
113726
27.03.2015, aktualisiert am 10.04.2015
Firewall verhindert VPN Zugriff eines entfernten Netzes
Hallo zusammen,
An unserem Netz ist jetzt ein weiteres Fritzboxnetz per VPN angebunden.
Die VPN Verbindung funktioniert einwandfrei. Beide Fritzboxen erreichen sich untereinander.
Ich erreiche also mit einem Rechner an der einen Fritzbox die andere Fritzbox und umgekehrt.
Das Problem ist nur, dass ich mit unseren Clients im Work-Netz nicht das entfernte Netz erreiche und mit dem entfernten Rechner erreiche ich keinen Client im Work-Netz.
Nur Box zu Box funktioniert.
Jetzt bin ich mir nicht sicher, ob wirklich der Mikrotik schuld hat, denn vom Work-Netz aus erreiche ich die lokale Fritzbox einwandfrei.
Ich habe schon 1-2 Regeln zusätzlich versucht, um das entfernte Netz zu erreichen aber die nichts brachten. Ebenfalls habe ich schon versucht, alle Regeln zu deaktivieren und selbst das brachte nichts.
Ist der Fehler hier wirklich im Mikrotik zu suchen oder ist doch in der Fritzbox was falsch eingestellt?
Wenn alle Regeln deaktiviert sind, müsste ich ja alles und jeden erreichen.
Auf der lokalen Fritzbox habe ich die beiden Routen für unsere Netze drauf, auf der entfernten Fritzbox habe ich keine Routen drauf.
lokale Fritzbox 7170
entfernte Fritzbox 6810 LTE
Vielen Dank im Voraus.
Manuel
An unserem Netz ist jetzt ein weiteres Fritzboxnetz per VPN angebunden.
Die VPN Verbindung funktioniert einwandfrei. Beide Fritzboxen erreichen sich untereinander.
Ich erreiche also mit einem Rechner an der einen Fritzbox die andere Fritzbox und umgekehrt.
Das Problem ist nur, dass ich mit unseren Clients im Work-Netz nicht das entfernte Netz erreiche und mit dem entfernten Rechner erreiche ich keinen Client im Work-Netz.
Nur Box zu Box funktioniert.
Jetzt bin ich mir nicht sicher, ob wirklich der Mikrotik schuld hat, denn vom Work-Netz aus erreiche ich die lokale Fritzbox einwandfrei.
Ich habe schon 1-2 Regeln zusätzlich versucht, um das entfernte Netz zu erreichen aber die nichts brachten. Ebenfalls habe ich schon versucht, alle Regeln zu deaktivieren und selbst das brachte nichts.
Ist der Fehler hier wirklich im Mikrotik zu suchen oder ist doch in der Fritzbox was falsch eingestellt?
Wenn alle Regeln deaktiviert sind, müsste ich ja alles und jeden erreichen.
Auf der lokalen Fritzbox habe ich die beiden Routen für unsere Netze drauf, auf der entfernten Fritzbox habe ich keine Routen drauf.
lokale Fritzbox 7170
entfernte Fritzbox 6810 LTE
Vielen Dank im Voraus.
Manuel
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 267629
Url: https://administrator.de/forum/firewall-verhindert-vpn-zugriff-eines-entfernten-netzes-267629.html
Ausgedruckt am: 22.04.2025 um 01:04 Uhr
29 Kommentare
Neuester Kommentar
Hallo,

IP Nummern und subnetzte sind nicht wie Namen Shall und Rauch. Wir brauchen es weil wir es nicht wie du wissen.

