Level One FBR-4000 - VPN direkt zum Router (Client) möglich?

Quark...
(selbes Datenblatt)

IPSec ist nur einfach in der Konfiguration so ein großer Müllhaufen, dass man sich damit 2 Tage ärgert bis einem die Haare ausfallen und dann PPTP benutzt, weil es auf Anhieb funktioniert...

Allerdings wird IPSec auch im Handbuch erklärt - wo ist also das Problem?
Der einzige technische Unterschied zwischen einem LAN-LAN und einem LAN-PC VPN ist die Netzmaske...

Denke mal der Begriff VPN-Server wird hier falsch verwendet, bezieht sich wohl nur auf die Sicherung und Verschlüsselung der Kanäle. Vieles wird mit Server umschrieben..!

Zumindest müßte sich in der Konfiguration des Routers eine Möglichkeit für das Einrichten von VPN-Usern befinden, wenn's ein echter VPN-Server ist.

Der Router ist de facto ein VPN Router und kann selber VPN Verbindungen als Server terminieren, dog hat zweifelsfrei Recht und die Level One Page spricht da eine sehr deutliche Sprache (Ebenso das Handbuch zum FBR4000 !!)
http://www.level-one.de/levelone.php?page=prod&cat=7002&model=F ...

Damit ist natürlich vollkommen problemlos ein direkter Zugriff mit einem IPsec VPN Client möglich auf diesen Router !!
Verwenden kann man dafür z.B. den freien Shrew VPN Client mit dem eine IPsec VPN Verbindung im Handumdrehen gelingt:
http://shrew.net/support

Wie die VPN Einrichtung mit dem Shrew Client zu machen ist beschreibt das Handbuch im Kapitel 6, Seite 52 ff.
http://download.level1.info/manual/FBR-4000%28EN%29.pdf
Schritt für Schritt so das auch blutige Laien das problemlos hinbekommen sollten...
Mit "Planning VPN" und andere Erklärungsabschnitten ist das ausführlich dokumentiert.
Sehr hilfreich ist auch das VPN Log mit dem man ggf. Probleme beim VPN Client Dialin schnell und unkompliziert troubleshooten kann. Was willst du noch mehr....das sollte alles in 10 Minuten eingerichtet sein und funktioniert problemlos.
Was du beim VPN Design zu beachten hast steht hier:
VPNs einrichten mit PPTP
Details zum IPsec VPN Protokoll findest du in spacys Tutorial:
IPSEC Protokoll - Einsatz, Aufbau, benötigte Ports und Begriffserläuterungen

Hallo Dany28,

hast du deinen "Auftrag" bewältigen können ?

Ich habe gerade ein ähnliches Problem und da wäre der eine oder andere Hinweis schon hilfreich.

Im Handbuch verstehe ich übrigens das Kapitel 6 (über IPSec) als Anleitung vom FBR-4000 ein VPN zu einem entfernten VPM-Server aufzubauen und nicht als Konfigurationsanleitung eines VPN-Servers. Aber da bin ich nicht der Profi.

Danke schonmal für die Hilfe,

Ulf

So schwer ist das doch nicht.
Gehen wir es also durch:

Dein internes Netz ist: 192.168.100.0/24

Wir gehen nach HB Seite 52 vor.

Zuerst setzt du für WAN 1 "Enable Setting".
Den Rest lässt du wie er ist.

Dann gehst du in IPSec Policy.
Als Namen gibst du "Remote" ein, aktivierst "Enabled" und wählst bei Interface WAN1.
Bei Local Identiy wählst du "Distinguished Name" und gibt dann "router" in das Feld ein.

Bei Local Security Network wählst du "Subnet" und gibts dann 192.168.100.0 / 255.255.255.0 ein.
Bei Remote Security Network bleibt "IP Address" und gibts dann 172.16.0.1 ein.
Bei Remote Security Gateway wählst du "Distinguished Name" und gibst dann "client" ein.

Zum Schluss gibst du bei Preshared Key "1234567890" ein (nicht wirklich).

Der Rest bleibt wie er ist.

Jetzt gehst du in Shrewsoft auf "Add".
Bei Hostname gibst du den Dyndns-Namen ein, den du auf dem Router konfiguriert hast.
Bei Local Host hakst du "Obtain automatically" ab und gibst als Address 172.16.0.1 und bei Netmask 255.255.255.255 ein.

Im Tab Authentication wählst du als Methode "Mutual PSK".
Bei Local Identity wählst du Key Identifier und gibts "client" ein.
Bei Remote Identify das selbe aber mit "router".
Bei Credentials gibst du "1234567890" ein.

Bei Phase 1 wählst du als Exchange Type "main", bei Chiper "des", bei Hash Algorithm "md5" und bei Key Life Time limit gibst du 28800 ein.
Bei Phase 2 wählst du bei Transform Algorithm "esp-des" und bei HMAC "md5" - der Rest ist richtig.

Bei Policy hakst du "Obtain Topology automatically" ab, gehst auf Add und wählst "Include" und als Address 192.168.100.0 und als Netmask 255.255.255.0

Grüße

Max

Da ist das HB zu ungenau.
Du kannst alternativ anstatt Distinguished Name auch mal "Domain Name" auswählen und bei Shew Soft dann "FQDN".
Aber wie gesagt: IPSec ist konfigurationstechnisch ein riesiges Chaos...

