Keine VPN Verbindung (IPSec) über fremdes Netzwerk

[Bluesky2000]

Hallo Miteinander

Mein Internetanbieter hat mir einen neuen DSL-Router zugestellt (Sunrise Internet Box) welche ich nun via WAN an meine FritzBox 7590 angeschlossen habe.

Wenn ich nun eine VPN Verbindung (20cxlz2grlxxxxxx.myfritz.net) via Handy (iPhone 12) herstellen will, funktioniert es nur über das WLAN-Netz von der FritzBox.
Sobald ich mich über die mobilen Daten sprich 4G oder über ein anderes WLAN mit dem VPN verbinden will funktioniert es nicht und es kommt folgende Fehlermeldung auf dem iPhone: "Der VPN-Server antwortet nicht"

Muss ich eventuell noch irgendwelche Einstellungen auf der Sunrise Internet Box machen?

Vielen Dank für eure Hilfe.

Grüsse Bluesky2000

 

[the other]

Moinsen,
Ein paar Nachfragen meinerseits:
1. Was für einen Anschluss (Glasfaser, DSL,...) hast du?
2. Warum nutzt du 2 Router? Musst du den ISP Router nutzen?
3. Wenn du auf die dahinter (vom Internet aus gesehen) liegende Fritzbox willst, hast du die nötige Portweiterleitung (IPv4) oder -Freigabe (IPv6) gesetzt in dem Anbieter Router?

 

[Bluesky2000]

Hallo,
Danke für deine Nachfragen.
1. Ich habe einen DSL-Anschluss
2. Ich muss den ISP Router benutzen, da dieser tatsächlich eine schnellere Internetverbindung erreicht als die FritzBox - gemäss ISP (Sunrise). Da ich jedoch die Repeater etc. von Fritz habe möchte ich die FritzBox auch weiterhin benutzen.
3. IPv4 Portweiterleitung habe ich keine gemacht.

Wie und wo müsste ich diese Einstellungen machen?

 

[the other]

Moinsen,
in deiner sunrise Box müsstest du das machen, FALLS diese sowas kann.
Außerdem müsste dann der DynDNS Eintrag (aktuell via xxxx.myfritz.net) geändert werden und auf die sunrise Box zeigen.

Sorry, aber ob die sunrise Box wirklich schneller ist....habe da so meine Zweifel (reines Bauchgefühl).
Schau einfach mal in die Anleitung zu deinem "Sonnenaufgangs"router und dort sollte etwas zu Portweiterleitungen zu finden sein. Den myfritz-Dienst kannst du dann aber eben so nicht nutzen, da musst du dann einen anderen Anbieter suchen (gibt es kostenlos und viele von, zB ddnss.de...

 

[Bluesky2000]

Danke für deine Antwort.
Ich war auch skeptisch betreffend der unterschiedlichen Geschwindigkeiten der beiden Router.
Der Grund weshalb mir der ISP einen neuen Router gschickt hatte, war dass ich letzte Woche beim Support die schwache Internetverbinung (40 Mbit/s) mit der Fritzbox gemeldet habe. Als Lösung haben die mir dann eine neue „komische“ Box gesendet und die bringt nun tatsächlich rund 500 Mbit/s aus der gleichen DSL Dose…
Über WAN habe ich nun die FritzBox als Hauptrouter mit den besagten 500 Mbit/s in Betrieb.

 

[the other]

Moinsen,
na, dann nehme ich alles zurück und behaupte das Gegenteil.
Das Handbuch gibt dazu an, dass eine Portweiterleitung einzurichten ist...
Handbuch hier: https://www.sunrise.ch/de/support/internet/sunrise-internet-box/installation
Da dann einmal zum Thema Portweiterleitung / -freigabe auf Seite 54.
Dazu das Einrichten eines DynDNS Dienstes auf Seite 35 (zumindest bei der von mir gefundenen Anleitung im link).
Damit sollte es dann klappen.
Du benötigst die Ports, die die Fritzbox für IPsec nutzt (eigentlich immer UDP 500 und 4500). Diese in der sunrise Box eintragen, dann werden Anfragen an den VPN Server der Fritzbox vom sunrise Router weitergeleitet auf die Fritzbox.

 

[blurrrr]

IPsec nutzt (eigentlich immer UDP 500 und 4500)

ESP nicht vergessen

EDIT: Kann sich auch hinter dem Haken "vpn-passthrough" verstecken

 

[the other]

Moinsen,
hier nochmal die komplette Übersicht von AVM:
https://avm.de/service/wissensdaten...126_Firewall-fur-FRITZ-Fernzugang-einrichten/

 

[Bluesky2000]

Hallo Miteinander
Ich habe die entsprechenden Einstellungen vorgenommen aber es funktioniert von aussen immer noch nicht.
Anbei meine Einstellungen.
Stimmt eventuell etwas mit IP Adresen nicht?

