Jun 10, 2020

3803

Fritzbox 7490 im Firmen Netz VPN nicht möglich

Hallo Zusammen

Ich wollte von Extern auf den eben erstellten VPN Server (Microsoft Server 2019) zugreifen. Leider erfolglos.

Zuerst habe ich es via PPTP versucht. Dann irgendwo gelesen, dass die Fritzbox damit mühe hat.

Also alles auf L2TP umgestellt. Portfreigabe auf dem Router gemacht, User sind ebenso angepasst in der AD für Remote Zugriff. Key eingetragen usw.

Aber es geht noch immer nicht.

Unklar ist mir die Fitzbox dort gibt's die Möglichkeit: Ihr Heimnetz mit einem anderen FRITZ!Box-Netzwerk verbinden (LAN-LAN-Kopplung), aber das will ich doch nicht, oder?

Die Fritzbox steht ja im Unternehmen und die Leute sollen nun von egal wo via diese Fritzbox auf den Server zugreifen können.

Und nein, es gibt kein Admin. Der bin ich

Danke für eure Hilfe.

Please also mark the comments that contributed to the solution of the article

Content-Key: 578098

Url: https://administrator.de/contentid/578098

Printed on: April 20, 2024 at 12:04 o'clock

35 Comments

Latest comment

Hi,
VPN direkt an der Fritzbox für die User einrichten würde gehen.
Als Windows-Client könntest du den Shrewsoft client nehmen.
Allerdings eine FB als einzigen Router für Firmen würde ich nicht machen. Das solltest du überdenken.

Gruß

FB wird als einziger Router dort bleiben, es soll kein ewiges Projekt werden. Da arbeiten 7 Hausfrauen und die sollen ihr Netzt so wie es dann ist auch irgendwie administrieren können. Es ist alls auf Gratisarbeit basierend.

mit dem normalen Windows VPN Tool geht das nicht? Dafür brauchts Shrewsoft client? Je mehr Standart desto besser.

hier noch die Fehlermeldung

Moinsen,
die Fritzbox würde ich im beruflichen Bereich ebenfalls als überfordert bezeichnen (je nach Größe der MA-Zugriffe). Da kommt es ja bereits im Heimbereich zu langsamen Verbindungen.
Ist der Microsoft Server denn solitär für VPN zuständig oder macht er das parallell zu anderen Diensten? Dann würde ich auch davon Abstand nehmen (Sicherheit!).
Auf der FB ist AFAIK "nur" die PWL nötig auf den VPN Server, sonst nix.
Ich selber würde da eher einen separaten VPN Server nutzen oder aber einen potenten VPN-fähigen Router. Nach meinem Erfahrungsstand (der nur für den Heimbereich gering vorliegt, ahem) sollte VPN nicht IM Netzwerk sondern in der Peripherie terminiert werden, sonst steht eben ein potentielles Angriffsziel mitten in eurem Netzwerk offen.
Wenn ihr nur ne kleine Firma mit wenigen Zugriffen seid und die Datenmengen überschaubar sind, dann tut es vielleicht sogar ne einfache Raspi VPN Lösung. Oder wenn mehr erforderlich ggf. pfSense und co...
Ob PPTP oder openVPN oder L2TP sollte eigentlich der Fritzbox egal sein, denn die ist ja nur die Durchreiche auf den eigentlichen VPN-Server.
So als Idee aus dem Hobbykeller...

Grüßle
th30ther

PS: eben erst den neuen Beitrag gesehen, sorry. Bei der angegebenen Anforderung sollte dann die FB aber reichen, wie gesagt notfalls die Raspi Lösung, vielleicht, wenn das alles nicht SO brisant ist, auch mal Wireguard ansehen?

Zitat von @144514:

Hallo Zusammen

Moin,

Zuerst habe ich es via PPTP versucht. Dann irgendwo gelesen, dass die Fritzbox damit mühe hat.

PPTP ist heutzutage ein Sicherheitsrisiko. Das soltle man überhaupt nciht mehr nehmen, egal ob mit oder ohen Fritzbox.