Wo kommt jetzt dein Mikrotik (oder sind es gar mehrere?) ins Planschbecken?
Sieh es nicht so Schwarz - heut ist Freitag - und das ist hier im Forum dann immer blöd
Gruß,
Peter
Zitat von @113726:
An unserem Netz ist jetzt ein weiteres Fritzboxnetz per VPN angebunden.
Huh?!? Per VPN Protokoll der Fritte? Ober die Assistenten eingerichtet oder doch Manuell?An unserem Netz ist jetzt ein weiteres Fritzboxnetz per VPN angebunden.
Die VPN Verbindung funktioniert einwandfrei.
Dann solltest du doch keine Probleme haben, oder? Ich erreiche also mit einem Rechner an der einen Fritzbox die andere Fritzbox und umgekehrt.
OK (Wichtig)Das Problem ist nur, dass ich mit unseren Clients im Work-Netz
Was ist ein WOKK-Netz? nicht das entfernte Netz erreiche und mit dem entfernten Rechner erreiche ich keinen Client im Work-Netz.
Rede mal über Straßen und Hausnummern (IP Nummern, Subnetzmasken, Gateway usw.)Nur Box zu Box funktioniert.
Oben hast du aber doch gesagt das auch ein Client die entfernten fritten erreichen kann und das sogar Antworten davon zu den aufrufenden Client den weg zurückfinden (nennt sich Routing). Watt nu?Jetzt bin ich mir nicht sicher, ob wirklich der Mikrotik
Jetzt wird es lustig. Solange der in seine Geschenkverpackung drin liegt hat der niemals schuld Wo kommt jetzt dein Mikrotik (oder sind es gar mehrere?) ins Planschbecken?
schuld hat, denn vom Work-Netz aus erreiche ich die lokale Fritzbox einwandfrei.
Erklär das mal einen Postboten, Der versteht genauso wenig...Ich habe schon 1-2 Regeln zusätzlich versucht
Dir ist schon klar das wir noch nicht mal eine deine Regeln kennen. Wie sollen wir dann wissen was deine 1-2 Regeln tun oder nicht tun? Gedankenübertragung?aber die nichts brachten
Mich wundert es nicht. Verstehen tut es er keiner.ich schon versucht, alle Regeln zu deaktivieren und selbst das brachte nichts.
Auch das wundert einen nicht. Firewalls ohne Regeln sind nur Stromverbraucher ohne irgendein Nutzen außer als Heizung zu dienen.Ist der Fehler hier
Wir können keine entdecken (wir kenn aber nicht eine einzige Konfiguration geschweige denn auch nur eine IP). Wunder dich nicht.Wenn alle Regeln deaktiviert sind, müsste ich ja alles und jeden erreichen.
Wie gesagt, eine Firewall ist dann so gut wie tot, aber braucht noch Strom.Auf der lokalen Fritzbox habe ich die beiden Routen für unsere Netze drauf, auf der entfernten Fritzbox habe ich keine Routen drauf.
Und nur du wirst wissen warum und was da alles gemacht wurde.lokale Fritzbox 7170
entfernte Fritzbox 6810 LTE
Zumindest mal etwas was uns weiterhilft....entfernte Fritzbox 6810 LTE
Sieh es nicht so Schwarz - heut ist Freitag - und das ist hier im Forum dann immer blöd
Gruß,
Peter
Zitat von @113726:
Die Verbindung zwischen beiden Boxen klappt.
Wenn ich ein Client direkt an einer der beiden Boxen ran hänge, dann kann ich auch die gegenüberliegende Fritzbox
erreichen mittels Ping.
Ich erreiche also mit Client 192.168.2.107 nicht die Fritzbox 192.168.4.1.
Die Verbindung zwischen beiden Boxen klappt.
Wenn ich ein Client direkt an einer der beiden Boxen ran hänge, dann kann ich auch die gegenüberliegende Fritzbox
erreichen mittels Ping.
Ich erreiche also mit Client 192.168.2.107 nicht die Fritzbox 192.168.4.1.
Hm, widersprichst du dir hier nicht schon wieder selbst?
Gruß
Hallo,
und deine Konfigurationen nicht mehr auf den Schirm. Mikrotik für VLAN einrichten. Die sind das doch, oder?
Gruß,
Peter
Zitat von @113726:
letztens als ich euch Informationen geben wollte hieß es immer, dass ihr das schon wisst.
Sorry, hatte deine Monster letztens als ich euch Informationen geben wollte hieß es immer, dass ihr das schon wisst.
Also oben habe ich einmal ein Bild zu unserem Netzwerk ergänzt und einmal die Firewall regeln im mikrotik.
OK.Wenn ich ein Client direkt an einer der beiden Boxen ran hänge, dann kann ich auch die gegenüberliegende Fritzbox erreichen mittels Ping.
OKAber ich erreiche nie, was dahinter ist.
Dann löse erst mal das bevor du dich an dein Mikrotik vergreifst. Schau dir die Konfiguration deiner Fritten sowie wie die Lokalen Firewalls deine Endgeräte an. Notfalls ein Mittschnitt an den Fritten und oder Wireshark an den Endgeräten. wenn das dann alles läuft kannst du dich hinter deiner Mikrotik setzen.Bei dem Test waren alle Regeln im Mikrotik ausgeschalten.
Der kann dann nur noch Strom verbraten, aber nicht mehr Routen und oder Firewallen...Gruß,
Peter
Hallo,
Gruß,
Peter
Zitat von @113726:
Das habe ich jetzt mal gemacht
Nicht wirklich.Das habe ich jetzt mal gemacht
Traceroute geht durch.
Aber nicht zwischen dein VPN von einer Fritte zur anderen.... oder eines internen Clients zur entfernten Fritte.... Du fragst da was so im Internet passiert....Es dauert aber sehr.
Wundert es dich wenn du etwas im Internet versuchst zu verfolgen?Nur warum kann ich das Webinterface der Fritzbox nicht erreichen bzw. den Client?
Weil du nicht versucht hast deine Fritte per VPN zu erreichen. Und wo dein zelldreh.selfhost.eu terminiert wissen wir nicht.Gruß,
Peter
Das Problem ist nur, dass ich mit unseren Clients im Work-Netz nicht das entfernte Netz erreiche
Wie immer: Lokale Firewall blockt solche Zugriffe, da von einem fremden IP Netz.Lösung: Firewall anpassen !
Außerdem ist ICMP (Ping Traceroute) ab Windows 7 in der Firewall deaktiviert. Das musst du erst wieder aktivieren und wie das geht steht hier:
http://www.windowspro.de/tipp/ping-windows-7-server-2008-r2-zulassen
Wenn du das alles anpasst funktioniert es auf Anhieb !
Details dazu hat auch das AVM VPN Portal:
http://avm.de/service/vpn/praxis-tipps/anpassung-einer-vpn-verbindung-v ...
Hallo,
http://fritz.box/html/capture.html
http://fritz.box/capture.lua
Mach ein Mitschnitt mit deinen Wireshark.
Dann siehst du wo es klemmt.
Gruß,
Peter
Zitat von @113726:
Traceroute von 192.168.107 zu 192.168.4.1 --> hängt bei der eigenen Fritzbox
Also wenn ich traceroute richtig deute, dann überwindet er die Fritzbox 192.168.1.1 und hängt dann.
Mach ein Mitschnitt auf deine(n) Fritten.Traceroute von 192.168.107 zu 192.168.4.1 --> hängt bei der eigenen Fritzbox
Also wenn ich traceroute richtig deute, dann überwindet er die Fritzbox 192.168.1.1 und hängt dann.
http://fritz.box/html/capture.html
http://fritz.box/capture.lua
Mach ein Mitschnitt mit deinen Wireshark.
Dann siehst du wo es klemmt.
Gruß,
Peter

