FritzBox IPSec VPN zu CachyOS einrichten

[xXxOrcaxXx]

Hallo,
ich würde gerne einen VPN Tunnel von meinem CachyOS zur Fritzbox der Eltern einrichten, damit ich deren Netzwerk administrieren kann. Dabei werden mir aber andauernd Steine in den Weg gelegt.

Fritzbox der Eltern: 7530 AX, OS: 8.25

Ich möchte gerne den IPSec Tunnel einrichten, da es mit dem Wireguard Tunnel zu Problemen kommen wird, da ich hier lokal eine Fritzbox mit der selben standardmäßigen Netzwerkkonfiguration betreibe.

Auf der FritzBox sind zwei Benutzer mit den nötigen Rechten eingetragen und auch schon ein funktionierender VPN Tunnel eingerichtet, mit dem ich über das Handy mich aufschalten kann.
In CachyOS habe ich Strongswan installiert, um den IPSec Tunnel aufbauen zu können.

Von der FritzBox bekomme ich folgende Werte:
MyFritz URL,
IPSec-ID,
IPSec-Schlüssel,
Benutzername,
Benutzerpasswort

Benutzername und IPSec-ID sind gleich

Ich habe in CachyOS eine Konfigdatei angelegt unter /etc/swanctl/conf.d/eltern.conf
Mit dem Inhalt

connections {
  eltern {
    version = 2
    remote_addrs =  [subnet].myfritz.net
    vips = 0.0.0.0

    local {
      auth = psk
      id = [Nutzername]
    }
    remote {
      auth = psk
      id = [Nutzername]
    }

    children {
      eltern {
        remote_ts = 192.168.178.202/24
        start_action = start
      }
    }
  }
}

secrets {
  ike-eltern {
    id-local = [Nutzername]
    id-remote = [Nutzername]
    secret = "[IPSec-Schlüssel]"
  }
}

Beim Aufbau der Verbindung mit sudo swanctl --initiate --child eltern

Kommt es zu folgendem Fehler:

[ENC] generating IKE_AUTH request 1 [ IDi N(INIT_CONTACT) IDr AUTH CPRQ(ADDR DNS) SA TSi TSr N(MOBIKE_SUP) N(NO_ADD_ADDR) N(EAP_ONLY) N(MSG_ID_SYN_SUP) ]
...
[ENC] parsed IKE_AUTH response 1 [ N(AUTH_FAILED) ]

Ich weiß leider nicht, was ich an der confif ändern muss, damit die Authentifizierung funktioniert. Weiß jemand von Euch weiter?

 

[conf_t]

mit der selben standardmäßigen Netzwerkkonfiguration betreibe.

Du meinst damit IP-Konfiguration ? Das wird dann in beiden Fällen Probleme machen, wenn die Subnetze identisch sind. Du brauchst unterschiedliche Subnetze an jedem Standort.

 

[xXxOrcaxXx]

Gibt es keine Möglichkeit das auch bei gleichen Subnetzen umzusetzen? Es kann doch keine harte Voraussetzung sein, dass sich die Subnetze nicht überschneiden. Was, wenn ich keinen Einfluss auf die Subnetze habe? Warum funktioniert es denn einwandfrei über den in Android integrierten VPN Dienst? Da hab ich auch ein IKEv2 IPSec PSK VPN eingerichtet, es funktioniert tadellos.

 

[conf_t]

Nein. Die Netze müssen unterschiedlich sein, Weil sonst dein Router gar nicht weiß, dass du mit z.b. 192.168.178.12 das remote netz meinst und will dich im lokalen Netz lassen

 

[xXxOrcaxXx]

Ich suche nach einer Möglichkeit, meinen Rechner per VPN in das Zielnetz zu heben, ohne, dass ich an irgendwelchen Subnetzen etwas ändern muss. Android kann es ja auch. Was macht der native Android VPN Client denn anders, dass das funktioniert?

 

[conf_t]

Was Android anders macht? Nichts! Du machst was anders, du wirst beim benutzen nicht im gleichen (W)LAN sein wie dein Ziel. Und damit eine andere IP haben. Du wirst, wenn ein Gerät aus einem Heimnetz mit einem anderen Gerät in einem anderen Heimnetz kommunizieren soll per VPN, egal welches, eben unterschiedliche IPs haben. Von unterwegs geht das, weil du dann eine IP aus der Mobilfunkzelle hast, meist eine öffentliche oder private, die mit 10.x oder 100.x beginnt.

