FritzBox (kein Router) VPN

[max40]

moin.

in einem bestehenden Netzwerk wollte ich die FritzBox 7270 für VPN verwenden.
Dabei ist die FritzBox nicht direkt am DSL Zugang angeschlossen. Geht also über einen anderen bestehenden Router ins Internet.

Dafür habe ich den 1. Lan Port eingerichtet so das eine Internet Verbindung aufgebaut werden kann.
sowie auch am 2. Lan Port damit ich ins Interne Netzt kommt, bzw. damit ich selbst auch auf die FritzBox wieder komme.

Dyndns ist auch eingerichtet (aktiviert, xxx.dyndns-work.com, Status: erfolgreich angemeldet)

Muss ich jetzt auf dem normalen Router noch irgendwelche Ports freigaben?
Den ich bekomme vom Client (z.B. iPhone) immer nur eine Zeitüberschreitung. (Zugang für iPhone habe ich so wie von avm beschrieben eingerichtet)

Oder ist der erste Teil schon falsch?

Danke + Gruß
Max

 

[Vanilla2001]

Du musst natürlich die Ports die du bei VPN verwendest auf die Fritzbox weiterleiten, dein Internet-Router weiß ja gar nicht, was er mit den Paketen machen soll.

Einfacher wäre es, die Fritzbox direkt als ersten Router einzusetzen. Du könntest mal versuchen die FritzBox als DMZ des ersten Routers anzugeben.

 

[max40]

welche ports müssen dazu weitergeleitet werden?

 

[hoosty]

Hi, Ports muss du dann am ersten Router natürlich öffnen. Es sollten diese sein:

Welche Ports muss man öffnen um IPSEC machen zu können?

Kommt ganz darauf an! Je nachdem, wie der VPN Server konfiguriert ist, brauchen wir

* UDP Port 500 und IP-Protokoll ESP (Obacht: ESP hat keine Ports, es ist ein L3 Protokoll! Guggst du!)

oder

* UDP Port 500 und UDP Port 4500 (Wenn ESP via NAT-T in UDP gekapselt wird)

oder

* TCP Port 10.000 (Wenn IKE und ESP in TCP gekapselt werden)


Auf der sicheren Seite ist man, wenn also die Ports UDP500, UDP4500 und TCP10.000 und IP Protokoll ESP zwischen den VPN Partnern offen sind.

Ich weiss aber nicht, wie AVM sein VPN implementiert hat, kann auch sein, dass andere Ports gebraucht werden... Am besten wäre es, wenn die Fritzbox Router 1 wäre.

 

[Vanilla2001]

Wie Hoosty schon sagte, dass ist abhängig von der Implementation. Meistens werden auch Bereiche verwendet.

 

[Complication]

Du könntest mal versuchen die FritzBox als DMZ des ersten Routers anzugeben.

Davon kann ich nur abraten.
http://de.wikipedia.org/wiki/Demilitarized_Zone

Ein Verbindungsaufbau sollte grundsätzlich immer aus dem internen Netz in die DMZ erfolgen, niemals aus der DMZ in das interne Netz. Eine übliche Ausnahme hiervon ist der Zugriff aus der DMZ auf Datenbankserver im internen Netzwerk.

Da der VPN Zugang von aussen darauf erfolgen soll ist das ziemlich unsinnig - vor allem da ja von der Fritzbox aus das ganze interne LAN erreichbar sein sollte.

Auch als "Exposed Host als „Pseudo-DMZ“" was viele Router als DMZ bezeichnen ist es absolut nicht ratsam:

Einige Router für den Heimgebrauch bezeichnen die Konfiguration eines Exposed-Host fälschlicherweise als „DMZ“. Dabei kann man die IP-Adresse eines Rechners im internen Netz angeben, an den alle Pakete aus dem Internet weitergeleitet werden, die nicht über die NAT-Tabelle einem anderen Empfänger zugeordnet werden können. Dieses Verfahren stellt ein erhebliches Sicherheitsrisiko dar. Es eignet sich eher für die Fehlersuche, um temporär den Einfluss der Firewall zu umgehen, etwa bei Problemen mit bestimmten Datenverbindungen. Eine Portweiterleitung der tatsächlich benutzten Ports ist dem vorzuziehen.

Besser auf diese Weise:
Wie kann ich über eine VPN-Verbindung zwischen zwei FRITZ!Box-Geräten (LAN-LAN) auf mehrere IP-Netzwerke hinter einer FRITZ!Box zugreifen?

 

[Vanilla2001]

Davon kann ich nur abraten.
http://de.wikipedia.org/wiki/Demilitarized_Zone
Da der VPN Zugang von aussen darauf erfolgen soll ist das ziemlich unsinnig - vor allem da ja von der Fritzbox aus das ganze interne LAN erreichbar sein sollte.

Auch als "Exposed Host als „Pseudo-DMZ“" was viele Router als DMZ bezeichnen ist es absolut nicht ratsam:


Besser auf diese Weise:
Wie kann ich über eine VPN-Verbindung zwischen zwei FRITZ!Box-Geräten (LAN-LAN) auf mehrere IP-Netzwerke hinter einer FRITZ!Box zugreifen?

Und warum rätst du davon ab? Der Schutz ist weiterhin durch die zweite FritzBox gegeben. Die DMZ direkt mit dem internen Netz zu verbinden würde ich nicht empfehlen.

Die Sammlung die du angegeben hast, bezieht sich auf eine VPN Verbindung zwischen zwei Fritzboxen. Aber dieser Fall hier ist anders.

 

[Complication]

Und warum rätst du davon ab? Der Schutz ist weiterhin durch die zweite FritzBox gegeben. Die DMZ direkt mit dem internen Netz zu verbinden würde ich nicht empfehlen.

Und was soll er dann mit der VPN Verbindung auf seinen Router anfangen?
Der Sinn ist ja auf sein internes LAN zuzugreifen und Daten von einer Freigabe abzurufen.

Das einzige was hier anders ist, ist dass keiner von uns weiss was der erste Router für ein Modell ist - ansonsten ändert sich nichts in der Konfiguration.

Zur Erinnerung aus dem Erstbeitrag:

sowie auch am 2. Lan Port damit ich ins Interne Netzt kommt, bzw. damit ich selbst auch auf die FritzBox wieder komme.

Von aussen über einen DMZ ins interne LAN - da kann er sich das VPN ja sparen.

 

[Vanilla2001]

Er baut von außen eine VPN-Verbindung zu seiner FritzBox auf um ins interne Netz zu kommen. Alles andere blockt die FritzBox-Firewall weg.

Das ist fast genau das gleiche, als ob er mit der FritzBox direkt am Netz hängt.

 

[max40]

Das einzige was hier anders ist, ist dass keiner von uns weiss was der erste Router für ein Modell ist - ansonsten ändert sich nichts in der Konfiguration.

Es ist ein D-Link DSL564T


Also Ziel soll es sein, dass an dem bestehenden System nix geändert werden soll, ich aber (so dachte ich) einfach über die FritzBox per VPN von außen ins Firmen Netz komme.

 

[Vanilla2001]

Firmennetz .... uiuiuiuiuiui.... da frag mal lieber euren Administrator ...

eine andere Sache ist, die Verbindung über externe Server. Sowas wie hamachi, oder NeoRouter ...