10
MUVPN zu Watchguard T15W hinter Fritzbox 7490 (an Gastzugang)
Hallo allerseits,
ein Kunde bekommt seinen Internetzugang derzeit über den Vermieter gestellt, dieser hat das Gastzugang auf seiner Fritzbox 7490 freigegeben und den Haken "Nur Mail und Internet" rausgenommen. Weitere Infos zur Konfiguration der Fritzbox kann der Vermieter nicht liefern. Der Telekomanschluss hat eine feste öffentliche IP.
Aufbau aktuell: Internet - Fritzbox, Gastzugang 192.168.179.1 - 192.168.179.2 an ETH0 der Watchguard.
Einen BOVPN zwischen der WG T15W und einer WG T35W an einem anderen Standort kann ich herstellen. Einen MUVPN zur WG T15W kann ich aufgrund der Routerkaskade nicht aufbauen. Klar, der VPN Client "sieht" das externe Interface der Watchgard durch das NAT auf der Fritzbox nicht.
Den Beitrag von Aqui IPsec IKEv2 VPN für mobile Benutzer auf der pfSense oder OPNsense Firewall einrichten habe ich gelesen.
Gibt es einen Kniff, mit dem jetzigen Aufbau einen VPN SSL oder IPSec herzustellen? Villeicht ein Port Forwarding auf Fritzbox Gastzugang?
Ein eigener Telekom Businessanschluss mit fester öffentlicher IP wird jetzt bestellt und die Watchguard dann mit einem Nur-Modem daran betrieben. Ich würde den MUVPN aber bis dahin schon gerne nutzen.
Vielen Dank für Eure Tipps und Hinweise dazu.
ein Kunde bekommt seinen Internetzugang derzeit über den Vermieter gestellt, dieser hat das Gastzugang auf seiner Fritzbox 7490 freigegeben und den Haken "Nur Mail und Internet" rausgenommen. Weitere Infos zur Konfiguration der Fritzbox kann der Vermieter nicht liefern. Der Telekomanschluss hat eine feste öffentliche IP.
Aufbau aktuell: Internet - Fritzbox, Gastzugang 192.168.179.1 - 192.168.179.2 an ETH0 der Watchguard.
Einen BOVPN zwischen der WG T15W und einer WG T35W an einem anderen Standort kann ich herstellen. Einen MUVPN zur WG T15W kann ich aufgrund der Routerkaskade nicht aufbauen. Klar, der VPN Client "sieht" das externe Interface der Watchgard durch das NAT auf der Fritzbox nicht.
Den Beitrag von Aqui IPsec IKEv2 VPN für mobile Benutzer auf der pfSense oder OPNsense Firewall einrichten habe ich gelesen.
Gibt es einen Kniff, mit dem jetzigen Aufbau einen VPN SSL oder IPSec herzustellen? Villeicht ein Port Forwarding auf Fritzbox Gastzugang?
Ein eigener Telekom Businessanschluss mit fester öffentlicher IP wird jetzt bestellt und die Watchguard dann mit einem Nur-Modem daran betrieben. Ich würde den MUVPN aber bis dahin schon gerne nutzen.
Vielen Dank für Eure Tipps und Hinweise dazu.
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 446497
Url: https://administrator.de/contentid/446497
Printed on: April 18, 2024 at 00:04 o'clock
10 Comments
Latest comment
Moin,
wenn ich mich recht erinnere unterstützt die Fritzbox kein Forwarding ins Gast Netz.
Da bleibt nur eine VPN Technologie welche eine Verbindung zu einem festen Punkt aufbaut.
Das sollte durch BOVPN möglich sein.
Gruß
Spirit
wenn ich mich recht erinnere unterstützt die Fritzbox kein Forwarding ins Gast Netz.
Da bleibt nur eine VPN Technologie welche eine Verbindung zu einem festen Punkt aufbaut.
Das sollte durch BOVPN möglich sein.
Gruß
Spirit
Klar, der VPN Client "sieht" das externe Interface der Watchgard durch das NAT auf der Fritzbox nicht.
Deshalb konfiguriert man ja bei den Clients auch die öffentliche IP Adresse der FritzBox, denn das ist ja das externe Interface was der Client "sieht" !Scheitert aber dann letztlich daran das die Fritzbox kein Forwarding ins Gast Netz supportet. Ist eben ein billiger Consumer Router von dem man nicht allzuviel erwarten darf.
Technisch ginge das alles bei deinem Design aber die HW der FB bzw. deren Featureset spielt hier eben nicht mit. Mit einem richtigen Router wäre das ein Kinderspiel.
Gibt es einen Kniff, mit dem jetzigen Aufbau einen VPN SSL oder IPSec herzustellen?
Die Frage ist leider etwas unpräzise und oberflächlich gestellt. Generell braucht es keinen Kniff, denn du schreibst ja selber das du ein Site to Site VPN hinbekommen hast.Das ist auch kein Wunder wenn die Caller Seite (Initiator) immer die FB mit dem Gastnetz ist, denn der Initiator öffnet so die NAT Ports in der FB Firewall. Deshalb klappt diese Richtung.
Bei einem Client Dialin auf diese Seite geht das dann natürlich nicht, denn das bleibt ohne Port Forwarding für die IPsec Ports an der davor liegenden FritzBox in der dortigen NAT Firewall gnadenlos hängen.
Einen Kniff gibt es ohne Port Forwading in so einem Kaskaden Design und auch noch mit einem restriktivem Gast Segment de facto dann nicht ! Ist so also nicht lösbar.
Schön wäre noch wenn man nochmal wüsste was diese ungebräuchlichen und kryptischen Abkürzungen BOVPN und MUVPN uns denn sagen sollen ??