Also alles auf L2TP umgestellt. Portfreigabe auf dem Router gemacht, ...

Welche Ports? Nur 1701 oder auch die für IPSEC und NAT-T?

...User sind ebenso angepasst in der AD für Remote Zugriff. Key eingetragen usw.

Aber es geht noch immer nicht.

Fehlermeldung? Hast Du mit Wireshark auf dem Server geschaut, ob die Pakete ankommen? Was steht in den Server-Logs? IST IPSEC auf der Fritzbox aus, auch alle User gelöscht? Ansonsten bleibt das IPSEC an der Fritzbox kleben.

Unklar ist mir die Fitzbox dort gibt's die Möglichkeit: Ihr Heimnetz mit einem anderen FRITZ!Box-Netzwerk verbinden (LAN-LAN-Kopplung), aber das will ich doch nicht, oder?

Naja, es kommt drauf an, was du genau ereichen willst. Aber Du willst eigentlich gar kein VPN auf eine Windows-Server und auch nicht auf der Fritzbox nutzen, sondern Dir einen speziellen VPN-Server oder Router hinstellen!

Die Fritzbox steht ja im Unternehmen und die Leute sollen nun von egal wo via diese Fritzbox auf den Server zugreifen können.

Dann machst Du entweder die Fritte mti IPSEC als VPN-Einwahlpunkt oder stellst da einen ordentolichen Router hin. der performanter IPSEC macht.

Und nein, es gibt kein Admin. Der bin ich

Dann ruf entweder das freundlcihe Systemhaus um die Ecke an oder liste Dir aquis Anleitung zum Thema VPN udn Firewall durch.

lks

Als "standard" für einfach administrierbare Sachen würde ich OpenVPN ins Auge fassen und intern noch einen OpenVPN Server als VM oder als Hardware laufen lassen. Die Fritzbox soll den Port dann nur zu diesem Dienst durchreichen.

Über Openvpn gibt es auch die meisten Anleitungen im Netz und die wenigsten Komplikationen mit den verschiedenen Zertifikats- und Verschlüsselungsverfahren.

hmmm das die Fritzbox nichts taugt, drufte ich schon bei der Domain Erstellung erfahren. Aber die ist nun dort und da hängt auch noch IP Telefon des Providers dran und aus ich mal schnell ein Win 2019 Server und Clients mit Win 10 wurde nun auch schon ein Projekt von fast 100 Stunden.

Wireguard ist aber nicht Click and Drop. Und eben, da arbeitet niemand mit IT Erfahrung. Es soll wirklich einfach eine Lösung sein dass die auf Ihre Daten kommen.

Da ist praktisch kein Zugriff sofern kein zweites Corona auf uns zukommt. Es soll lediglich die Möglichkeit bieten mal an die Daten im Netz zu kommen. Wenn aber weder PPTP noch L2TP geht, woran kann es den noch liegen?

Zitat von @144514:

Da ist praktisch kein Zugriff sofern kein zweites Corona auf uns zukommt. Es soll lediglich die Möglichkeit bieten mal an die Daten im Netz zu kommen. Wenn aber weder PPTP noch L2TP geht, woran kann es den noch liegen?

An was für eine Leitung hängen die denn? Wer ist der Provider? Wenn der Provider z.B. nur DS-Lite anbietet, funktioniert VPN in vielen Fällen nicht.

lks

Fritzbox steht im Büro?
MS2019 steht dahiner?
Welche Internetanbindung?

Entweder ne direkte Verbindung von extern auf die Fritze (mit dieser Shrew-SW). Das geht problemlos, ist aber nicht besonders schnell und wenn das 7 Leute machen würde, kann ich mir vorstellen, geht das Ding in die Knie

Alternativ:
Die Fritze leitet VPN-Anfragen weiter an den VPN-Server MS 2019. Das geht (natürlich) über Windows internen VPN-Client. Dazu müsstest Du aber doch irgendwelche Ports weiterleiten und die müssen durch die Windows FW

Welche Ports? Nur 1701 oder auch die für IPSEC und NAT-T?

