VPN - VDSL und FritzBox WLAN von Alice

Hi!

Und wie ist das in der anderen Filiale (also da wo der Server steht)? Was steht da für ein Router? Oder steht da nur der Server? Was ist das überhaupt für ein Server? Dein Bild ist da etwas wirr...

mrtux

Vermutlich hat er wie immer vergessen das Port Forwarding auf dem dödeligen Speedport 723 einzustellen der ja VOR dem Vigor VPN Router steht.
Da vermutlich IPsec als VPN Protokoll zum Einsatz kommt (leider lässt Kollege Abdullah uns da ja im Dunkeln tappen ) muss auf dem Speedport folgende Protokolle auf den WAN Port (IP) des Vigor geforwardet werden:

• UDP 500
• UDP 4500
• ESP Protokoll (IP Protokoll Nummer 50, nicht TCP oder UDP 50 !)

Andernfalls gelangt kein einziges VPN Paket an den Vigor VPN Router und aus isst mit dem VPN !!

Ja, das hätte ich jetzt auch vermutet. Aber ob der Speedport auch IP Protokolle weiterleiten kann... das mag ich zu bezweifeln.
Aber ohne geht es auch wieder nicht. Da hilft dann nur eins... mach aus deinem Speedport eine Fritzbox^^ mit Speed2Fritz!

Gruß EvilToken

Hi abdullah,

das ist schlecht wenn du nicht auf die Kiste zugreifen kannst.
Also nochmal langsam...
Du möchtest das der Server (im Bild unten) eine VPN Verbindung zum VPN Router DrayTek aufbaut? Ok, aber da ist ja noch der Speedport dazwischen. Dem musst du mitteilen das VPN Verbindungen (wie aqui oben geschrieben hat) an den VPN Router weiter gegeben werden. Dann kann der VPN Router dich Authentifizieren und letztendlichen den VPN Tunnel aufbauen. Um diesen Konfiguratorischenschritt wirst du wohl nicht rum kommen.
Wird denn der VPN Router schon genutzt oder ist der gerade erst neu eingesetzt worden? Können Benutzer oder Sites sich schon an ihm Authentifizieren?
Versuchst du dich mit der Öffentlichen IP Adresse des VDSL Routers zu verbinden oder mit einer anderen?

Speed2Fritz ist definitive Möglich und habe ich auch schon gemacht. Die Kiste läuft jetzt ca. 1 halb Jahre so. War ein schönes Projekt. Aber du musst erstmal gucken ob deine Box da unterstützt wird.
http://wiki.ip-phone-forum.de/skript:speed2fritzfaq

Gruß EvilToken

@Abdullah
Du hast den Thread NICHT richtig gelesen (oder verstanden) ?! Wir reden hier vom Speedport Router und NICHT vom Vigor der das VPN bedient !! Dieser Speedport steht VOR dem VPN Router (Vigor) und hat einen NAT Firewall aktiv, da er ja NAT macht !!
Folglich musst du logischerweise auf dem Speedport 723 +zwingend das Port Forwarding für die o.g. IPsec VPN Ports einrichten auf die WAN IP des Vigors.
(Ist jetzt mal geraten, das du mit IPsec auf den Vigor willst ?!)
Du musst also lediglich und einzig auf dem Speedport Zugang haben.
Wenn du das IPsec Forwarding auf dem SP 723 nicht einrichtest blockiert dessen NAT Firewall gnadenlos die VPN pakete und dann kommt am Vogor logischerweise nix an und folglich iss dann auch nix mit VPN !!
Wie gesagt die o.a. Ports gelten für IPsec und nur für IPsec !!
Nutzt du PPTP als VPN Protokoll musst du statt der o.a. Ports TCP 1723 und das GRE Protokoll weiterleiten.
Leider hast du dich ja immer noch nicht zum verwendeten VPN protokoll geäußert
Hier siehst du am Beispiel PPTP Protokoll was die Grundlagen dazu sind:
VPNs einrichten mit PPTP

Sinnvoll ist die Fritzbox per IPsec VPN mit dem Draytek Vigor per IPsec VPN zu koppeln. Das ist ganz einfach möglich. Damit sind dann beide Netze fest miteinander verbunden und man kann lokal alle Resourcen des anderen Netzes problemlos nutzen. Das ist ja nun auch der tiefere Sinn von VPNs !!
Die AVM VPN Seite hat einen deatilierte Anwendung wie man die Fritzbox mit dem Draytek Router verheiratet mit VPN. Wenn du das Schritt für Schritt befolgst, dann bekommst du das im Handumdrehen zum laufen.
http://www.avm.de/de/Service/Service-Portale/Service-Portal/VPN_Interop ...
Das ist eine einfache Banal VPN Konfiguration die so 100fach rennt in der Praxis ! Das muss man nur simpel abtippen und eigentlich keinen Thread dafür eröffnen...
Denk aber dran: Ohne Port Forwarding der IPsec Ports auf dem Speedport 723 rennt nix mit VPN !!

