VPN zwischen zwei Fritzboxen wird nicht aufgebaut

[stefan-m]

Hallo und einen schönen Tag euch,

seit geraumer Zeit versuche ich zwei Fritzboxen miteinander zu verheiraten, um die Netze dahinter jeweils miteinander kommunizieren zu lassen. Die Verbindung wird aber nicht aufgebaut wenn ich versuche, eine Maschine aus dem anderen Netz zu erreichen. Wenn ich allerdings die Fritzbox im anderen Netz erreichen will (x.x.x.1), ist sie sofort da - wobei es nicht die Fritzbox aus dem anderen Netz, sondern die aus meinem Netz ist - obwohl ich die andere IP eingetragen habe. Mit der eigenen IP geht es natürlich auch.

Ich kann mit meinem Rechner jeweils zu jeder Box eine normale VPN-Verbindung aufbauen. Das bedeutet, grundsätzlich funktioniert alles (also Dyndns und so). Nur eben die Fritzboxen untereinander wollen so gar nicht. Keine der beiden Boxen befindet sich im 178er Netz und sie sind in getrennten Netzen.

Kann es damit zu tun haben, dass ich neben der lan-lan Verbindung in der Konfiguration auch eben die user-lan Verbindung drin habe? Die hätte ich aber auch gern mit dabei, weil ich ja auch mal von draußen nur mit meinem Laptop bewaffnet ins Netz will. Oder muss ich noch irgendwelche Routen bekannt machen? Eigentlich sind weitere Netze nicht vorhanden, so dass ich da keine Notwendigkeit sehe.

AVM selber konnte mir auch nicht weiterhelfen.

Wäre wirklich schön, wenn ihr eine Idee habt.

Vielen Dank schon mal für's grübeln.

[Crash2001]

Also ich habe das VPN zwischen zwei Fritzboxen problemlos am laufen.

Vielleicht hast du ja in deiner Config irgendwo einen Gedankenfehler drin oder sonst was. Ohne die Config können wir dir das jedenfalls auch nicht sagen. Kannst ja den dyn-DNS-Namen u.s.w. anonymisieren.

Hast du mal ein Firmwareupdate gemacht? Falls ja, nur das aktuellste, oder auch mal ein älteres oder die Labor-Version? Bei mir läuft es zwischen zwei FritzBox 7270 seit ca. 4 Jahren problemlos. Seitdem habe ich aber auch keine Firmwareupdates der Fritzboxen mehr gemacht...

Zuerst wollte es bei mir auch nicht, aber nachdem ich dann meinen Denkfehler bemerkt hatte, ging es sofort.

Routen musste ich meine ich keine manuell hinzufügen.

Bist du nach dieser Anleitung vorgegangen?

Bekommst du irgendwelche Fehlermeldungen?

Irgendwie klingt deine Beschreibung so, als ob du dich mit der Box auf sich selber zu verbinden versuchst.

[stefan-m]

Danke für Deine Antwort.

Ja, ich hab mich an die Anleitung gehalten, bin aber unsicher, weil es nicht so ganz "anleitungsgemäß" ging, da ich auf der Box schon einen Zugang für meinen Laptop hatte. Deswegen bin ich ja auch unsicher, ob sich diese überhaupt parallel betreiben lassen.

Ich schicke einfach mal meine Konfigurationsdateien mit, vielleicht habe ich ja den gleichen Denkfehler und Du kannst aus Deiner Erfahrung schöpfen - wäre jedenfalls schön.

/*

*

C:\Users\stefan\AppData\Roaming\AVM\FRITZ!Fernzugang\67890_dyndns_org

\fritzbox_67890_dyndns_org.cfg

* Sat Nov 05 17:13:12 2011

*/

vpncfg {

connections {

enabled = yes;

conn_type = conntype_lan;

name = "12345.dyndns.org";

always_renew = no;

reject_not_encrypted = no;

dont_filter_netbios = yes;

localip = 0.0.0.0;

local_virtualip = 0.0.0.0;

remoteip = 0.0.0.0;

remote_virtualip = 0.0.0.0;

remotehostname = "12345.dyndns.org";

localid {

fqdn = "67890.dyndns.org";

}

remoteid {

fqdn = "12345.dyndns.org";

}

mode = phase1_mode_aggressive;

phase1ss = "all/all/all";

keytype = connkeytype_pre_shared;

key = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";

cert_do_server_auth = no;

use_nat_t = yes;

use_xauth = no;

use_cfgmode = no;

phase2localid {

ipnet {

ipaddr = 192.168.179.0;

mask = 255.255.255.0;

}

}

phase2remoteid {

ipnet {

ipaddr = 192.168.180.0;

mask = 255.255.255.0;

}

}

phase2ss = "esp-all-all/ah-none/comp-all/pfs";

accesslist = "permit ip any 192.168.180.0 255.255.255.0"; } { enabled = yes; conn_type = conntype_user; name = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";

always_renew = no;

reject_not_encrypted = no;

dont_filter_netbios = yes;

localip = 0.0.0.0;

local_virtualip = 0.0.0.0;

remoteip = 0.0.0.0;

remote_virtualip = 192.168.179.180;

remoteid {

user_fqdn = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";