VPN_Server TCP 188.154.180.XXX 1701
VPN_Server UDP 188.154.180.XXX 500
VPN_Server UDP 188.154.180.XXX 4500
VPN_Server ESP 188.154.180.XXX -

so schaut die Freigabe aus. wo müsste man IPSEC bzw. NAT-T einrichten?

IST IPSEC auf der Fritzbox aus, auch alle User gelöscht? Ansonsten bleibt das IPSEC an der Fritzbox kleben. -> wo macht man das?

und das Freundliche Systemhaus hatten die bereits im Haus, Dokumentation nicht vorhanden oder Falsch und die Rechnungen unbezahlbar ;)

Ich lese mir mal die Anleitung durch. Danke dafür.

Zitat von @Lochkartenstanzer:

An was für eine Leitung hängen die denn? Wer ist der Provider? Wenn der Provider z.B. nur DS-Lite anbietet, funktioniert VPN in vielen Fällen nicht.

lks

Der Internet Provider ist Sunrise (CH), ich habs aber auch schon mal mit einer dyndns versucht, Resultat war gleich mau....

Zitat von @Visucius:

Fritzbox steht im Büro?
MS2019 steht dahiner?
Welche Internetanbindung?

Entweder ne direkte Verbindung von extern auf die Fritze (mit dieser Shrew-SW). Das geht problemlos, ist aber nicht besonders schnell und wenn das 7 Leute machen würde, kann ich mir vorstellen, geht das Ding in die Knie

Alternativ:
Die Fritze leitet VPN-Anfragen weiter an den VPN-Server MS 2019. Das geht (natürlich) über Windows internen VPN-Client. Dazu müsstest Du aber doch irgendwelche Ports weiterleiten und die müssen durch die Windows FW

Genau die FB steht im Büro, richtig, MS2019 ist dahinter, Na internet

LAN oder wie soll die Frage beantwortet werden?

Genau da sehe ich noch ein Potentielles Problem. Muss man dies auf den Client wie auch auf dem Server einstellen?

Bei der Portweiterleitung kann man ja nun wirklich nicht viel falsch machen irgendwie...

so schauen die Ports aus. Da fehlt wohl 4500 wie auch 500.

schlimm? Falls ja wie fügt man die richtig dazu?

Zitat von @144514:

so schauen die Ports aus. Da fehlt wohl 4500 wie auch 500.

schlimm? Falls ja wie fügt man die richtig dazu?

ich hab die Ports ergänzt. Aber da ändert sich wenig. Warum sagt mir der Fritzbox support PPTP und L2TP gehen nicht, hier aber schreibt ihr das geht. was den nun

Zitat von @Lochkartenstanzer:

Zitat von @144514:

Dann ruf entweder das freundlcihe Systemhaus um die Ecke an oder liste Dir aquis Anleitung zum Thema VPN udn Firewall durch.

lks

also ich hab mir mal die Anleitung angeschaut. Aber ich wollte kein Atomraketen Programm in die wege leiten. Einfach von einem Client auf den Server über die Fritzbox eine VPN verbindung aufbauen. Das kann ja nicht so kompliziert sein

Zitat von @144514:

Zitat von @Lochkartenstanzer:

Zitat von @144514:

Dann ruf entweder das freundlcihe Systemhaus um die Ecke an oder liste Dir aquis Anleitung zum Thema VPN udn Firewall durch.

lks

Dann installiere auf Server und Client openVPN und gib auf der Fritte den Port frei, den Du Dir auf dem Server ausgesucht hast.

lks

Zitat von @Lochkartenstanzer:

Dann installiere auf Server und Client openVPN und gib auf der Fritte den Port frei, den Du Dir auf dem Server ausgesucht hast.

lks

Aber der Support von Fritzbox schriebt:

"Die FRITZ!Box unterstützt allerdings nicht die von Internet-Anonymisierungsdiensten verwendeten Verfahren wie OpenVPN oder das IKEv2-Protokoll"

Was denn nun? geht openVPN oder nicht?

