VPN Uplink zu Fritzbox

mrsunfire

Hallo!

Folgendes Szenario: ich würde gerne einen VPN Uplink zur Fritzbox meiner Eltern herstellen. Vom PC aus klappt das auch alles, nur würde ich es gerne als eigenes Interface anlegen. Sprich wie ein richtiger WAN Uplink sozusagen um hier dann auch die Firewallregeln sauber definieren zu können.
Wenn ich es nun unter dem Reiter IPsec eintrage, gelten ja auch die Regeln die ich bereits für eingehende VPN Verbindungen zur pfSense nutze, was unpraktisch ist.

Ist das so überhaupt möglich?

iqjet

Hier war Google mein Freund:
https://znil.net/index.php/FritzBox_-_Site_to_Site_VPN_zu_pfSense_2.2
https://mlohr.com/fritzbox-lan-2-lan-vpn-with-pfsense/
usw.
https://administrator.de/forum/ipsec-site-pfsense-fritzbox-246103.html

Hier meine Suchbegriff:
https://www.startpage.com/row/search?q=fritzbox+vpn+site+to+site+pfsense&l=deutsch

mrsunfire

Das habe ich auch alles gefunden, aber hier wird davon ausgegangen, dass noch keine anderen VPN Verbindungen auf der pfSense konfiguriert sind. Ebenso wird dort nirgends auf meine Frage nach einem eigenen Gatewayuplink eingegangen.

NOCling

Wo ist das Problem, du legst die Verbindung als IKEv1 neu an.

Leider kann die Fritz nicht so viel Tolles im VPN.
Ich habe so einen Tunnel aktiv für mein Backup NAS und da geht leider nur folgendes:
P1:
Main oder Aggressive Mode (musst du testen welcher stabil läuft, ich hatte mit Main eine Zeit lang Probleme, ist aber der sichere Modus)
AES 256
SHA512
DH2

P2:
ESP
AES256
SHA1

Ist halt ein Home Spielzeug.

mrsunfire

Ja, ich bin auch etwas entsetzt, aber komme nicht drum rum. Ebenfalls dass die Fritzbox kein IPv6 VPN unterstützt ist schwach.
Wenn ich den Tunnel angelegt habe, wie und wo verwalte ich dann die Firewallregeln dazu? Und kann ich mir den Tunnel im Dashboard als Gateway anzeigen lassen?

Problem ist ja: wie es scheint funktioniert nur eine LAN-LAN Kopplung und nicht nur eine klassische eingehende Verbindung zur Fritzbox, zumindest habe ich das nicht hinbekommen. Ich würde gerne nur aufs Fritzboxnetz zugreifen, umgekehrt soll kein Zugriff ermöglicht werden.

Gladius

Eine Fritte und VPN?

Das war schon immer hinsichtlich der Transferleistung eine keine gute Idee. Hat sich da inzwischen was geändert oder gar verbessert?

Wenn pfSense/OpenVPN mit im Boot ist, würde ich bei einem Site-to-Site Szenarium die keine Fritte nutzen, sondern ein separates VPN Gateway integrieren. Die Fritte kann meiner Meinung nach im Gegensatz zum Telekom-Schrott statische Routen verwalten und das o. g. Szenarium läuft.

LG

JeGr

@mrsunfire said in VPN Uplink zu Fritzbox:

Ebenfalls dass die Fritzbox kein IPv6 VPN unterstützt ist schwach.

Natürlich tut sie das. Warum sollte sie nicht? Muss man eben einschalten und konfigurieren - oder der ISP tut das schon. Generell ist die Aussage aber falsch.

wie es scheint funktioniert nur eine LAN-LAN Kopplung

Genau

nicht nur eine klassische eingehende Verbindung zur Fritzbox

Das will man aber auch nicht via pfSense! Die soll doch keine RoadWarrior Verbindung zu einer Fritte aufbauen? Wofür? Roadwarrior heißt, dass NUR DIESER EINE Client verbunden ist. Punkt. Kein Routing etc. Ohne LAN-zu-LAN wissen somit alle Geräte auf der Gegenseite nix von dir und umgekehrt. Damit wäre also nix erreicht, da IPsec nicht wie OpenVPN funktioniert. Ist also völlig richtig, eine LAN-LAN Kopplung zu machen. Auch wenn die FB eine ziemlich miese Gegenstelle ist...

Das war schon immer hinsichtlich der Transferleistung eine keine gute Idee. Hat sich da inzwischen was geändert oder gar verbessert?

Naja inzwischen sollen bessere Codecs gehen, dass es nicht mehr so übel ist wie früher, aber schön ist anders.

Ich stimme aber Gladius zu, ich würde einfach bei der anderen Seite noch eine kleine Box mit pfSense oder OpenVPN hinstellen und nen OVPN Tunnel machen, fertig. Oder wenn pfSense dann gleich alles darüber machen ;) Macht es wesentlich angenehmer. Sagen auch meine jubelnden Kunden bei denen OVPN läuft vs. die, die sich mit Dienstleistern und IPsec rumschlagen müssen seufz :)

mrsunfire

Danke für all die Antworten. Ich habe die LAN-LAN Kopplung genutzt, aber die Geschwindigkeit der Fritzbox ist einfach zu schwach und werde daher dort eine pfSense hinstellen.

Bzgl. IPv6 und VPN sagt AVM selbst: "IPv6-VPN-Verbindungen werden von der FRITZ!Box nicht unterstützt, da darüber keine IPv4-Daten übertragen werden können. Zudem könnten solche IPv6-Verbindungen nur hergestellt werden, wenn beide Teilnehmer über eine IPv6-Internetanbindung verfügen, was z.B. in den meisten Mobilfunknetzen und WLAN-Hotspots nicht der Fall ist."

https://avm.de/service/fritzbox/fritzbox-6360-cable/wissensdatenbank/publication/show/1306_Sind-VPN-Verbindungen-mit-FRITZ-Box-am-DS-Lite-Internetzugang-moglich/

Man hat den Anschluss kulanter weise auf Dualstack geschaltet, wodurch ich die Geschichte dann via IPv4 realisieren konnte.

JeGr

Entschuldige, mein Fehler, ich hatte das VPN im kleinen Zitattext nicht korrekt gelesen und dachte es scheitert schon an der IPv6 Setting der FB :(