FritzBox VPN

[Raijin]

Der VPN Tunnel sollte schon in beide Richtungen gehen.

Die "Richtung" eines VPN-Tunnels bzw. einer Netzwerkverbindung im allgemeinen definiert sich dadurch welche Seite die Verbindung initiiert. Wenn deine lokale Fritzbox eine VPN-Verbindung zu einem VPN-Server daheim aufbaut, dann ist die Verbindung aus Sicht der Vermieters ausgehend und bei dir daheim eingehend - deswegen müsste daheim gegebenenfalls auch eine Portweiterleitung eingerichtet werden, wenn der VPN-Server hinter dem Router sitzt. Wenn's der Router selbst ist (zB im Falle einer heimischen Fritzbox), braucht man daheim keine Weiterleitung.

Sobald die VPN-Verbindung hergestellt wurde ist sie in beide Richtungen nutzbar, logisch. Du kannst also nach Belieben hoch- bzw. runterladen.

Das AVM VPN braucht auf beiden seiten eine öffentliche erreichbare IP

Ich habe zwar keine Fritzbox, aber soweit ich weiß benötigt FritzVPN auch nur auf Seiten des VPN-Servers eine eigene öffentliche IP. Der VPN-Client kann auch hinter einem DSLite-Anschluss sitzen. Man mag mich aber gerne korrigieren, wenn ich da falsch liege.

 

[jonderson]

probiere aus, aber Fritzbox zu Fritzbox VPN ist langsam, kriegst max um die 2 mb/s...

AVM VPN != OpenVPN

Mir hat es gereicht...

Ergänzung (13. März 2019)

Ich habe zwar keine Fritzbox, aber soweit ich weiß benötigt FritzVPN auch nur auf Seiten des VPN-Servers eine eigene öffentliche IP. Der VPN-Client kann auch hinter einem DSLite-Anschluss sitzen. Man mag mich aber gerne korrigieren, wenn ich da falsch liege.

100%ig sicher bin ich mir nicht, in einem meiner Fälle war sogar noch ein Proxy dazwischen und da führte dannn kein Weg dran vorbei.
Aber vom Kollegen mit Kabeldeutschland habe ich gehört, dass es mit DSLite auch nicht ging, aber 100%ig sicher bin ich mir da auch nicht.

 

[till69]

OpenVPN und RasPi V3 auf beiden Seiten sollte völlig ausreichen:

http://www.volkmann.com/cms/index.php/howto/raspberry-pi/33-openwrt-hardware-vergleich

Hauptwohnsitz hat 40MBit/s Upload?

 

[Raijin]

Voraussetzungen / Einschränkungen

• Mindestens eine der beiden FRITZ!Boxen muss vom Internetanbieter eine öffentliche IPv4-Adresse erhalten.

Quelle: AVM

Das ist auch logisch, weil nur der Server direkt vom Client angesprochen wird, mittels der öffentlichen IP-Adresse des Servers. Die Antwort sendet der Server einfach an die Absende-IP auf dem Absende-Port. Dass das letztendlich dann potentiell bei DSLite ein CGN-Router ist, spielt keine Rolle, weil dieser sich gemerkt hat, dass der besagte Absende-Port dem Kunden xy zugeordnet ist. Das ist dasselbe Prinzip wie daheim. Der Laptop ruft computerbase.de auf und der Router leitet's weiter. Die Antwort reicht der Router dann an den Laptop durch, weil dieser ja die Verbindung geöffnet hatte.

 

[till69]

Jungs ... IpSec könnt Ihr vergessen hinter der Kindersicherung Und streamen gleich doppelt, da Fritzbox-VPN 8-10MBit/s bedeutet

 

[testzweck12]

Hauptwohnsitz hat 40MBit/s Upload?

Hauptwohnsitz hat ne 100Mbit Leitung um die 10Mbit Upload
Zweitwohnsitz hat ne 50Mbit Leitung um die 5Mbit Upload
Ich werde es mal mit den Fritzboxen testen, dann mit Open VPN und falls alles nichts hilft der GigaCube

 

[Harrdy]

Jungs ... IpSec könnt Ihr vergessen hinter der Kindersicherung Und streamen gleich doppelt, da Fritzbox-VPN 8-10MBit/s bedeutet

Die Fritzbox Kindersicherung ist nichts anderes als Clients/Gruppen ein Listenprofil zuzuordnen. Was in diesem Profil erlaubt oder verboten ist, ist nicht vordefiniert (außer der Vermieter verwendet das Profil Gast, und auch das Profil lässt sich bearbeiten). Es ist also unmöglich aus der Ferne zu sagen ob IPSec geht oder nicht.

Im Zweifel geht aber über Port 443 alles raus. Ansonsten würden auch viele Websites die https erfordern nicht funktionieren

 

[SlaterTh90]

Hauptwohnsitz hat ne 100Mbit Leitung um die 10Mbit Upload
Zweitwohnsitz hat ne 50Mbit Leitung um die 5Mbit Upload
Ich werde es mal mit den Fritzboxen testen, dann mit Open VPN und falls alles nichts hilft der GigaCube

Uhhh da wird der Upload zum Problem. Ich erreiche mit dem Fritzbox-Eigenem VPN um die 12Mbit/s (Fritzbox 7530, bei 39Mbit/s Upload). Wenn sowieso nur 10Mbit/s Upload da sind ist das auch wurscht ob OpenVPN oder IPsec der Fritzbox. 10Mbit up -> 10Mbit down an der Gegenstelle...