Moinsen erneut,
die Fritzbox als VPN-SERVER kann kein openVPN, sehr wohl aber per PWL den Zugang auf den dahinterliegenden openVPN-Server durchreichen, ich denke, so war das gemeint.
Die FB nutzt hier lediglich (wenn als VPN -Server eingerichtet) IPSec....da du aber dahinter den potenteren Server stehen hast, können (dort) diverse VPN-Techniken genutzt werden...

Grüßle
th30ther

Zitat von @144514:

Aber der Support von Fritzbox schriebt:

"Die FRITZ!Box unterstützt allerdings nicht die von Internet-Anonymisierungsdiensten verwendeten Verfahren wie OpenVPN oder das IKEv2-Protokoll"

Was denn nun? geht openVPN oder nicht?

Auf der Fritzbox nicht.

HInter der Fritzbox schon.

Siehe auch aquis Merkzettel: VPN Installation mit OpenVPN. Da ist sogar angegeben, wie Du die Fritzbox konfigurieren mußt.

lks

Zitat von @Lochkartenstanzer:

Zitat von @144514:

Auf der Fritzbox nicht.

HInter der Fritzbox schon.

Siehe auch aquis Merkzettel: VPN Installation mit OpenVPN. Da ist sogar angegeben, wie Du die Fritzbox konfigurieren mußt.

lks

Ok, alles klar. vielen Dank! Nur noch abschliessend. OpenVPN kann auch auf dem MS Server 2019 Installiert werden? Weil da immer auf externe Hardware verwiesen wird.

weiter würde mich noch interessieren für was /24 hinter den IP's steht. habe ich nun schon X Mal gesehen.

Zitat von @144514:

weiter würde mich noch interessieren für was /24 hinter den IP's steht. habe ich nun schon X Mal gesehen.

Anzahl der Bits der Netzwerkmaske, speziell Präfixlängen als Netzgrößen.

Also das hättest Du selbst bei der großen Datenmüllhalde Wikipedia nachschauen können.

lks

Zitat von @144514:

Ok, alles klar. vielen Dank! Nur noch abschliessend. OpenVPN kann auch auf dem MS Server 2019 Installiert werden? Weil da immer auf externe Hardware verwiesen wird.

Natürlich kann openVPN auch auf dem Server installiert werden.

Sinnvoller ist es, es dediziert zu installeiren, weil das sowohl die Wartung vereinfacht, als auch die die Angriffsfläche reduziert udn damit die Sicherheit erhöht.

lks

Alternative evtl. HyperV und nen LinuxVPN

Zuerst habe ich es via PPTP versucht.

Oha...besser nicht ! Siehe: https://www.heise.de/security/artikel/Der-Todesstoss-fuer-PPTP-1701365.h ...
Außerdem hat das kein einziger Client mehr !
Mal ganz abgesehen davon das die FritzBox einzig nur native IPsec als VPN Protokoll supportet. PPTP kennt sie folglich also nicht.
Halte dich an das o.a. OVPN_Tutorial wenn du den OVPN Weg gehen willst und dann klappt das auch auf Anhieb.
Alternative wäre eine gescheite Firewall die dir ermöglicht immer nur die bordeigenen VPN Clients auf allen Plattformen zu nutzen ohne eine extra VPN Client Installation:
IPsec IKEv2 VPN für mobile Benutzer auf der pfSense oder OPNsense Firewall einrichten

ich habs aufgegeben... gemäss Support von Fritzbox solls doch gehen mit der Weiterleiten, aber selbst wenn ich temporär am client und am server die Firewall abstelle und alle Port auf der Fritzbox öffne die es braucht geht es nicht.

und wenn man schon ein Server hat der alles macht scheint mir die Lösung von Open VPN keine zu sein. Zumal die User dann wieder ein neues Tool haben mit dem man nicht umgehen kann.

Schade....

