioniert, hab ich ...

Netzwerkmanagement
Patchfeld absperren? unzugänglich machen
gelöst Frage von manchmalfunktioniertsNetzwerkmanagement11 Kommentare

Hallo zusammen, merkwürdige Frage, aber kennt jemand von euch eine Möglichkeit ein Patchfeld zu verschließen? Hintergrund: Großes Gebäude, mehrere ...