3
Zugriff auf Cisco WRVS4400N hinter einer FB per VPN ist nicht möglich.
Moin,
gegeben ist die folgende Konstellation, wie hier von aqui beschrieben:
Adressbereich der FB 172.16.x.x am LAN1
Der Cisco Router hat an der WAN-Schnittstelle ebenfalls eine statische IP an der WAN-Schnittstelle aus dem 172.16.x.x Bereich der FB.
Hinter dem Cisco werkelt ein SBS, der das DHCP übernimmt. Internet, Mail u.s.w funktioniert.
Nun habe ich mir QUICK VPN von der Cisco Seite heruntergeladen und auf meinem Notebook installiert, das per UMTS mit dem I-Net verbunden ist.
Wenn ich versuche eine VPN-Verbindung durch die FB hindurch zum Cisco Gateway aufzubauen bekomme ich stets die folgende Meldung:
The remote gateway is not responding. Do you want to wait?
ESP und der Port 60443 auf der FB sind zum Cisco hin geöffnet, aber die Verbindung kommt nicht zustande.
Für hilfreiche Antworten bin ich wie immer dankbar.
Gruß und weiterhin einen schönen Abend.
Uwe
gegeben ist die folgende Konstellation, wie hier von aqui beschrieben:
Adressbereich der FB 172.16.x.x am LAN1
Der Cisco Router hat an der WAN-Schnittstelle ebenfalls eine statische IP an der WAN-Schnittstelle aus dem 172.16.x.x Bereich der FB.
Hinter dem Cisco werkelt ein SBS, der das DHCP übernimmt. Internet, Mail u.s.w funktioniert.
Nun habe ich mir QUICK VPN von der Cisco Seite heruntergeladen und auf meinem Notebook installiert, das per UMTS mit dem I-Net verbunden ist.
Wenn ich versuche eine VPN-Verbindung durch die FB hindurch zum Cisco Gateway aufzubauen bekomme ich stets die folgende Meldung:
The remote gateway is not responding. Do you want to wait?
ESP und der Port 60443 auf der FB sind zum Cisco hin geöffnet, aber die Verbindung kommt nicht zustande.
Für hilfreiche Antworten bin ich wie immer dankbar.
Gruß und weiterhin einen schönen Abend.
Uwe
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-ID: 174356
Url: https://administrator.de/contentid/174356
Printed on: September 19, 2024 at 00:09 o'clock
3 Comments
Latest comment
Hallo Uwe !
Deiner Beschreibung kann man entnehmen das der Cisco ein IPsec VPN macht. Steht auch so im Datenblatt !
IPsec benutzt aber die folgenden Ports:
UDP 500 (IKE)
UDP 4500 (NAT-T)
ESP (IP Protokoll Nummer 50, nicht TCP/UDP 50)
Diese Ports musst du also zwingend auf der FB an den Cisco forwarden !!
Nur ESP reicht also keineswegs und es ist klar das dann keine Antwort vom Cisco kommt den IKE was den Key Exchange macht kommt nicht durch bei dir !
Wie du auf "60443" kommst ist vollkommen schleierhaft. Das sind sog. Ephemeral Ports die von der IANA nicht vergeben sind und die man frei wählen kann. IPsec nutzt sie de facto nicht.
Da die FB ebenfalls IPsec supportet (es sei denn du hast ein Modell was es nicht kann) musst du auch unbedingt auf der FB sicherstellen das diese 3 Ports weitergeleitet werden !
Nochwas: Prüfe auch das du im UMTS keinen sog. Billig Surf Account hast der intern auf dem Funknetz RFC 1918 IPs (Private IPs) vergibt. Damit ist in der Regel kein VPN möglich:
VPN per UMTS Karte - Tunnel steht - aber Netz dahinter nicht anpingbar !?
Du solltest also sicherstellen am UMTS Client eine öffentliche IP zu bekommen.
Deiner Beschreibung kann man entnehmen das der Cisco ein IPsec VPN macht. Steht auch so im Datenblatt !
IPsec benutzt aber die folgenden Ports:
UDP 500 (IKE)
UDP 4500 (NAT-T)
ESP (IP Protokoll Nummer 50, nicht TCP/UDP 50)
Diese Ports musst du also zwingend auf der FB an den Cisco forwarden !!
Nur ESP reicht also keineswegs und es ist klar das dann keine Antwort vom Cisco kommt den IKE was den Key Exchange macht kommt nicht durch bei dir !
Wie du auf "60443" kommst ist vollkommen schleierhaft. Das sind sog. Ephemeral Ports die von der IANA nicht vergeben sind und die man frei wählen kann. IPsec nutzt sie de facto nicht.
Da die FB ebenfalls IPsec supportet (es sei denn du hast ein Modell was es nicht kann) musst du auch unbedingt auf der FB sicherstellen das diese 3 Ports weitergeleitet werden !
Nochwas: Prüfe auch das du im UMTS keinen sog. Billig Surf Account hast der intern auf dem Funknetz RFC 1918 IPs (Private IPs) vergibt. Damit ist in der Regel kein VPN möglich:
VPN per UMTS Karte - Tunnel steht - aber Netz dahinter nicht anpingbar !?
Du solltest also sicherstellen am UMTS Client eine öffentliche IP zu bekommen.
Hallo aqui,
UMTS geht über T-Com. Auf den Port 60443 kam ich, weil der in der QUICK-VPN Software von Cisco wahlweise mit dem 443er angeboten wird.
Die Ports habe ich wie von dir beschrieben zum Cisco weitergeleitet, was aber keine Veränderung bringt.
Kann es daran liegen, dass das Netz hinter dem Cisco mit Adrsssen aus dem 192.168.x.x Bereich des SBS versorgt wird? Das zu erwähnen hatte ich oben vergessen.
Uwe
UMTS geht über T-Com. Auf den Port 60443 kam ich, weil der in der QUICK-VPN Software von Cisco wahlweise mit dem 443er angeboten wird.
Die Ports habe ich wie von dir beschrieben zum Cisco weitergeleitet, was aber keine Veränderung bringt.
Kann es daran liegen, dass das Netz hinter dem Cisco mit Adrsssen aus dem 192.168.x.x Bereich des SBS versorgt wird? Das zu erwähnen hatte ich oben vergessen.
Uwe
Nein die IP Adressierung spielt keine Rolle und ist so korrekt.
Geh mal strategisch vor...
Häng den VPN Client mal ins 172er Netz vorne und starte den VPN Client erstmal über Draht um ganz sicher zu gehen das die VPN Konfig auf dem Cisco sauber rennt. Client Zieladresse ist die WAN IP des Cisco !
Dieses Szenario entspricht ja exakt dem Zugriff von außen.
Erst wenn das sauber klappt solltest du weitermachen und den Zugriff über die FB machen.
Wichtig ist dabei zu wissen das die FB auch wirklich alle diese relevanten Ports weiterleitet an den WAN Port des Cisco.
Ggf. Musst du das mal sniffern mit dem Wireshark.
Geh mal strategisch vor...
Häng den VPN Client mal ins 172er Netz vorne und starte den VPN Client erstmal über Draht um ganz sicher zu gehen das die VPN Konfig auf dem Cisco sauber rennt. Client Zieladresse ist die WAN IP des Cisco !
Dieses Szenario entspricht ja exakt dem Zugriff von außen.
Erst wenn das sauber klappt solltest du weitermachen und den Zugriff über die FB machen.
Wichtig ist dabei zu wissen das die FB auch wirklich alle diese relevanten Ports weiterleitet an den WAN Port des Cisco.
Ggf. Musst du das mal sniffern mit dem Wireshark.