Komme nicht in Fritzbox VPN Netz

[Cyda]

Hallo miteinander

ich besitze neben meinem Internetanschluss (festen IP) eine Fritzbox 6591 Cable. Auf der Fritzbox habe ich einen VPN Zugang eingerichtet, da ich auch von außen über das Internet auf mein Heimnetzwerk zugreifen und meine statische IP nutzen möchte.
Nur scheint es Probleme mit der Verbindung von außen zu geben. Ich habe bisher Fritz! Fernzugang und Shrew Soft VPN ausprobiert. Am liebsten wäre mir die Nutzung von Fritz! Fernzugang.

Wenn ich mein Notebook Zuhause per Tethering mit meinem Smartphone verbinde und darübre eine Verbindung aufbaue, funktioniert das problemlos.

Verbinde ich mich mit dem Notebook über eine andere VPN Software über Fritz! Fernzugang, bekomme ich die Fehlermeldung "Im IKE Modul ist der Fehler 1 aufgetreten". Zudem wird immer wieder die Verbindung der anderen VPN Software getrennt.
Der Fehler kann laut Google mit mehreren Fehlerquellen zusammenhängen (Wlan, geschlossene Ports, Fritz VPN Software).

Auf Arbeit habe ich dasselbe Problem. Gerade im Büro möchte ich auf mein Heimnetzwerk zugreifen. Ich habe auf Arbeit ein gesondertes standalone Notebook mit dem ich machen kann was ich möchte. Das Notebook hängt per Lankabel an einer Hausverteilung, die auf einem Switch oder Router endet. Es handelt sich hierbei um einen ganz gewöhnlichen Internetanschluss. Der Router dürfte von Lancom sein. Zu der Konfiguration des Routers kann ich nichts sagen.

Habt ihr vielleicht eine Idee oder könnt aus Erfahrung sagen, wo der Fehlerteufel steckt?

 

[till69]

Wahrscheinlich keine eigene öffentliche IPv4, sondern das klassische DSLite (Problem)
Wie beginnt denn Deine "statische" IP?

 

[Cyda]

Mein Internetanschluss Zuhause sollte kein DSlite Anschluss ein, da es sich um einen Business Anschluss handelt.
Meine feste IP Zuhause beginnt mit 90.

 

[chrigu]

Über ipv6 ist beim fritzvpn leider Schluss.

 

[till69]

Verbinde ich mich mit dem Notebook über eine andere VPN Software über Fritz! Fernzugang

Und welchen I-Net Anschluss nutzt das Notebook?

 

[Cyda]

Das heißt ich muss auf Arbeit gucken, ob es sich um einen IPv6 Anschluss handelt bzw. ob ich IPv4 erzwingen kann? Ich dachte das wäre egal, da in meinem Fritz VPN Profil, in der Fritz Fernzugangs Software, die dynamische IP hinterlegt ist?

Und über Mobilfunk Tethering komme ich ja problemlos rein.

Das Notebook ist per Wlan mit meinem Router Zuhause verbunden. Da ich so natürlich keine VPN Verbindung zum selben Netz aufbauen kann, wollte die 3. Anbieter VPN Software vorschalten. Die Fehlerursache in diesem Fall kann der VPN Anbieter sein, da es sich um die kostenlose Variante von Hide.me handelt.

 

[Raijin]

Wenn ich mein Notebook Zuhause per Tethering mit meinem Smartphone verbinde und darübre eine Verbindung aufbaue, funktioniert das problemlos.

Verbinde ich mich mit dem Notebook über eine andere VPN Software über Fritz! Fernzugang, bekomme ich die Fehlermeldung "Im IKE Modul ist der Fehler 1 aufgetreten". Zudem wird immer wieder die Verbindung der anderen VPN Software getrennt.