 

[the other]

Moinsen,
bevor du dich um irgendwas bzgl VPN kümmerst, muss erst der DynDNS Zugang zum sunrise Router funktionieren. Dieser sollte dich beim Aufruf dann auf die log in Seite des Routers führen.
Erst wenn dieser auch wirklich unter der gewählten Adresse erreichbar ist von extern (!), stehen die VPN Einrichtungen an.

Was mir im 2. screenshot noch aufgefallen ist: wenn du eh (zukünftig) per VPN in dein Heimnetzwerk (hinter der Fritzbox) willst, warum dann Portweiterleitungen für die DSM Oberfläche? Bedenke: je weniger dieser Portweiterleitungen du einrichtest, desto dichter (geschlossener und damit sicherer) ist dein Heimnetzwerk nach außen. Wenn du eh alles aufmachen willst, dann ist VPN überflüssig.

 

[Bluesky2000]

hm komisch...der link führt mich auf das login von meinem Synology NAS

 

[blurrrr]

Wenn ich nun eine VPN Verbindung (20cxlz2grlxxxxxx.myfritz.net) via Handy (iPhone 12) herstellen will, funktioniert es nur über das WLAN-Netz von der FritzBox.

Schau Dir mal bitte in der Windows-Eingabeaufforderung das Ergebnis folgenden Befehls an:

nslookup <Deine MyFritz-Adresse> 8.8.8.8

Da wird vermutlich die private WAN-IP der Fritzbox auftauchen, es sollte dort aber Deine öffentliche IPv4-WAN-IP stehen. Von daher sollte als VPN-Endpunkt Deine No-IP-Adresse angegeben werden und keine myFritz-Adresse.

 

[the other]

Moinsen,
wo genau hängt dein NAS? Oder anders, zeig doch einfach mal, wie dein Netz aufgebaut ist...
INTERNET---------sunrise router----------fritzbox-----------nas?
oder
INTERNET--------sunrise------NAS und außerdem noch Fritzbox----------anderes?
Die Fritzbox ist als Router eingerichtet oder als IP Client?

 

[Bluesky2000]

Mein NAS hängt an der Fritzbox mittels LAN Kabel.
INTERNET---------sunrise router----------fritzbox-----------nas

 

[Bluesky2000]

Fritz!Box ist als Router eingerichtet

 

[the other]

Moinsen,
und in der Fritzbox ist auch bereits eine Weiterleitung vorhanden aufs NAS (via https 5001)??
Nimm die doch erst nochmal raus, damit du nicht am NAS landest.

 

[Bluesky2000]

Habe nun alle Ports auf der Sunrise Box und Fritz!Box deaktiviert.
Mit meiner Dyndns lande ich jedoch aktuell auf keiner Seite...Browser geht nicht weiter. Welche ip müsste ich bei no-ip.com für meine dyndns eintragen?

 

[the other]

Moinsen,
tja, wie hast du es denn bei no-ip eingerichtet: in der Anleitung (https://www.noip.com/support/knowledgebase/free-dynamic-dns-getting-started-guide-ip-version) steht ja auch, dass das IP Feld eigentlich automagisch befüllt wird mit deiner öffentlichen dynamischen IPv4 > kontrolliere ob das so ist.

Außerdem gibt die Anleitung einen weiteren link her, in dem erklärt wird, wie es eingerichtet wird: https://www.noip.com/support/knowledgebase/how-to-configure-ddns-in-router
Auch alles so gemacht?
Danach mal den Router neu gestartet?

 

[Bluesky2000]

Ich bringe keine Verbindung via no-ip mit der Startseite vom Sunrise Router zustande. Kann es sein dass, die IP vom Anbieter nicht öffentlich ist?

 

[the other]

Moinsen,
das hatte ich nun eigentlich vorausgesetzt, quasi der erste Schritt.
Was für einen DSL Vertrag hast du denn, was bietet dir dein ISP an: nur öffentliche IPv4? Dualstack mit öffentlicher v4 und v6? Dualstack lite / DS Lite / CGNAT?...hier bekommst du eine öffentliche IPv6 und eine IPv4 aus dem Bereich des ISPs, diese ist aber NICHT öffentlich erreichbar (weil hinter dem CGNAT des ISP).

Solltest du in den Vertragsdaten herausfinden können...