IPSec VPN mit privater IP Adresse

[master123]

Ich habe folgendes Vorhaben. Ein Ferienhaus im Ausland, mit LTE Internetanschluss und einer Fritzbox 6842 LTE. Dort möchte ich Kameras aufstellen und von zu Hause ab und zu reinschauen. Dafür wollte ich eine VPN Verbindung vom Ferienhaus zu mir nach Hause aufbauen. Zu Hause habe ich einen Asus Router, daher können beide nicht miteinander über VPN verbunden werden da verschiedene VPN Protokolle. So viel habe ich nun mitgekriegt. Dann ist mir eingefallen, dass ich eine Synology habe DS213+. Hab sofort einen VPN Server (IPSec) aufgebaut und die Daten in den Fritzbox Router im Ausland eingegeben. Trotzdem verbindet es nicht.

Der Fritzbox Router im Ausland hat eine private IP. Der LTE Anbieter bindet vielleicht 100 Kunden an ein und die selbe öffentliche IP. Ich weiss jetzt nicht wie ich das PRoblem lösen kann, dass ich auf meinen Router zugreifen kann, der nur eine private IP hat. dynDNS habe ich auch versucht, ohne Erfolg. Es lässt sich nicht auf die Fritzbox von Aussen zugreifen. Was kann ich tun?

 

[Frogman]

Du musst ja auch nicht von außen auf die Fritzbox zugreifen - das wäre auch schwierig herzustellen, weil Du dafür die Unterstützung desjenigen bräuchtest, der die Hoheit über die 100 Teilnehmer und damit über den Router zum WAN hin hat. Der Aufbau des VPN-Tunnels muss an dieser Stelle von der Fritzbox ausgehen - damit sollte es aber klappen, zumindest dann, wenn der LTE-Provider an ich keine Portbeschränkungen in seinem Netz hat. Wie sieht es denn mit einem Log der Fritzbox aus? Erkennt man darin etwas zum versuchten Aufbau des Tunnels? Kommt beim VPN-Server der DS denn etwas an? Portweiterleitung für IPSec-VPN in Deinem Asus-Router an die DS hast Du gemacht?

 

[master123]

Ich habe Ports freigeschaltet. Zum Test habe ich mal eine VPN Verbindung mit dem Android Smartphone aufgebaut, auch IPSec. Es ging problemlos. Beim Android musste ich nur folgende Felder ausfüllen (Name, Typ L2TP/IPSec PSK, Serveradresse, Pre-Shared Key). Bei der Fritzbox gibt's kein Typ L2TP/IPSec zur Auswahl, dafür verlangt er eine IP aus dem entfernten Netzwerk. Was ist das für eine IP? Ich gebe hier immer 10.2.0.0 ein, das was bei der Synology als VPN IP-Anfangsbereich definiert wurde.



Das ist die Fritzbox:

 

[master123]

Ich habe mal mit dem Fritzbox Support Kontakt aufgenommen und die Antwort war so enttäuschend wie unfreundlich:

Im Prinzip haben Sie recht. Wenn Ihre Gegenstelle eine öffentliche
IP-Adresse hat, braucht die FRITZ!Box keine.
An sich sollte es demnach funktionieren, wir können es Ihnen jedoch nicht
zusichern.
Leider können wir Ihnen keine weiteren Lösungsvorschläge anbieten und auch
nicht die cfg-Datei für Ihre FRITZ!Box
erstellen.

Ich habe sie gebeten mir die cfg.datei zu erstellen, wenn ich ihnen die Angaben zu meinem VPN Server liefere. Aber die wollen das nicht. Anscheinend wissen sie welchen Schrott sie hier verkaufen, darum dieser miserable Support von AVM. Überall im Internet kursieren Anleitungen zur Fritzbox wie man die cfg. Datei für erfolgreiches VPN erstellt, aber überall wird von einer FB mit öffentlicher IP ausgegangen. LTE Router haben zu 99% keine öffentliche IP, weshalb eine VPN Funktion in diesem Router absolut keinen Sinn macht, ausser sie würden mir endlich mal eine Anleitung liefern wie man VPN an einem LTE Router aktiviert. Aber das tun sie nicht weil sie wissen dass es nicht funktioniert.

Ich dachte es hätte etwas mit dem IPSec zu tun, aggressive o.ä?