Moinsens miteinander!
Naaa, da haben sich ja alle wieder eingefunden für das nächste Monster
.... Chipstüte liegt hier schon bereit.
Du musst die VPN-Config (AccessList) der gegenüberliegenden Fritte manuell um die weiteren Subnetze deines Mikrotik ergänzen, und dann wieder in die Fritte reinladen. Denn die gegenüberliegende Fritte kennt zwar das Netz 192.168.1.x aber nicht die 192.168.2.x oder 192.168.3.x, deswegen kommt niente an ICMP Paketen zurück!
Bei LAN-LAN Kopplung machen die Fritten eben kein NAT, deswegen musst du die VPN-Config entsprechend ergänzen.
Hier steht das Prozedere: (Punkt 2 ist hier für dich relevant)
http://en.avm.de/nc/service/fritzbox/fritzbox-6840-lte/knowledge-base/p ...
(Und diesmal bitte gründlich lesen! Danke)
Alternative
Umgehen kannst du das ganze nur wenn du den Traffic deiner Mikrotik-Netze NATest, denn dann steht in den Paketen des Mikrotik als Absenderadresse immer die des MK im 192.168.1.x Netz, logisch oder ?!
Da sieht du es mal wieder, ein wenig Routing-Grundlagen ständen dir langsam aber sicher doch ganz gut ...l
Gruß jodel32
Naaa, da haben sich ja alle wieder eingefunden für das nächste Monster
Du musst die VPN-Config (AccessList) der gegenüberliegenden Fritte manuell um die weiteren Subnetze deines Mikrotik ergänzen, und dann wieder in die Fritte reinladen. Denn die gegenüberliegende Fritte kennt zwar das Netz 192.168.1.x aber nicht die 192.168.2.x oder 192.168.3.x, deswegen kommt niente an ICMP Paketen zurück!
Bei LAN-LAN Kopplung machen die Fritten eben kein NAT, deswegen musst du die VPN-Config entsprechend ergänzen.
Hier steht das Prozedere: (Punkt 2 ist hier für dich relevant)
http://en.avm.de/nc/service/fritzbox/fritzbox-6840-lte/knowledge-base/p ...
(Und diesmal bitte gründlich lesen! Danke)
Alternative
Umgehen kannst du das ganze nur wenn du den Traffic deiner Mikrotik-Netze NATest, denn dann steht in den Paketen des Mikrotik als Absenderadresse immer die des MK im 192.168.1.x Netz, logisch oder ?!
Da sieht du es mal wieder, ein wenig Routing-Grundlagen ständen dir langsam aber sicher doch ganz gut ...l
Gruß jodel32
Kann an hier auch nachlesen:
http://avm.de/service/vpn/praxis-tipps/drei-oder-mehr-fritzbox-netzwerk ...
gründlich lesen halt
http://avm.de/service/vpn/praxis-tipps/drei-oder-mehr-fritzbox-netzwerk ...
gründlich lesen halt
Ist es ein Fehler unser Servierten mit dem entfernten Netz zu koppeln?
Servietten ??Generell nein ! Das ist ein gängiges Verfahren und tausendfach gemacht bei Formen mit Zweigstellen.
Reicht es auch nur aus, das entfernte Netz mit unserem zu koppelt? Also nur die VPN Config in die entfernte Fritte zu laden?
Nein, das reicht natürlich nicht !Was du zusätzlich machen musst ist HIER ganz genau beschrieben:
http://www.heise.de/ct/ausgabe/2015-6-Fritzbox-Was-sich-aus-dem-Router- ...
bzw.
https://www.heise.de/artikel-archiv/ct/2015/06/140_VoIP-Durchreiche
Oder hast du nur eine simple VPN Verbindung ohne VoIP ?? Dann reicht natürlich das simple VPN.
allerdings möchte ich ja auch von "unserem" Netz aus die entfernte Fritzbox z.B. erreichen
Das ist ja kein Thema wenn du ein VPN etabliert hast.IP dieser entfernten FB im Browser eintippen....et voila, da hast du sie erreicht ! Das ist ja nun wahrlich ein Kinderspiel.