Hi Danny,

das ist ja nicht so erfreulich.

Mich würde mal interessieren, ob jemand schon einmal praktisch dem FBR-4000 einen VPN Tunnel verpasst hat, also mit dem FBR-4000 als VPN-Server. Die oben zu lesenden Anleitungen sind zwar bestimmt sehr fundiert, scheinen mir aber eher theoretischer Natur zu sein.

Gruß, Ulf

P.S: Ich möchte keinem zu nahe treten ! Ich versuche nur den Helfern das Leben etwas einfacher machen zu können.

Windows kann genauso L2TP/IPSec.
Die Betonung liegt hier auf L2TP! Denn kaum ein Router implementiert den L2TP-Teil, sondern nur den IPSec-Teil und dann funktioniert der Windows-Client nicht.

Außerdem ist PPTP auch sicher - wenn man ein gutes Kennwort wählt.
Bei PPTP ist die Sicherheit maßgeblich von der Qualität des Kennworts abhängig.


Ja und das Geld kann man sich in jedem Fall sparen, weil Shrew Soft genau das selbe macht wie alle anderen Clients (die zu 90% übrigens auch nur umgelabelte NCP Clients sind) aber für Lau.

Dazu kann man nur noch hinzufügen das du dir einfach mal die Konfigs der anderen Router ansehen solltest als Beispiel. Z.B. Draytek:
http://shrew.net/support/wiki/HowtoDraytek
Die Liste aller Router findest du hier: http://shrew.net/support
Das ist analog zu deinem Router auch. Die Installation ist immer die selbe....und klappt natürlich auch mit dem FBR-4000 problemlos.
Den Windows bordeigenen L2TP VPN Client kannst du de facto damit nicht verwenden !! Da Level One keinen VPN Client mitliefert musst du diese externen Clients wie Shrew oder GateProtect verwenden wenns kostenfrei belieben soll. Geld muss man für so einen Client nicht ausgeben !!

Hi Dany,

ja, ich habe mit einem GreenBow Client V4.5 die die Verbindung hinbekommen. Und da habe ich es genauso gemacht, wie es oben ausführlich beschrieben wurde. Mein Firmennetz hat die 192.168.0.0 und zu Hause verwende ich das 192.168.1.0

Dann habe ich mir bei dyndns.org zwei kostenlose, dynamische Adressen besorgt und diese auf dem FBR-4000 Router und meiner Fritz!box zu Hause aktiviert. Mit einem Ping kann man ganz wunderbar die Erreichbarkeit von der jeweils anderen Seite checken.

Doch nun zur Konfiguration. Ich habe von meinem Laptop aus zunächst immer Probleme gehabt, den Router zu erreichen. UNd das lag an meinem LAN und dem WLAN. Beide liefen unter verschiedenen IPs (192.168.1.20 und 192.268.1.21). Wenn beide Adapter aktiv waren, dann kam der Router ins Schleudern. Nach drei oder vier Fehlversuchen hängt sich dann der Router auf und man muss ihn frisch booten. Sehr lästig. In der Zwischenzeit hat sich die Sache so verschlimmert, dass ich gar nicht mehr reinkomme. Ich gehe mal davon aus, dass der Router dermaßen übel intern programmiert ist, dass man nur mit einer ganz speziellen Konfiguration reinkommt.

Am Ende des Tages bin ich mit dem FBR-4000 so frustriert, dass ich ihn nie wieder kaufen würde. EIgentlich hatte ich ihn angeschafft, weil ich das Loadbalancing massiv im Unternehmen einsetzen wollte. Das funktioniert aber nur, wenn man keine https oder ftps oder SSL Protokolle fährt. Denn die achten im Normalfall auf die Konsistenz in der IP und brechen die Verbindung ab, wenn z.B. der Round Robin eine andere Leitung hernimmt. So bleibt einem nur, die Kanäle einzelnen Benutzergruppen zuzuordnen. Das kann man aber auch mit anderen Mitteln erreichen.

Meine Einstellungen auf dem Router sind:
ESP, AES 128bit, SHA1, Autokey IKE, main mode, DH Group2 1024

Und wie gesagt, kein Subnetz freigegeben, sondern eine einzelne, feste IP.

Gruß
Horst

.
"...Beide liefen unter verschiedenen IPs (192.168.1.20 und 192.268.1.21)..."
Letztere ist ja eine höchst interessante IP Adresse ! Wenn du bei der Installation auch SO vorgegangen bist wundert einen nicht, das nichts bei dir richtig funktioniert hat oder funktioniert !!!
Wenn man es richtig macht funktionert der FBR mit Shrew und auch mit Greenbow vollkommen einwandfrei, performant und ohne jegliche Probleme !!
Wichtig ist das man das VPN FEST auf eine IP der WAN Interfaces einstellt und Load Balancing für VPNs deaktiviert ! Es ist klar das LB nicht mit VPNs funktioniert oder nur Session basiert !
Beachtet man das funktioniert dieser Router wie bereits bemerkt vollkommen problemlos !!