 

[master123]

Leute, bin ich denn der einzige mit dem Vorhaben auf dieser Welt? So viel habe ich herausgefunden: in 99% der Fälle ist eine VPN Verbindung zu einem LTE Router unmöglich. Warum wird diese Funktion dann im Router angeboten? Das ist so sinnlos und irreführend. Hätte ich das beim Kauf gewusst, hätte ich den Schrott nie gekauft.

 

[ottosykora]

Ich denke so lange es nur mit LTE verbunden ist hast du Recht, aber man kann es ja auch anders verwenden und dann macht das VPN wieder Sinn.

Tatsache ist, wenn man Pakete von aussen nicht zuverlässig an den Server leiten kann dann funktioniert es eben nicht. Das ist bekannt und kaum jemand versucht so was oder ärgert sich daran.
Es ist halt so, dass auch Mobiltelefone keine im Internet nutzbare Server Funktion bieten können auch wenn es im eigenen Netz geht.

Die Geräte die via Mobilfunk kommunizieren, müssen halt selber die Verbindungen aufbauen, können eben nicht warten bis sie jemand anruft. Darum müssen die ja auch dauernd diverse Keep alive Meldungen an den BigBrother senden, sonst würde die Verbindung abbrechen.


BTW: als entferntes Netzwerk würde ich die IP des Servers dort angeben und nicht die des Tunnels.

 

[Frogman]

BTW: als entferntes Netzwerk würde ich die IP des Servers dort angeben und nicht die des Tunnels.

Mmh, ich würde dort eher die Netzwerkadresse des entfernten LAN angeben, also bspw. 192.168.xxx.0

 

[ottosykora]

ja das meinte ich auch, also wohin auch immer die Pakete schlussendlich reisen sollen.


Zwischenfrage: kann man die FB so wirklich als VPN Client verwenden? Habe ich bis jetzt so nicht verwendet und auch nicht gewusst dass es so gehen soll.

 

[Schoeneberger]

Ich habe folgendes Vorhaben. Ein Ferienhaus im Ausland, mit LTE Internetanschluss und einer Fritzbox 6842 LTE. Dort möchte ich Kameras aufstellen und von zu Hause ab und zu reinschauen. Dafür wollte ich eine VPN Verbindung vom Ferienhaus zu mir nach Hause aufbauen. Zu Hause habe ich einen Asus Router, daher können beide nicht miteinander über VPN verbunden werden da verschiedene VPN Protokolle. So viel habe ich nun mitgekriegt. Dann ist mir eingefallen, dass ich eine Synology habe DS213+. Hab sofort einen VPN Server (IPSec) aufgebaut und die Daten in den Fritzbox Router im Ausland eingegeben. Trotzdem verbindet es nicht.

Warum eigentlich so kompliziert? Wenn Du Deine Kameras mit dem Paket Surveillance Station aufzeichnest, kommst Du doch ganz einfach mit dem Browser zur Live-Ansicht. Die aufgezeichneten Filme lädt Du aus der File Station herunter.

 

[ottosykora]

Warum eigentlich so kompliziert? Wenn Du Deine Kameras mit dem Paket Surveillance Station aufzeichnest, kommst Du doch ganz einfach mit dem Browser zur Live-Ansicht. Die aufgezeichneten Filme lädt Du aus der File Station herunter.

ja aber nur wenn man eine Verbindung zu dem Ort aufbauen kann. Und da ist es mit LTE eben nicht ganz so einfach. Zu LTE kann man sich nicht so einfach verbinden wie zu einem normalen DSL oder so was. Das Netz mit dem LTE muss selber aktiv die Verbindung aufbauen und aufrechthalten. Und das kann nicht so einfach remote erstellt werden wenn man keine Verbindung hat.

 

[LaPalma]

Hallihallo,
Ich kämpfe gerade mit einem sehr ähnlichen Problem.
Haben Sie schlussendlich eine Lösung gefunden?
Beste Grüße von den Kanaren.

 

[master123]

Leider nicht. Ich habe die Fritzbox verkauft und den Anbieter gewechselt.
Aber vielleicht hat jemand anders eine Lösung...?
Viel Erfolg beim Vorhaben.

 

[Wile E Coyote]

Servus,

eigentlich sollte es doch funktionieren wenn man die jeweiligen FritzBoxen bei myfritz anmeldet. Aber auf die IP Bereiche der Boxen achten, die müssen unterschiedlich sein. Beispiel: IP Bereich FritzBox 1: 192.168.1.1, IP Bereich FritzBox 2: 192.168.2.1
Dann einfach in den FritzBoxen unter Freigaben -> VPN die entsprechenden myfritz Adressen eingeben und das VPN sollte stehen.

Gruss