Hallo,
https://www.watchguard.com/training/vpn/73/MUVPN/muvpn.htm
https://www.watchguard.com/help/docs/help-center/en-US/Content/en-US/Fir ...
Gruß,
Peter
Zitat von @aqui:
Schön wäre noch wenn man nochmal wüsste was diese ungebräuchlichen und kryptischen Abkürzungen BOVPN und MUVPN uns denn sagen sollen ??
Sind Watchguard eigene Abkürzungen bzw. TradeMarks. Nein, ich habe keine WatchGuard seit 15 Jahren mehr angefasst.Schön wäre noch wenn man nochmal wüsste was diese ungebräuchlichen und kryptischen Abkürzungen BOVPN und MUVPN uns denn sagen sollen ??
https://www.watchguard.com/training/vpn/73/MUVPN/muvpn.htm
https://www.watchguard.com/help/docs/help-center/en-US/Content/en-US/Fir ...
Gruß,
Peter
Sind Watchguard eigene Abkürzungen bzw. TradeMarks.
Deswegen versteht das auch kein normaler Netzwerker bzw. denkt das "MUVPN" dann was für den Kuhstall ist ! 🐄Mit anderen Worten: Watchguard Marketing Buzzword Bullshit....
Prima, dann sage ich einmal Danke schön fürs Kommentieren und auch für die Inspriration : MUH-VPN finde ich auch klasse 
Viele Grüße, Henni
Viele Grüße, Henni
Moin zusammen,
ich würde gern diesen alten Thread mal wieder rauskramen...
Habe ein ähnliches Problem, nur nicht mit dem Gastnetz sondern dem normalen Netz der Fritzbox.
Internet <-> Fritzbox (feste öffentliche IP) -> Watchguard am Exposed Host der Fritzbox.
Clients kommen trotzdem nur bis zur Fritzbox.
Müsste diese nicht an den Exposed Host alles weiterleiten oder müssen hierfür dennoch Port Forwardings eingerichtet werden, und wenn ja, welche für IKEv2 & SSL-VPN ?
Danke schon mal für's Erleuchten
ich würde gern diesen alten Thread mal wieder rauskramen...
Habe ein ähnliches Problem, nur nicht mit dem Gastnetz sondern dem normalen Netz der Fritzbox.
Internet <-> Fritzbox (feste öffentliche IP) -> Watchguard am Exposed Host der Fritzbox.
Clients kommen trotzdem nur bis zur Fritzbox.
Müsste diese nicht an den Exposed Host alles weiterleiten oder müssen hierfür dennoch Port Forwardings eingerichtet werden, und wenn ja, welche für IKEv2 & SSL-VPN ?
Danke schon mal für's Erleuchten
Müsste diese nicht an den Exposed Host alles weiterleiten
Nur das was nicht schon vorher per Port Forwarding eingerichtet wurde !!Alles Wissenswerte zu dem Thema solcher Router Kaskaden findest du HIER.
Moin, steht die Watchguard als Exposed Host hinter der Fritzbox (nicht im Gäste-Netz), funktionieren IPSEC und SSL-VPN. Besser wäre, die Fritzbox gegen ein Modem zu ersetzen (Zyxel, Draytec, etc). Die Fritzbox kann auch, wenn sie z.B als Telefonanlage dienen soll, per SNAT hinter der Watchguard betrieben werden.
Viele Grüße, Henni
Viele Grüße, Henni
2
Moin, Problem gelöst.
Mein Weg war eigentlich schon der Richtige - wenn in der Fritzbox VPN und MyFritz deaktiviert sind werden die VPN Verbindungen auch ohne die ganzen Portweiterleitungen an die Watchguard weitergegeben.
Es genügt der Exposed Host - oder wenn der nicht benötigt wird eben nur die besagten Portweiterleitungen 500/4500/1701/ESP...
Ich hatte mich nur mittlerweile bei der Konfiguration und diversen Tests so verzettelt das ich irgendwann die Änderungen die ich im Konfigurationsmanager der Watchguard vorgenommen hatte nicht mehr an das Device zurückgeschrieben hatte 8-(
Nachdem ich das dann getan hatte kam eine andere Fehlermeldung die mich dann zu folgendem Link brachte der beschreibt das Microsoft mit dem Januar Patchday einen Bug ausgeliefert hat :
Patchday Bug
Nachdem KB5009543 deinstalliert war lief die VPN Verbindung dann sofort.
Grüße
Norbert
Mein Weg war eigentlich schon der Richtige - wenn in der Fritzbox VPN und MyFritz deaktiviert sind werden die VPN Verbindungen auch ohne die ganzen Portweiterleitungen an die Watchguard weitergegeben.
Es genügt der Exposed Host - oder wenn der nicht benötigt wird eben nur die besagten Portweiterleitungen 500/4500/1701/ESP...
Ich hatte mich nur mittlerweile bei der Konfiguration und diversen Tests so verzettelt das ich irgendwann die Änderungen die ich im Konfigurationsmanager der Watchguard vorgenommen hatte nicht mehr an das Device zurückgeschrieben hatte 8-(
Nachdem ich das dann getan hatte kam eine andere Fehlermeldung die mich dann zu folgendem Link brachte der beschreibt das Microsoft mit dem Januar Patchday einen Bug ausgeliefert hat :
Patchday Bug
Nachdem KB5009543 deinstalliert war lief die VPN Verbindung dann sofort.
Grüße
Norbert
Nicht nur das ging bei Microsoft im Januar in die Hose sondern auch deren VPN:
L2TP-IPSec Problem nach CU2022-01 (KB5009543)
Der KB5010793 Patch ist also mindestens genauso wichtig !!
L2TP-IPSec Problem nach CU2022-01 (KB5009543)
Der KB5010793 Patch ist also mindestens genauso wichtig !!