VPN sind eine der vielen Gründe keine IPs aus 192.168.178.0, 192.168.179.0, 192.168.189.0, 192.168.0.0 bis 192.168.1.0 zu wählen, weil diese Netze sehr oft default Netze bei Heimroutern sind.

 

[xXxOrcaxXx]

Ich kann dir nicht folgen. Auf meinem Android schalte ich mobile Daten aus, WLAN an, bin verbunden mit der IP 192.168.178.70. Ich rufe 192.168.178.1 auf, dann komm ich auf der Weboberfläche meiner FritzBox raus. Ich mach den VPN an, geb noch mal 192.168.178.1 ein und kommt auf der FritzBox meiner Eltern raus. Sieht für mich so aus, als würde es funktionieren.

 

[CubeID]

Eventuell Tailscale?
Ich würde allerdings auch das Netz auf einer Seite ändern. Grad wenn alle Clients per DHCP Adressen bekommen kein Hexenwerk. Warum willst du die Netzadresse nicht ändern?
Dann könntest bspw. auch die Netze über die FB verbinden, WG für wenig Overhead nutzen, bräuchtest keinen VPN-Client & -Config auf einem Endgerät wenn du daheim bist ...

 

[Suxxess]

Wenn du keine festen IP's vergeben hast nimm für dein Netz doch einfach 192.168.179.x .
Router Neustart, dann kannst du sogar die Fritzboxen direkt koppeln.

Alternativ wireguard, ist auch recht einfach.
Wenn dir WLAN zur Verfügung steht, Gastnetz mit anderer ip und fertig.

 

[AGB-Leser]

Die Fritzbox weißt dem VPN-Klienten doch automatisch einen IP-Adressbereich zu, da muss man doch nichts machen. Nur in der Netzwerkverwaltung die Konfigurationsdaten von der Fritzbox eintragen. Der Adressenreich für die entfernte Fritzbox ist ja ein anderer als deiner lokal. Das ist aber egal, weil du ja beide Netzwerke nicht verbinden willst.
Ich habe das unter Android und Ubuntu ohne Probleme hinbekommen, für mich klingt das so, als wenn Strongswan das Problem ist. Du hast aber die Nutzerberechtigung, um VPN zu nutzen?

 

[xXxOrcaxXx]

@AGB-Leser Die Berechtigung habe ich. Soweit ich das verstanden habe, ist das Problem, dass mein Rechner, sowie das Ziel des VPN Tunnels, beide im 192.168.178.0/24 Netzbereich liegen, auch wenn es zwei völlig unterschiedliche Netze sind. Sinn ergibt das für mich aber nicht. Zum einen, da der native Android VPN, wie bereits erwähnt, kein Problem mit den Subnetzen hat und zum Anderen, weil ich nicht glauben kann, dass jeder VPN, der heutzutage im Gebrauch ist, russisch Roulette mit den Subnetzen spielt. "Oh, dein Start-Subnetz belegt den gleichen Bereich, wie dein Ziel-Subnetz? Fuck you, I guess". Wenn man zwei Netze mit einem VPN verbinden will, ergibt das natürlich Sinn. Aber das will ich ja garnicht.

 

[zaphod88]

Du könntest mal probieren, in Wireguard unter AllowedIPs auf Deinem Endgerät die 192.168.178.0/24 mit anzugeben. Das routet dann alle Pakete an das Subnetz durch den Tunnel, aber Du hättest dann keinen Zugriff auf die Geräte in Deinem Netz mehr, solange der Tunnel an ist. Bei Standard-Implementierung sollte das gehen - die Fritte hat aber ein paar Sonderlocken, da bin ich mir nicht sicher.

 

[AGB-Leser]

@AGB-Leser Die Berechtigung habe ich. Soweit ich das verstanden habe, ist das Problem, dass mein Rechner, sowie das Ziel des VPN Tunnels, beide im 192.168.178.0/24 Netzbereich liegen, auch wenn es zwei völlig unterschiedliche Netze sind. Sinn ergibt das für mich aber nicht. Zum einen, da der native Android VPN, wie bereits erwähnt, kein Problem mit den Subnetzen hat und zum Anderen, weil ich nicht glauben kann, dass jeder VPN, der heutzutage im Gebrauch ist, russisch Roulette mit den Subnetzen spielt. "Oh, dein Start-Subnetz belegt den gleichen Bereich, wie dein Ziel-Subnetz? Fuck you, I guess". Wenn man zwei Netze mit einem VPN verbinden will, ergibt das natürlich Sinn. Aber das will ich ja garnicht.