"geschaut und gesagt das der VDSL Speedport W723V stört" Mmmhh was meint der "Typ" denn genau damit ?? WAS stört denn da ?? Vermutlich ist der genauso ahnungslos wie du...sorry. Solche Aussagen wie ..."der VPN DrayTek Vigor 2920 die IP - Adresse 192.168.193.x " ja...WAS ist den nun das x ??
desweiteren: ..."Standardgateway: 192.168.193.254 für den öffentlichen Netz hat" 192.168er IP Adressen sind KEIN öffentliches Netz sondern private IP Adressen nach RFC 1918 ! Siehe hier: http://de.wikipedia.org/wiki/Private_IP-Adresse
Das alles macht eine zielführende Hilfestellung für dich nicht gerade einfach.
Fakt ist, das die NAT Firewall des Speedport W723 der vor dem Draytek plaziert ist die VPN Pakete blockiert und deshalb logischerweise keinerlei VPN Pakete an den Vigor durchkommen...vermutlich meint der "Typ" das mit stören...?!
Das Problem lässt sich aber mit einer simplen Konfiguration sehr leicht beheben !
Leider hast du es auch immer noch nicht geschafft uns einmal mitzuteilen WELCHES VPN Protokoll denn nun auf dem Vigor verwendet wird !!! Der Vigor supportet alle 3 gängigen VPN Protokolle wie IPsec, PPTP und auch L2TP.
Vom verwendeten Protokoll hängt es ab WELCHE Ports du im Speedport forwarden musst auf die IP Adresse des Vigor !! Jedes VPN Protokoll benutzt völlig unterschiedliche Protokollports ! Also poste das bitte mal damit wir hier nicht dumm weiterraten müssen
Um das Elend jetzt mal zu beenden:
Nehmen wir mal an der Vigor hat die IP 192.168.193.1 am WAN Port und dein Speedport die 192.168.193.254. Das muss auch so sein, denn der Speedport forwardet ja alle Pakete an diese IP als Gateway folglich muss dein Speedport also zwingend diese .254er IP als LAN Adresse haben !
DHCP auf dem Speedport sollte abgeschaltet sein !!
Das Netz sähe dann so aus:


Hier sind deine ToDos: (Annahme der Vigor hat die 192.168.193.1 auf dem WAN Port !)

• Speedport 723: IP Adresse am LAN Port umstellen auf die 192.168.193.254, Maske 255.255.255.0
• Speedport 723: DHCP Server auf dem LAN Interface abschalten !
• Speedport 723: Port Forwarding des verwendeten VPN Protokolls auf die WAN IP Adresse 192.168.193.1 des Vigors einstellen ! Für PPTP ist das z.B. TCP 1723 und das GRE Protokoll . Siehe #comment-toc5 HIER....ist die gleiche Einstellung wie auf deinem SP 723.
• Speedport 723: Speedport LAN Port mit dem WAN / DSL Port des Vigor mit einem Ethernet Patchkabel verbinden.
• Gegenseitige Erreichbarkeit testen: Vom Speedport die IP des Vigors .1 anpingen und umgekehrt vom Vigor die Speedport IP .254 anpingen. Das muss klappen !!
• Ggf. DynDNS Client auf dem Speedport aktivieren wenn du eine dynamische IP haben solltest im VDSL Netz.

Zeige dem "Vigor Typen" bitte zwingend die obige Zeichnung damit auch der weiss worum es geht und bitte ihn dir endlich mal das verwendte VPN Protokoll zu nennen was du dann hier posten kannst !
So, und nun wollen wir hier endlich eine Erfolgsmeldung hören mit dem nächsten Posting....

@Abdullah
Wenn der Speedport diese Einstellungen nicht akzeptiert hat er einen Firmware Bug. Es sollte klar sein das du den SP723 mit der allerneuesten Firmware von der T-Com Download Seite geflachst haben solltest.
Außerdem erfordert der SP723 nach der Einrichtung der Port Weiterleitungs Regel wohl einen Kaltstart (Strom aus und an) Siehe:
http://foren.t-online.de/foren/read/service/dsl-festnetz/speedports/spe ...