}

mode = phase1_mode_aggressive;

phase1ss = "all/all/all";

keytype = connkeytype_pre_shared;

key = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";

cert_do_server_auth = no;

use_nat_t = yes;

use_xauth = no;

use_cfgmode = no;

phase2localid {

ipnet {

ipaddr = 192.168.179.0;

mask = 255.255.255.0;

}

}

phase2remoteid {

ipaddr = 192.168.179.180;

}

phase2ss = "esp-all-all/ah-none/comp-all/pfs";

accesslist =

"permit ip 192.168.179.0 255.255.255.0 192.168.179.180 255.255.255.255";

}

ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", "udp 0.0.0.0:4500 0.0.0.0:4500"; }

// EOF

und hier die zweite Konfigurationsdatei:

/*

*

C:\Users\stefan\AppData\Roaming\AVM\FRITZ!Fernzugang\12345_dyndns_org

\fritzbox_12345_dyndns_org.cfg

* Sat Nov 05 17:13:12 2011

*/

vpncfg {

connections {

enabled = yes;

conn_type = conntype_lan;

name = "67890.dyndns.org";

always_renew = no;

reject_not_encrypted = no;

dont_filter_netbios = yes;

localip = 0.0.0.0;

local_virtualip = 0.0.0.0;

remoteip = 0.0.0.0;

remote_virtualip = 0.0.0.0;

remotehostname = "67890.dyndns.org";

localid {

fqdn = "12345.dyndns.org";

}

remoteid {

fqdn = "67890.dyndns.org";

}

mode = phase1_mode_aggressive;

phase1ss = "all/all/all";

keytype = connkeytype_pre_shared;

key = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";

cert_do_server_auth = no;

use_nat_t = yes;

use_xauth = no;

use_cfgmode = no;

phase2localid {

ipnet {

ipaddr = 192.168.180.0;

mask = 255.255.255.0;

}

}

phase2remoteid {

ipnet {

ipaddr = 192.168.179.0;

mask = 255.255.255.0;

}

}

phase2ss = "esp-all-all/ah-none/comp-all/pfs";

accesslist = "permit ip any 192.168.179.0 255.255.255.0";

} {

enabled = yes;

conn_type = conntype_user;

name = "xxxxxxxxxxxxxxxxxxxxxxxxxxx";

always_renew = no;

reject_not_encrypted = no;

dont_filter_netbios = yes;

localip = 0.0.0.0;

local_virtualip = 0.0.0.0;

remoteip = 0.0.0.0;

remote_virtualip = 192.168.180.193;

remoteid

{

user_fqdn = "xxxxxxxxxxxxxxxxxxxxxxxxxx";

}

mode = phase1_mode_aggressive;

phase1ss = "all/all/all";

keytype = connkeytype_pre_shared;

key = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxx";

cert_do_server_auth = no;

use_nat_t = yes;

use_xauth = no;

use_cfgmode = no;

phase2localid

{

ipnet

{

ipaddr = 192.168.180.0; mask = 255.255.255.0;

}

}

phase2remoteid

{

ipaddr = 192.168.180.193;

}

phase2ss = "esp-all-all/ah-none/comp-all/pfs";

accesslist = "permit ip 192.168.180.0 255.255.255.0 192.168.180.193 255.255.255.255";

} {

enabled = yes;

conn_type = conntype_user;

name = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";

always_renew = no;

reject_not_encrypted = no;

dont_filter_netbios = yes;

localip = 0.0.0.0;

local_virtualip = 0.0.0.0;

remoteip = 0.0.0.0;

remote_virtualip = 192.168.180.190;

remoteid {

user_fqdn = "xxxxxxxxxxxxxxxxxxxxxxxx";

}

mode = phase1_mode_aggressive;

phase1ss = "all/all/all";

keytype = connkeytype_pre_shared;

key = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";

cert_do_server_auth = no;

use_nat_t = yes;

use_xauth = no;

use_cfgmode = no;

phase2localid {

ipnet {

ipaddr = 192.168.180.0;

mask = 255.255.255.0;

}

}

phase2remoteid {

ipaddr = 192.168.180.190;

}

phase2ss = "esp-all-all/ah-none/comp-all/pfs";

accesslist =

"permit ip 192.168.180.0 255.255.255.0 192.168.180.190 255.255.255.255";

}

ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", "udp 0.0.0.0:4500 0.0.0.0:4500"; }

// EOF

[Crash2001]

Hmmm... so auf Anhieb sehe ich jetzt keinen Fehler.

Kann es sein, dass du teils statt der IP-Adresse das Netz angegeben hast?

Muss ich mal am WE zu Hause schauen, ob ich meine lauffähige Config-Dateien noch finde. Irgendwo habe ich die die Tage meine ich noch mal gesehen...

Leider kann man sie ja nicht wieder runterladen von der Box (zumindest mit meiner Firmwareversion drauf nicht).

[stefan-m]

Das kann sein, aber meines Erachtens war nach der Netzadresse gefragt, deswegen wunderte mich das auch nicht. Wie gesagt, die Verbindungen von meinem Rechner ins Netz gehen, nur die von Box zu Box nicht.

Danke schon mal für's nachschauen.