blockierter Ports unterbindet Fritz!Box-VPN?

[tomm1984]

@d2boxSteve : das ist genau das, was ich vermute, dass die andere Person andere Filter an deren Netzwerk oder Router hat... das war eingangs hier im Post mein Gedanke / meine Vermutung.

Wenn jetzt diese Person die Einstellungen des Routers nicht ändern kann / darf (derjenige wohnt in so einem Mehrfamilienhaus, wo der Vermieter allen Untermietern den Internetzugang zur Verfügung stellt), gibt es eine andere Möglichkeit, der Person Zugang zu meinem Netzwerk zu gewähren?

Ich hatte schon überlegt, vielleicht eine andere VPN-Variante zu wählen, z.B. die von awast; und dann gehofft, dass man innerhalb dieser VPN-Verbindung dann die Fritz-VPN-Verbindung aufbauen kann. Ob VPN innerhalb einer anderen VPN geht, weiß ich natürlich nicht. Ferner setzt das voraus, dass Avast-VPN überhaupt geht (und dann das, was auch immer Fritz-VPN verhindert, durch den Avast-VPN "umgegangen" wird).

Komischerweise haben TeamViewer und AnyDesk (vergleichbar mit TeamViewer) einwandfrei funktioniert ... deshalb habe ich leider keinen Plan, was uns an der Fritz-VPN-Verbindung hindert

 

[Bob.Dig]

Wenn jetzt diese Person die Einstellungen des Routers nicht ändern kann / darf (derjenige wohnt in so einem Mehrfamilienhaus, wo der Vermieter allen Untermietern den Internetzugang zur Verfügung stellt), gibt es eine andere Möglichkeit, der Person Zugang zu meinem Netzwerk zu gewähren?

Vorhin meintest Du noch er hätte ganz normales Internet, das von dir jetzt beschriebene ist aber auf gar keinen Fall die Norm. Ich hatte ja extra den Hinweis auf Hotspots oder Arbeitgeber gegeben... 🤬 Bin raus.

 

[till69]

gibt es eine andere Möglichkeit, der Person Zugang zu meinem Netzwerk zu gewähren?

Gibt es durchaus:
https://www.softether.org/4-docs/2-howto/6.VPN_Server_Behind_NAT_or_Firewall/2.VPN_Azure

 

[tomm1984]

@Bob.Dig: Sorry, Missverständnis; die "zugreifende Person" hat ganz normales Internet; ICH habe es selbst getestet / sebst die Erfahrung gemacht, dass ICH Zugriff auf mein Netzwerk von unterwegs habe ... und zwar vom Büro aus, von Hotels aus (meistens), von Cafés aus (ebenfalls häufig, wenn auch nicht immer) und immer sogar mit dem iphone-Hotspot. Das hat i.d.R. funktioniert.

Damit wollte ich sagen, dass meine Seite der VPN-Verbindung grundsätzlich funktioniert und vermute deshalb nach wie vor das Problem auf Seite der zugreifenden Person.

 

[G_Rosch_L]

Man kann aber auf eine FritzBox auch dem Endgerät über Filter die Rechte auf VPN entziehen. Da sollte das Endgerät "unbeschränkt" haben.

siehe hier: beim mir können Gäste und Kinder kein VPN aufbauen, nur Surfen

 

[d2boxSteve]

Womit du selbst durch einige einfache Filter kommst ist OpenVPN. Das default Port/Protokoll ist da udp/1194, man kann den Server aber auch mit tcp/443 benutzen. Einige Proxies erlauben das sogar.
Wenn der Filter aber aktuellem Standard entspricht, geht das auch nicht.

 

[tomm1984]

hmm ... openVPN ist - so wie ich das gesehen habe - dummerweise auch nicht mehr kostenfrei, wie es das früher einmal war :-/

aber klar, zum probieren ginge das erstmal.
Danke

Ergänzung (10. März 2020)

@G_Rosch_L : Ich verstehe was Du meinst, glaube aber, dass es nicht zutreffend ist. Mit jenem VPN-User, mit dem die andere Person auf mein Netzwerk zugreifen will, habe ich es ja selbst außerhalb getestet ... wenn es also mit exakt diesem User geht, würde ich schlussfolgern, dass zumindest mal alle Einstellungen an meiner Fritzbox (empfangende Seite) in Ordnung sind.