Moin,
mal wieder der Herr "Ich lese nicht gerne".
Ich tippe zu 90% darauf das du bei der manuellen Anpassung der VPN-Config der Fritte die Subnetze in den ACLs falsch eingetragen hast ... das mal als möglicher Ansatz.. (siehe damaliger Post von dir)
Gruß jodel
mal wieder der Herr "Ich lese nicht gerne".
Ich tippe zu 90% darauf das du bei der manuellen Anpassung der VPN-Config der Fritte die Subnetze in den ACLs falsch eingetragen hast ... das mal als möglicher Ansatz.. (siehe damaliger Post von dir)
Gruß jodel

Die Config ist richtig
Das sagst du, überprüfen können wir das hier ohne diese im Klartext zu sehen, leider nicht!Grade oben ergänzt, sorry bisschen spät
das nächste mal wegen der besseren Lesbarkeit ;)
Formatierungen in den Beiträgen

Zitat von @113726:
Aber findet ihr einen Fehler?
Ich wäre ja froh, wenn ihr was findet ;)
Nope ist so i.O.Aber findet ihr einen Fehler?
Ich wäre ja froh, wenn ihr was findet ;)
Da muss was bei deinem DNS-Server nicht stimmig sein ...
Hallo,

Gruß,
Peter
Zitat von @113726:
Autodiscover Fehlermeldungen, DNS Fehler, VSS Fehler
Wenn du für die Sicherung welche VSS nutzt irgendwie Namen verwendest welche DNS zwingend nutzen, dann macht es sinn das du wie @114757 schon anmerkte das hier dein DNS im gesamten nicht mehr das tut was der DNS im einzelnen sauber tut. Denn durch VPN kann das nicht kommen - es sei denn deine gesamte DNS Konstruktion läuft dann nicht mehr richtig z.B. weil es doppelte Rechnernamen gibt (jeweils pro eigenes Netz) welche durch dein VPN dann falsch aufgelöst werden ... Auch dein GFI wird wohl irgendwelche IPs zu bestimmten Namen haben wollen, aber jetzt auf einmal eine falsche IP bekommen.....Autodiscover Fehlermeldungen, DNS Fehler, VSS Fehler
Ich habe es getestet und es liegt definitiv daran, dass ich unser Netz mit der entfernten Fritzbox gekoppelt habe. Sobald ich die Kopplung deaktiviere sind alle Fehlermeldungen weg.
Zwar richtig getestet, aber falsche Schlussfolgerung. Du musst auch deine Dienste betrachten wie die sich nun in ein vergrößertes Netz mit mehr Geräte und Dienste und Server verhalten, denn über dein VPN wird ja neue Welt plötzlich deinem Universum hinzugefügt....Doch warum ist das so?
Falsche Planung Ist es ein Fehler . . . mit dem entfernten Netz zu koppeln?
Nein, aber es muss schon passen was dann als Ergebnis im gesamten zu betrachten ist...Gruß,
Peter

... und aus den Fehlermeldungen werde ich nicht schlau.
Wir vielleicht schon, aber wir können sie ja leider nicht sehen ... du Witzbold.Lass dir nicht alles aus der Nase ziehen und poste alles was relevant sein könnte. Du möchtest ja Hilfe, nicht wir ...