Das ergibt wenig Sinn bzw. das eine hat mit dem anderen nichts zu tun. Teste bitte nicht wild verschiedene Zugänge und VPN-Clients parallel und vermische die Ergebnisse. Es ist deinen Aussagen nicht zu entnehmen mit welchem VPN-Client die funktionierende Verbindung über das Handy zustande kam. Geh bitte systematisch vor und wenn Client X via Handy funktioniert, teste bitte erstmal NUR mit diesem weiter, über andere Zugänge, auf anderen Geräten, what ever.



Die Tatsache, dass eine Verbindung aus dem Firmennetzwerk heraus nicht funktioniert, kann schlicht und ergreifend am Firmen-Router bzw. dessen Firewall liegen. Firmennetzwerke sind nicht selten restriktiv, d.h. es wird im schlimmsten Fall tatsächlich nur http/https erlaubt, also TCP 80+443. Fritz!VPN nutzt hingegen IPsec und das basiert auf UDP 500+4500 sowie IP Protokoll 50.

Ergänzung (27. November 2021)

die dynamische IP

Was denn jetzt für eine dynamische IP? Bitte wirf nicht alle möglichen Begriffe durcheinander, weil du bisher von einer statischen IP sprachst. Jetzt ist nicht klar welche IP nu wo steht und ob diese statisch ist (ändert sich NIE) oder dynamisch (ändert sich zB alle 24h)

Das Notebook ist per Wlan mit meinem Router Zuhause verbunden. Da ich so natürlich keine VPN Verbindung zum selben Netz aufbauen kann, wollte die 3. Anbieter VPN Software vorschalten. Die Fehlerursache in diesem Fall kann der VPN Anbieter sein, da es sich um die kostenlose Variante von Hide.me handelt.

Und was hat jetzt Hide.me damit zu tun? Ich hab mittlerweile keinen blassen Schimmer mehr was du vorhast. Die Fritzbox hat einen eingebauten VPN-Server für den Fernzugriff auf das Heimnetzwerk und kann als VPN-Client soweit ich weiß nur mit anderen Fritzboxxen verbinden (=> Standortverbindung), da das FritzVPN ein veraltetes IPsec-Protokoll verwendet und somit zu den meisten anderen IPsec-VPNs nicht kompatibel ist.

Aber um ehrlich zu sein habe ich den Überblick verloren was du nun überhaupt zu erreichen versuchst, wie du das testest und warum und was und wo und wer. Deine Aussagen lassen leider sehr viel Spielraum für Interpretationen.

 

[Cyda]

...Es ist deinen Aussagen nicht zu entnehmen mit welchem VPN-Client die funktionierende Verbindung über das Handy zustande kam. ....

Funktioniert =
1. Notebook via Smartphone Hotspot im Internet + Fritz Fernzugang Software

Funktioniert nicht =
1. Arbeitsnotebook via Internetanschluss im Büro + Fritz Fernzugang Software
2. Notebook via Internetanschluss Zuhause + Hide.Me VPN + Fritz Fernzugang Software

Der Internetanschluss Zuhause besitzt die feste IP und hier steht die VPN-Fritzbox mit der ich mich verbinden möchte. Hide.Me VPN hatte ich vorgeschaltet da sich die Fernzugangs Software nicht mit dem Fritzbox VPN Server finden kann, der im selben Netz ist.

Die Tatsache, dass eine Verbindung aus dem Firmennetzwerk heraus nicht funktioniert, kann schlicht und ergreifend am Firmen-Router bzw. dessen Firewall liegen. Firmennetzwerke sind nicht selten restriktiv, d.h. es wird im schlimmsten Fall tatsächlich nur http/https erlaubt, also TCP 80+443. Fritz!VPN nutzt hingegen IPsec und das basiert auf UDP 500+4500 sowie IP Protokoll 50.

Sehr guter Einwand, danke. Das werde ich kommende Woche versuchen zu überprüfen.

Was denn jetzt für eine dynamische IP? Bitte wirf nicht alle möglichen Begriffe durcheinander, weil du bisher von einer statischen IP sprachst. Jetzt ist nicht klar welche IP nu wo steht und ob diese statisch ist (ändert sich NIE) oder dynamisch (ändert sich zB alle 24h)

Sorry, da bin ich tatsächlich etwas durcheinander gekommen.
Zuhause (wo die Fritzbox steht auf der der VPN Server läuft) besitze ich einen Internetanschluss mit einer festen IP. Es handelt sich um einen Geschäftskundenanschluss, daher IPv4 ohne DualStack Lite.