Der AVM Support hat Recht: Es klappt auch alles...man muss es eben nur richtig machen !

Nimm dir jemanden an die Hand der weiss was er da tut !

Sollte es das gewesen sein, dann bitte auch
How can I mark a post as solved?
nicht vergessen !

Gehe doch mal anders an die Thematik ran.

a) Nutze erstmal die Fritze-eigene-VPN. Das ist strukturell eh die "bessere" Lösung. Ja, Du musst da bei Windows nen extra Client einsetzen. Ja, der Datendurchsatz ist limitiert. Aber häufig genügt das doch schon und läuft an den diversesten Standorten.

b) Wenn Du siehst, dass Du da mehr Wums brauchst, kannste im zweiten Schritt ne andere Lösung überlegen.
b)a) Deinen vorhanden Server (ist strukturell suboptimal, geht aber trotzdem)
b)a) Z.B. Wireguard/PiHole-Kombi auf nem Raspi (mache ich so)
b)b) 08/15 Mikrotik-Router mit integrierter VPN (ca. 50 EUR)
b)c) HyperV-Linux auf Deinem Server mit eigener IP und VPN-Server (besser als b)a) )

Zitat von @144514:
[...] solls doch gehen mit der Weiterleiten, aber selbst wenn ich temporär am client und am server die Firewall abstelle und alle Port auf der Fritzbox öffne die es braucht geht es nicht.

Wenn Du von außen ("über das Internet") einen VPN-Tunnel aufbauen willst, der an einem Gerät hinter der Fritzbox endet, geht das z.B. wenn Du an der Fritzbox den 'Exposed Host' aktivierst.

Damit geht Dir aber jede Schutzfunktion der FB verloren.

Dann brauchst Du hinter der Fritzbox eine Firewall / UTM o.Ä., welche die Schutzfunktionen bereitstellt und die VPN-Anfragen entgegennimmt.

Telefonie kann aber trotzdem über die FB abgewickelt werden.

So könnte man es z.B. machen, wenn der Provider eine FB als Providerrouter zur Verfügung stellt.

Gruß

... ist bei diesen Anforderungen aber doch eher wenig sinnvoll.

Zitat von @aqui:

Der AVM Support hat Recht: Es klappt auch alles...man muss es eben nur richtig machen !

Nimm dir jemanden an die Hand der weiss was er da tut !

Sollte es das gewesen sein, dann bitte auch
How can I mark a post as solved?
nicht vergessen !

Ich weiss was ich da tue, aber wenns nicht geht, dann gehts nicht. Ob es nun am Server liegt, an der FB oder an dem Client ist nach wie vor unbekannt. und nein... leider noch immer nicht gelöst

Die Fritzbox steht ja im Unternehmen und die Leute sollen nun von egal wo via diese Fritzbox auf den Server zugreifen können.

Eigentlich ja eine simple Lachnummer die millionenfach erfolgreich auch in vielen Heimnetzen arbeitet und mit ein paar simplen Mausklicks erledigt ist !
AVM beschreibt diese mehr als simple Prozedur auch für Laien verständlich auf der AVM VPN Seite die man eigentlich nur noch abtippoen muss.
Es gibt 2 Optionen:

Mit dem AVM eigenen VPN Client "FRITZ!Fernzugang für Windows 10 (64Bit)" HIER
Mit dem kostenfreien VPN Shrew Client: https://avm.de/service/vpn/tipps-tricks/vpn-verbindung-zur-fritzbox-mit- ... bzw. HIER

Beides führt zum sofortigen Erfolg ! Das beweisen Millionen zufriedene FritzBox VPN Kunden.
Wo ist also dein wirkliches Problem ??

Zitat von @aqui:

Beides führt zum sofortigen Erfolg ! Das beweisen Millionen zufriedene FritzBox VPN Kunden.

Leider nicht immer. Hatte letztens eine Kombination Shrew auf 1909 und FB7490. Ob wohl es vorher die ganze Zeit auf einem anderen 1909er ging, lies sich dies auf einer neuen Kiste nicht zur Mitarbeit bewegen. Auch nicht mit dem Fernzugang.