Ob der Router der zugreifenden Person (ob Fritzbox oder nicht) solch eine Beschränkung hat, lässt sich ja leider nicht klären und deshalb suche ich mittlerweile nach Alternativen, da, nach aktuellem Stand, hier davon auszugehen ist, dass auf der Seite des zugreifenden Users irgendwelche Filter aktiviert sind, die den Aufbau blockieren.

Danke dennoch für Deinen Beitrag und gern Veto, sofern ich Dich falsch verstanden habe.

 

[till69]

Wenn der Filter aber aktuellem Standard entspricht, geht das auch nicht.

Das mag für China usw. zutreffen, aber im großen Rest der Welt funktioniert OpenVPN über TCP 443/993/995 (mit tls-crypt) recht zuverlässig.

 

[d2boxSteve]

???? OpenVPN ist open-source und komplett kostenfrei, wo hast du was gelesen von Kosten? Es gibt Dienstleister die OpenVPN kostenpflichtig anbieten .. wenn du das bei dir selbst machst ist es natürlich kostenfrei.

 

[tomm1984]

@till69 + @d2boxSteve : Okay, dann habe ich da etwas auf openvpn.net missverstanden; da stand etwas von "Trial" und klang mir deshalb so, also würde ich nach 30 Tage oder so zur Kasse gebeten werden.

Dann mal noch eine andere dumme Frage:

1. Installiere ich lediglich den openVPN-Client auf dem Rechner der "zugreifenden Person" und trage die Fritz-Box-VPN-Daten ein oder
2. muss bspw. ein Rechner in meinem Netzwerk zusätzlich ein VPN-Server werden?

Danke.

 

[till69]

muss bspw. ein Rechner in meinem Netzwerk zusätzlich ein VPN-Server werden?

Genau so ist es

 

[Paradox.13te]

Wenn der Filter aber aktuellem Standard entspricht, geht das auch nicht.

Das mag für China usw. zutreffen, aber im großen Rest der Welt funktioniert OpenVPN über TCP 443/993/995 (mit tls-crypt) recht zuverlässig.

OpenVPN über TCP 443 und Co mit obfuscation funktioniert einwandfrei in China.

 

[d2boxSteve]

@Paradox.13te : Ab dem Zeitpunkt, wo du mit eigenen Zertifikaten https filterst ist Schicht mit OpenVPN ...

 

[snaxilian]

@d2boxSteve Könntest du dafür nähere Infos liefern? Da man bei openvpn auf dem Server ein Zertifikatspaar bzw. Schlüssel erzeugt und dem openvpn-Client das Zertifikat mit gibt wird nur mit diesem die Verbindung aufgebaut und geprüft und eben nicht gegen den Zertifikatsspeicher des OS validiert wird.

Wenn ein "Angreifer" einen mitm betreibt und dort TLS Terminierung betreibt würde das neue Zertifikat des Proxy Servers nicht zum Zertifikat des openvpn-Clients passen.
Bei reinen browserbasierten Lösungen ist das etwas anderes da dein Browser und OS einer großen Menge von CAs standardmäßig vetraut und wenn der Proxybetreiber es schafft als ausstellende Sub-CA einer vertrauten CA aufzutreten dann kann er deinen Traffic analysieren ohne aufzufallen. Das ist gängige Lösung in Unternehmen wo privates surfen nicht erlaubt ist. Die PCs der Mitarbeiter vertrauen der internen CA und der Proxy ist sub-CA für die interne CA. Proxy kann daher jeglichen https Traffic aufbrechen, reingucken und nach Malware etc suchen und wieder für den weiteren Weg verschlüsseln.

 

[d2boxSteve]

@snaxilian : Das ist ganz einfach, wenn eine NextGen Firewall mit eigenen Zertifikaten das https aufbricht um den URL-Filter anzuwenden und non-http Protokoll findet oder das Zertifikat nicht passt lautet die default-Rule normalerweise drop ...

 

[snaxilian]

Dann haben wir aneinander vorbei geredet
Ja, wenn ein Proxy/Firewall TLS aufbricht und anhand der Header erkennt dass es kein http Traffic ist kommt keine Verbindung zustande korrekt. Aber auch wenn der Traffic aufgebrochen wird und nicht die Header prüfen würde käme keine Verbindung zustande da eben aufgrund der anschließenden Neuverschlüsselung mit anderem Zertifikat keine Verbindung zustande kommt.
Dann kann man immer noch versuchen den Traffic per UDP/53 zu tunneln oder muss eben eine andere VPN-Technologie nutzen, z.B. client-lose SSL-VPNs die alles über HTTPS schicken und die eigentlichen Anwendungen so "tunneln" bzw. ausliefern.