Die Fritzbox besitzt sobald die VPN Funktion im Router aktiviert wird eine dyndns Adresse (abcxyz.myfritz.net). Diese Adresse ist auch in der Konfigdatei in der Fritz Fernzugang Software hinterlegt.

Im Büro ist ein stinknormaler DSL Anschluss vorhanden. Dieser besitzt möglicherweise Dual Stack lite.

 

[Raijin]

Ok, das ist deutlich klarer, danke


Ich bin mir nicht 100%ig sicher, aber ich meine, dass ein VPN-Client bei FritzVPN stets eine IP-Adresse aus dem lokalen Subnetz der Fritzbox bekommt. Das hieße, dass man bei Standardeinstellung eine 192.168.178.x bekommt, lasse mich da aber von erfahrenen Fritzboxxianer liebend gern korrigieren. Wenn dem so sein sollte, ergibt sich zwangsläufig ein Problem, sollte der Client bereits lokal in diesem Netzwerk liegen. Heißt: VPN aus einem AVM-Standardnetzwerk in ein AVM-Standardnetzwerk scheitert mit FritzVPN direkt bei der IP-Vergabe für den VPN-Client. Das schließt den Umweg über hide.me im übrigen ein.

Prüfe also das Subnetz in der Firma auf einen Konflikt mit deinem Heimnetz.

Die Fritzbox besitzt sobald die VPN Funktion im Router aktiviert wird eine dyndns Adresse (abcxyz.myfritz.net).

Ok, DDNS wäre gar nicht nötig, wenn du eine statische WAN-IP hast. Die IP ginge in der Konfig auch oder gar ein statischer DNS-Record (zB wenn du eine eigene Domain hast), aber FritzDDNS geht natürlich auch. Dennoch solltest du auch hierbei prüfen ob der DNS in der Firma die Fritzadresse korrekt auflöst (zB mit nslookup fritz.blabla)

 

[Cyda]

Einen Subnetz Konflikt gibt es nicht. Zuhause habe ich das Standard 192.168.178.x Netz und im Büro wird ein 192.168.2.x Netz benutzt.

Ich glaube dein Hinweis mit den geschlossenen Ports wird die Lösung sein. Ich habe mit dem Administrator noch nicht gesprochen, kann mir jedoch schon denken, dass die notwendigen Ports nicht für mich geöffnet werden.

 

[Raijin]

Ungeachtet der vorliegenden Problematik solltest du aber darüber nachdenken, dein Heimnetz in ein anderes Subnetz zu legen. Sobald du von unterwegs in die Situation kommst, von einem Anschluss mit Fritzbox-Standard-Netz dein VPN nutzen zu wollen, wird es fehlschlagen. In Verbindung mit VPN ist es keine gute Idee, das Subnetz aus den Werkseinstellungen zu nutzen, egal welchen Router man verwendet.

RFC1918 sieht für private Netzwerke folgende IP-Bereiche vor:

192.168.0.0 - 192.168.255.255
172.16.0.0 - 172.31.255.255
10.0.0.0 - 10.255.255.255

Man ist gut damit beraten, kreativ zu sein. So ist auch euer Büronetz mit 192.168.2.0/24 nicht besonders klug gewählt und mutmaßlich ebenfalls das Standardnetz des dortigen Routers. Tob dich bei der Auswahl deines privaten Subnetzes aus, nimm zB einen Geburtstag und bau ihn ins Subnetz ein, zB den 23.4. --> 172.23.4.0/24. Die Wahrscheinlichkeit, dass du unterwegs auf dieses Subnetz triffst, ist verschwindend gering, während Fritzbox-Standard-Netze gefühlt in jedem 3. Hotel (in DACH) zu finden sind, zumindest in kleineren familiengeführten Hotels.