Mein Vorschlag, da eine neue "vernünftige" VPN-Lösung zu installieren wurde dann damit abgetan, daß die neue Kiste dann doch nicht so wichtig ist.

lks

Auch nicht mit dem Fernzugang.

Dann hast du mit an Sicherheit grenzender Wahrscheinlichkeit zusätzlichen einen anderen VPN Client noch mit an Bord !
Man darf niemals 2 VPN Clients installiert haben auf einem Winblows System, da das in der Regel immer zu Fehlfunktionen führt. Man muss sich also fest für einen Einzigen entscheiden und den anderen immer vollständig deinstallieren. Auch alle Reste wie Install Files usw. die da ggf. in der Registry oder als Hintergrunddienst noch ihr Unwesen treiben.
Erst dann funktioniert das völlig fehlerfrei !

Mein Vorschlag, da eine neue "vernünftige" VPN-Lösung zu installieren wurde dann damit abgetan, daß die neue Kiste dann doch nicht so wichtig ist.

Zeigt ja dann auch schon wie ernst es dem TO ist. Allein die Tatsache eine billige Consumer Plastebox in einem Firmennetzwerk zu betreiben spricht ja schon für sich.
Von der grottenschlechten Performance des FritzBox VPNs mal erst gar nicht zu reden. Zur Ehrenrettung der FB muss man aber auch sagen das sie dafür primär auch gar nicht gemacht ist.
Das Problem ist der TO der solch völlig falsche Router Hardware in einem Firmennetz betreibt.
Na ja...jeder bekommt halt das Netzwerk was er verdient...!
Für passende VPN Lösungen gibt es hier im Forum genug Tutorials.

Zitat von @aqui:

Auch nicht mit dem Fernzugang.

Also aqui,

Wenn ich Dir sage, daß ich meinen ersten IPSEC-Client/-Server 1999 (damals noch unter W98/NT) eingerichtet habe und das ein (mit anderen Kollegen zusammen) selbst programmierter Client/Server war, solltest Du Dir denken können, daß ich auf solche "Feinheiten" achte.

Jedenfalls weiß ich, daß es die Clients es einem übelnehmen, wenn man nicht nach der Methode "Highlander" vorgeht.

Mein Vorschlag, da eine neue "vernünftige" VPN-Lösung zu installieren wurde dann damit abgetan, daß die neue Kiste dann doch nicht so wichtig ist.

Zeigt ja dann auch schon wie ernst es dem TO ist. Allein die Tatsache eine billige Consumer Plastebox in einem Firmennetzwerk zu betreiben spricht ja schon für sich.

Das ist eine Dreimann-Bude, bei der der Chef ab und zu von außen "reinschauen" will, aber die Investition scheut.

Von der grottenschlechten Performance des FritzBox VPNs mal erst gar nicht zu reden. Zur Ehrenrettung der FB muss man aber auch sagen das sie dafür primär auch gar nicht gemacht ist.

Da erzählst Du mir nichts neues. Aber das FritttenVPN reicht allemal, um darüber "von oder nach Hause" zu telefonieren oder "daheim" mal schnell auf die Mail zu schauen.

Das Problem ist der TO der solch völlig falsche Router Hardware in einem Firmennetz betreibt.
Na ja...jeder bekommt halt das Netzwerk was er verdient...!

Jedenfalls ist die Fritte für kleine Handwerksbetriebe, bei denen der Chef selbst die Sache in die Hand nimmt oft deutlich besser geeignet als LanComs und Ciscos, weil die da einfach nciht ganz soviel falsch machen können.

Nicht das was er verdient, sondern das was er bezahlt.

Für passende VPN Lösungen gibt es hier im Forum genug Tutorials.

Ich weiß, ich verlinke doch selbst öfter da drauf. Auch wenn ich das i.d.R. nicht brauche, so ist es doch ganz nett, wenn man weiß, wie andere das machen.