Fritzbox IPSEC mit Astaro betreiben

Haben wir da etwa was verpasst beim Networking... ???
Warum sollte es deiner Meinung nicht mehr klappen, denn Port Forwarding ist ja immer das Mittel der Wahl wenn man kaskadieren will oder muss mit einem NAT Router davor !
IPsec Ports und Protokoll forwarden auf die kaskadierte FW dahinter und gut iss..!
Guckst du hier:
IPsec VPNs einrichten mit Cisco, Mikrotik, pfSense Firewall, FritzBox, Smartphone sowie Shrew Client Software
Ausnahme ist natürlich wenn dein Kabel Provider DS-Lite im Backbone fährt aber dazu kam ja keinerlei Hinweis von dir.
Wo ist also dann dein Problem mit Port Forwarding ???

Anders bekommst du es gelöst wenn du dir keinen kaskadierten NAT Router vor die Astaro packst, sondern ein reines Kabelmodem vom Provider oder auf dem Markt besorgst. Ein reines Modem ist nur ein transparenter Medienwandler der die ISP Adresse dann direkt auf der Astaro terminiert.
Manche FB lassen sich auch als reine Modems konfigurieren aber ob das klappt hängt von deiner FB, Modell und Firmware ab.
Ganz anders kannst du ja auch IPsec mit der FritzBox direkt sprechen, denn das supportet sie ja auch. Es geht also auch ohne Astaro...
Guckst du nochmal hier:
IPsec VPN Praxis mit Standort Vernetzung Cisco, Mikrotik, pfSense, FritzBox u.a

Wie gesagt alles eh nur sofern der ISP kein DS-Lite macht. Nutzt er DS-Lite ist es so oder so ganz aus mit IPsec VPN und der Todesstoß, da es dann nicht den zentralen NAT Knoten beim ISP überwinden kann.
Weisst du aber auch sicher selber als IT Azubi ?!

Hallo,

Warum sollte die das auch tun? Die macht doch NAT oder?

Wäre nicht die erste Fritte die vor einer Astaro (jetzt Sophos UTM) hängen tut.

Jetzt hast du uns alle rätseln was wir alles in dieser Welt verpasst haben. Was bitte meinst du genau - Hörensagen sind nur gerüchte....

Lass deine Astaro die Verbindung zur Zentrale selbst aufbauen - immer.

Gruß,
Peter

Vermutlich wie immer gefährliches Azubi Halbwissen...

Nur dann, wenn Du die fritzbox zum Endpunkt machst. Wichtig ist, daß Du auf der Fritzbox IPSEC deaktivierst, wenn Du die Astaro als VPN-Endpunkt haben willst.

kls

Sorry, aber das merkt man !
Nein, natürlich nicht ! Hier offenbart sich wieder das du das Thema VPN nicht wirklich durchdrungen hast und auch dein konkretes "Problem" (was gar keins ist) nicht.
Du schreibst doch oben in der Intro selber ganz deutlich das der VPN Tunnel auf der Astaro endet oder enden soll die hinter der FB steht ??
Warum sollte also jetzt der VPN Endpunkt die FB sein ?? Gleich im nächsten Satz sagst du ja doch wieder das die Astaro der VPN Endpunkt ist ???
Das kann man doch kinderleicht sofort sehen an den beteiligten Komponenten welche IP Adresse dort für beide Tunnelendpunkte definiert ist.
Vielleicht solltest du erstmal sicher klären ob die Astaro oder die FB den VPN Tunnel terminieren soll, damit wir uns hier nicht alle dumm im Kreis drehen weil du die einfachsten Hausaufgaben nicht gemacht hast, sprich das grundlegende Design und die Anforderungen erstmal zu klären. Sorry, aber sowas lernt man doch als Azubi das man strukturiert vorgeht ?!
Klär das und dann machen wir hier weiter....
Nur so viel:
Die FB macht ja vermutlich NAT = IP Adress Translation. Der eine VPN Tunnelrouter kann also nur diese IP der FritzBox "sehen", da das ja die öffentliche IP ist die für ihn über das Internet erreichbar ist.
Auf IP Adressen wie z.B. die der kaskadierten Astaro die HINTER der NAT Firewall der FritzBox liegt kann er nicht zugreifen, das verhindert das NAT !
Folglich wird also in diesem VPN Router die IP Adresse des FritzBox WAN Ports eingetragen als vermeintlicher Tunnelendpunkt, was er aber technisch nicht ist, da der Tunnel da ja nicht endet sondern auf der Astaro.

Der FritzBox sagt man aber jetzt: "Du FritzBox hör mal zu ! Wenn du hier am WAN Port IPsec Traffic reinkommen siehst (UDP 500, 4500 und ESP Protokoll) dann bitte forwarde all diesen Traffic an die interne IP Adresse a.b.c.d der Astaro !"
Genau DAS ist dann das Port Forwarding.
Sprich die FritzBox ist nur "Durchlauferhitzer" und reicht diese IPsec VPN Frames direkt an die Astaro weiter die dann physisch den VPN Tunnel terminiert.
Würde man statt FritzBox Router die Astaro direkt mit einem einfachen NUR Modem an die Internet Leitung hängen könnte man sich den ganzen Quatsch mit der FB und Forwarding sparen.
So einfach ist das !
Ein Blick in die oben zitierten Tutorials hätte dir und uns diese Frage erspart
Nochwas....
Bei der FritzBox und IPsec gibts noch eine Besonderheit: Da die FritzBox selber aktiv IPsec VPNs terminieren könnte (sie ist ja auch ein VPN Router) interpretiert sie eingehende IPsec Daten immer zuerst als für sie bestimmt.
Du musst also zwingend vorher im Setup der FB IPsec deaktivieren, damit sie diese Pakete auch forwardet. (Siehe oben Anmerkung des Kollegen LKS !)
Ansonsten tut sich das nicht und dropped die nur was dann in einer nicht funktionierenden VPN Verbindung auf der Astaro resultiert !
Auch das sollte man als FB User wissen ?!

Moin,
ergänzend noch der Hinweis auf eine ähnliche Frage hier vor Kurzem:
Sophos UTM hinter FritzBox 6490

Gruß
Holger