Ich finde es auch unlogisch, ich habe am Anfang den gleichen Fehler wir du gemacht und die Adressen sogar manuell festgelegt, um Konflikte zu vermeiden. Geht aber nicht, also egal. Das liegt vermutlich daran, dass über eine virtuelle Netzwerkkarte läuft und das lokale Netz getrennt wird vom VPN. Schau unter Android die IP an, die wird garantiert eine andere sein, als die, die du im WLAN nutzt. Da läuft das alles automatisch, deswegen bekommst du das nicht mit.
Lass die Fritzbox bei deinen Eltern einfach per DHCP die IP für deine VPN-Verbindung festlegen und gut.

 

[NDiCB]

Ich möchte gerne den IPSec Tunnel einrichten, da es mit dem Wireguard Tunnel zu Problemen kommen wird, da ich hier lokal eine Fritzbox mit der selben standardmäßigen Netzwerkkonfiguration betreibe.

Diese bedenken kann ich nicht nachvollziehen. Wenn man eine (zueinander unpassende) IP-Konfiguration hat, wird es sowohl mit WG als auch mit IPsec Probleme geben. Zudem man dann auch noch 2 versch. VPN-Tunnel auf seinem System einrichtet/betreibt, obwohl dazu keine Notwendigkeit besteht. Von daher: Nutze besser gleich WireGuard!

Zudem die IPsec IKEv1 Implementierung, welche FRITZ!OS nutzt, relativ alt ist und dies auch die unter Linux nutzbare VPN-Software dafür betrifft (vpnc als auch strongSwan). Ich nutze IPsec IKEv1 bzw. den vpnc daher tatsächlich nur noch dann, wenn es nicht anders geht, also z.B. wenn VPN-Verbindungen zu älteren FRITZ!Boxen nötig sind mit FRITZ!OS <7.2x bzw. zu Puma6 basierten Modellen (6430, 6490 oder 6590), die auch mit FRITZ!OS 7.2x kein WG erhalten haben (aufgrund des alten Linux-Kernel der Puma6-Modelle).

Bei einer 7530 AX würde ich dagegen jedoch unbedingt zu WG raten! Zwar wird mit FRITZ!OS >=7.2x auch IPsec IKEv2 unterstützt aber bisher anscheinend nur erfolgreich für Android (Ver. >=12) basierte Geräte. Jedenfalls habe ich es bisher nicht geschafft mit anderen Clients IKEv2 zu einer Fritzbox zu nutzen, wobei meine Bemühungen dazu (dank Unterstützung von WG) nicht sonderlich intensiv waren.

Ergänzung (Heute um 09:36)

Gibt es keine Möglichkeit das auch bei gleichen Subnetzen umzusetzen? Es kann doch keine harte Voraussetzung sein, dass sich die Subnetze nicht überschneiden. Was, wenn ich keinen Einfluss auf die Subnetze habe? Warum funktioniert es denn einwandfrei über den in Android integrierten VPN Dienst? Da hab ich auch ein IKEv2 IPSec PSK VPN eingerichtet, es funktioniert tadellos.

Nicht wenn man eine FritzBox als VPN-Gateway/Server verwendet. Man kann halt nicht zwei identische IP-Subnetze miteinander verbinden, wie sollen die denn dann auseinandergehalten werden können?

Es kann doch keine harte Voraussetzung sein, dass sich die Subnetze nicht überschneiden. Was, wenn ich keinen Einfluss auf die Subnetze habe?

Dafür gibt es andere Lösungen, VPN-Server/Gateways richten dazu ein eigenes Subnetz ein und in den jeweiligen Routern sind dann statische Routen für dieses separate Subnetz zum jeweiligen Gateway (VPN-Server) einzurichten. FRITZ!OS nutzt bzw. unterstützt diese Art der Umsetzung jedoch nicht.

Warum funktioniert es denn einwandfrei über den in Android integrierten VPN Dienst? Da hab ich auch ein IKEv2 IPSec PSK VPN eingerichtet, es funktioniert tadellos.

Dein Android-Device nutzt ganz sicher nicht das gleiche Subnetz wie deine Fritzbox.

Ergänzung (Heute um 09:50)

BTW:

Wenn du keine festen IP's vergeben hast nimm für dein Netz doch einfach 192.168.179.x

Bestimmte Subnetze wie 192.168.179.0/24 (standardmäßig verwendet für das Gastnetz von FRITZ!OS), 192.168.180.0/24 oder 192.168.100.0/24 (internes "Wartungsnetz" bei DOCSIS, wenn auch "nur" 192.168.100.1/32) sollte man, wenn möglich, meiden.