Ich würde vielleicht mal über nen "externen" Punkt nachdenken, z.B. bei Hetzner ne Cloud Instanz. Die gibts ab ~2.96€ im Monat mit vermutlich genug Leistung für ein simples VPN und 1Gbit/s Anbindung. Traffic ist auch wohl dicke genug dabei (sind ein paar Terabyte inklusive). Da könnte man dann sozusagen das Heimnetz und das andere Netz zusammen laufen lassen und dann direkt ins Internet leiten.

 

[till69]

Es ist also unmöglich aus der Ferne zu sagen ob IPSec geht oder nicht.

IpSec braucht Weiterleitung der UDP Ports 500/4500 ... ist hier nicht gegeben.

Im Zweifel geht aber über Port 443 alles raus.

Richtig, genauso TCP Ports 993/995


Und mit 10MBit/s Upload wird das ganze so oder so keinen Spaß machen

 

[testzweck12]

Uhhh da wird der Upload zum Problem. Ich erreiche mit dem Fritzbox-Eigenem VPN um die 12Mbit/s (Fritzbox 7530, bei 39Mbit/s Upload). Wenn sowieso nur 10Mbit/s Upload da sind ist das auch wurscht ob OpenVPN oder IPsec der Fritzbox. 10Mbit up -> 10Mbit down an der Gegenstelle...
Ich würde vielleicht mal über nen "externen" Punkt nachdenken, z.B. bei Hetzner ne Cloud Instanz. Die gibts ab ~2.96€ im Monat mit vermutlich genug Leistung für ein simples VPN und 1Gbit/s Anbindung. Traffic ist auch wohl dicke genug dabei (sind ein paar Terabyte inklusive). Da könnte man dann sozusagen das Heimnetz und das andere Netz zusammen laufen lassen und dann direkt ins Internet leiten.

Auch wenn nur 1MBits übertragen werden, reicht das für meine Anwendungen völlig aus
Das mit der externen Lösung schaue ich mir mal an

 

[Harrdy]

500/4500 wird nicht für ausgehende Verbindungen gebraucht.

 

[till69]

Ich habe bei meiner Mutter exakt das gleiche Szenario: Über WLAN (7390) wird DSL des Nachbarn benutzt, ohne Kindersicherung: keine Chance mit IpSec

Netcup hat auch eine VPS Lösung:
https://www.netcup.de/bestellen/produkt.php?produkt=2000

Hatte dort OpenWRT als Cloud-Router sozusagen

Damit sollten dann locker >25MBit/s mit OpenVPN auf einem RasPi3 drin sein.

 

[Harrdy]

Habe ebenfalls ein ähnliches Setup am Laufen. Fritzbox Uplink via WLAN an einem freien DSL Anschluss mit DualStack. Die ausgehende VPN Verbindung funktioniert tadellos.

Einzig Port 500/4500 darf ausgehend nicht blockiert werden durch eine Firewall oder Kindersicherung. Eine Port Weiterleitung von Außen nach Innen ist aber nicht erforderlich. Manchmal macht auch CG-NAT Clientseitig ein Problem.

 

[till69]

@Harrdy Ok, welche Box und Firmware nutzt Du? Dann liegt es bei mir wohl am Kabel-Anschluss des Nachbarn...

 

[Harrdy]

7490 / 07.01

 

[gaym0r]

IpSec braucht Weiterleitung der UDP Ports 500/4500

Das ist falsch. Ein Port-Forwarding ist nicht nötig, zumindest nicht auf dem Router des Vermieters. Probleme gibt es nur wenn die genannten Ports ausgehend blockiert sind.
Probleme mit NAT kann man mittels NAT-T umgehen.

 

[till69]

Werde das ganze mal nochmal testen, da ich gerade noch eine FB rumliegen habe.

Test vom meinem M-Net Anschluss ausgehend zu meinem IPv4-Congstar-Büroanschluss.
Falls es mit DualStack geht, probiere ich auch noch DS-Lite sowie Kindersicherung an/aus.

 

[testzweck12]

kleines Update
FritzBox VPN funktioniert nicht, wird vermutlich geblockt

 

[benjiman]

... Und streamen gleich doppelt, da Fritzbox-VPN 8-10MBit/s bedeutet

Und mit 10MBit/s Upload wird das ganze so oder so keinen Spaß machen

Und wie kommst du auf den Mist? Ich nutze seit nunmehr 2 1/2 Jahren meine Fritzbox zu Hause als VPN und streame munter von Amazon, über Netflix bis zu RTLnow und habe damit Spaß und FullHD ist null problemo

 

[till69]

Ich hab versucht SAT-TV (SD only, HD hat >10MBit/s) zu streamen, nicht ruckelfrei möglich, und wehe auf der Empfangsbox klingelt das Telefon...