Was du jetzt versuchst, das Problem mit neuer Hardware zu lösen, ist völliger Unsinn und wird dir natürlich NICHT helfen, denn du stehst wieder vor dem gleichen Problem.
Du musst dich mal ehrlich fragen was du von uns erwartest. Wir sind hier ja alle keine Zauberer die dir deine Kommunikationsprobleme lösen.
Nur allein daran scheitert das erfolgreiche Umsetzen dieser ansonsten billigen und banalen Konfiguration.
Das es nicht geht hat KEINERLEI technischen Ursachen sondern sind lediglich die Abstimmungsprobleme mit dem Vigor "Typen"...nichts anderes.
Du musst dich zwingend mit dem Vigor Konfiguratior abstimmen, denn der muss dir sagen welche Ports du am Speedport auf den Vigor forwarden muss !! Ebenso muss er dir zwingend die IP Adresse des Vigor WAN Ports mitteilen.
Das ist so als wenn du ein Leihauto tanken musst, da musst du auch wissen ob Diesel oder Benziner. Du gehst ja auch da nicht hin und beschimpfst den Tankwart weil er zu doof zum raten ist was dein Auto denn nun als Kraftstoff haben muss, oder ?? Da muss man auch wenigstens mal in den Tankdeckel sehen...
Folglich können wir hier doch auch nicht raten was der Vigor als VPN Protokoll erwartet. Klar das der SP dann "stört" solange du die richtigen Protokolle nicht am Speedport auf ihn forwardest.
Das hört sich so ein bisschen so an als wenn der Vigor Mensch dich bewusst auflaufen lassen will. Normal ist das doch nicht, denn Netzbetreuer stimmen sich in der Regel sauber ab bei solchen Konfigurationen um sie zum Fliegen zu bringen.
Wenn das bei dir nicht geschieht sind wir hier auch mit unserem Latein am Ende...Kommunikationsprobleme kann man über ein Forum logischerweise nicht lösen ! Das leuchtet doch sogar auch dir sicher ein, oder ??
Für den Rest tun wir hier ja alle schon was wir können !

Du hast natürlich auch die Option per "Trial and Error" also durch simples Ausprobieren das rauszubekommen. Oder durch forwarden aller sämtlicher VPN Ports also mit einer "Scheunentorlösung" das Problem in den Griff zu bekommen.
Damit hast du dann folgende Optionen:
IPsec Ports
UDP 500
UDP 4500
ESP Protokoll, Nr. 50
L2TP Ports
UDP 500
TCP 1701
ESP Protokoll, Nr.50
PPTP Ports
TCP 1723
GRE Protokoll, Nr. 47
Die "Scheunentor" Version wäre dann ALLE diese Ports im SP723 per Port Weiterleitung auf den Vigor vorzuwarnen...das klappt immer !
Die Fritzbox rettet dich keineswegs sondern verlagert diese Einstellungen nur auf diese Kiste. Es ist also vollkommen Latte ob du das mit dem SP machst oder der FB. Die FB ist in jedem Falle rausgeschmissenes Geld...aber deine Entscheidung !!

P.S.: Was deine "Ahnung" in Bezug auf einen Netzwerkplan betrifft ist das mit ein paar simplen Mausklicks mit MS Visio oder Omnigraffle auf dem Mac erledigt. Als JPEG speichern hier hochladen...fertig ist das Bild !
Eigentlich hast du doch mit deiner ansonsten guten Skizze oben schon bewiesen das du das gut lösen kannst. Wo ist also dein Problem ??

aqui hat recht (wie so oft...). Ohne Protokoll Infos geht es nicht. Aber mal anders gefragt: Wie willst du dich den mit dem VPN Verbinden wenn du nicht das Protokoll kennst? Try and Catch?

Ich hab gerade mal in meiner Firtzbox 7390 geguckt und selbst die kann nur TCP, UDP, ESP, GRE Protokoll. Jetzt bezweifle ich aber ,dass das der Speedport kann.

Oder es muss ein neuer Router her...

Gruß EvilToken

Die Speedports sind oft etwas "müllig" beim Thema VPN aber "VPN Passthrough" Supporten sie...wenigstens auf dem Papier.
Wenn also Ports wie TCP 1723 und UDP 500, 4500 geforwardet werden forwarden sie in der Regel die dazu korrespondierenden Tunnelprotokolle wie GRE und ESP gleich mit.
Oft ist aber die SP Firmware ziemlich buggy hier (sieh "Kaltstart" Workaround oben und anderes...), deshalb ist es in jedem Falle besser immer den aktuellsten Firmwarestand in den SPs zu haben...keine Frage !
Grundsätzlich sind generell solche "Konstruktionen" mit kaskadierten Routen im VPN Umfeld ziemlicher Müll und erzeugen meist ernste Folgeprobleme, gerade wenn man Laie ist im Umgang mit VPN Protokollen !
Besser wäre immer vollständig darauf zu verzichten und nur EINEN zentralen VPN Router zu verwenden und gerade bei VDSL den SP nur als dummes Modem wie den SP 300HS laufen zu lassen sofern er das supportet.
Ein VPN fähigen zentralen VPN Router im VDSL Umfeld kann man z.B. mit einer pfSense Firewall realisieren:
http://www.heise.de/netze/artikel/pfSense-als-VDSL-Router-221500.html
bzw.
Preiswerte, VPN fähige Firewall im Eigenbau oder als Fertiggerät
Es gibt aber auch kommerzielle Lösung die das direkt inkl. integriertem VDSL Modem bewerkstelligen wie z.B. einen kleinen Cisco 886VA und andere.