Update von 7.29 auf 7.50 - VPN (ipsec) geht nicht mehr... :-(

[Barungar]

Also mit der 7.50 hat AVM ja auch den VPN auf Wireguard umgestellt. Ich denke das daher die Konfiguration der Gegenseite angepasst werden muss.

Das stimmt so nicht. AVM hat dieses Wireguard als zusätzliche Option mit eingebaut. Die FritzBox kann weiterhin IPsec und nun sogar mit einem zeitgemäßen IKE.

Ich z.B. freue mich auf die neue Firmware, weil sie IPsec aktualisiert haben. Wireguard habe ich nicht vor zu nutzen.

 

[Stationary]

Das stimmt so nicht.

Da bist Du jetzt erst der dritte, der ihm das sagt ;-)

 

[fructis]

Den Fall kann ich natürlich nicht nachbauen… LAN-LAN-Kopplungen zwischen der 7590 mit 7.50 und Fritzboxen mit 7.29 (7490, 6590 und 6820LTE) funktionieren aber problemlos. Aber da erfolgt auch kein Zugriff über VNC.

das VPN unter den Fritzboxen funktioniert - das hatte ich ja auch geschrieben.
Aber auch hier kann man problemlos vom Netz A über VPN per VNC auf einen Rechner im Netz B zugreifen.

 

[Barungar]

@Stationary Leute korrigieren kann man nicht oft genug.

 

[fructis]

Das stimmt so nicht. AVM hat dieses Wireguard als zusätzliche Option mit eingebaut. Die FritzBox kann weiterhin IPsec und nun sogar mit einem zeitgemäßen IKE.

Ich z.B. freue mich auf die neue Firmware, weil sie IPsec aktualisiert haben. Wireguard habe ich nicht vor zu nutzen.

...und genau das wird mein Problem sein!
Was hat AVM genau geändert? Geht jetzt IKEv2 nur für die clientseitige Anbindung von Smartphones oder wird jetzt auch IKEv2 für LAN-LAN-Verbindungen genutzt?
Fragen über Fragen, die mir AVM hoffentlich bald beantworten wird...

 

[Stationary]

über VPN auf per VNC auf einen Rechner

Ich hänge nachher mal an die verschiedenen Enden etwas, was über VNC erreichbar ist.

 

[Barungar]

Was hat AVM genau geändert? Geht jetzt IKEv2 nur für die clientseitige Anbindung von Smartphones oder wird jetzt auch IKEv2 für LAN-LAN-Verbindungen genutzt?
Fragen über Fragen, die mir AVM hoffentlich bald beantworten wird...

Da ich leider nicht zum erlauchten Kreis der FritzBox-Nutzer gehöre, die die neue Firmware testen können, kann ich es Dir nicht sagen.
Aus meiner Sicht konsequent wäre natürlich, wenn man IKEv1 aus der FritzBox gestrichen hätte. Und nur noch IKEv2 unterstützt, wie eigentlich auch der Rest der Welt.

Dann hätte der LANCOM in der Konfig noch IKEv1 und die Fritz macht nun ggf. IKEv2... aber das ist spekulativ, da ich es nicht testen kann bei mir.

 

[Stationary]

wird jetzt auch IKEv2 für LAN-LAN-Verbindungen

Da die Verbindungen nicht neu aufgesetzt worden sind, und bei mir die Gegenseiten immer noch auf altem OS-Stand sind, sollte da zumindest Abwärtskompatibilität bestehen.

 

[Stationary]

Aus meiner Sicht konsequent wäre natürlich, wenn man IKEv1 aus der FritzBox gestrichen hätte. Und nur noch IKEv2 unterstützt,

Aber wenn das der Fall wäre, dann hätten doch die bestehenden alten LAN-LAN-Kopplungen zusammenbrechen müssen, oder verstehe ich das falsch?

 

[Barungar]

Theoretisch ja, praktisch könnte AVM bei einem Update unterschiedlich auf konfigurierte IPsec-Verbindungen reagieren.
Ist also auch (für mich) spekulativ, so lange ich keine FritzOS 7.50er Box in den Händen gehalten habe.

 

[fructis]

Aber wenn das der Fall wäre, dann hätten doch die bestehenden alten LAN-LAN-Kopplungen zusammenbrechen müssen, oder verstehe ich das falsch?

Eigentlich schon! Wie bereits erwähnt, steht die VPN-Verbindung, aber leider nach meiner Auffassung sehr, sehr langsam und mit Einschränkungen (VNC, RDP, usw.).
ABER: ich bin hier kein VPN-Spezialist!

 

[blurrrr]

Leider im Protokoll des LANCOM nicht fündig geworden...

https://www.lancom-systems.de/docs/LCOS/Refmanual/DE/topics/c_LANmonitor_Device_ViewSyslog.html
+
https://www.lancom-systems.de/docs/LCOS/Refmanual/DE/topics/aa1219186.html

Und natürlich immer die Frage, ob beide beteiligte Geräte mal neugestartet wurden? Kannst auch einfach mal die vorhandene VPN-Verbindung deaktivieren und eine zweite neue (auf beiden Seiten) anlegen und mal schauen, ob sich das irgendwie anders verhält...

 

[fructis]

https://www.lancom-systems.de/docs/LCOS/Refmanual/DE/topics/c_LANmonitor_Device_ViewSyslog.html
+
https://www.lancom-systems.de/docs/LCOS/Refmanual/DE/topics/aa1219186.html

Und natürlich immer die Frage, ob beide beteiligte Geräte mal neugestartet wurden? Kannst auch einfach mal die vorhandene VPN-Verbindung deaktivieren und eine zweite neue (auf beiden Seiten) anlegen und mal schauen, ob sich das irgendwie anders verhält...

Hi Blurrr, alles bereits gecheckt und keinerlei Auffälligkeiten gesehen.
Und: ja, betroffene Geräte wurden mehrfach neugestartet - jedoch ohne Erfolg.

 

[Barry Ricoh]

Das stimmt so nicht. AVM hat dieses Wireguard als zusätzliche Option mit eingebaut. Die FritzBox kann weiterhin IPsec und nun sogar mit einem zeitgemäßen IKE.

Ich z.B. freue mich auf die neue Firmware, weil sie IPsec aktualisiert haben. Wireguard habe ich nicht vor zu nutzen.

Okay, dann habe ich das falsch verstanden, sorry.
Ich hatte gedacht das das neue Wireguard die „alte“ VPN Technik ersetzt.

Ich bitte meine Verwirrung zu entschuldigen.

 

[blurrrr]

Paketmitschnitt machen und reinschauen - kannste auch erstmal nur bei Deinem RDP-"Ziel" machen, um zu sehen, ob die Anfrage dort überhaupt ankommt. Kommt sie nicht dort an, geht das Paket schon auf dem Hinweg flöten. Kommt sie an und die Antwort geht zurück, wird diese dann vermutlich irgendwo auf dem Rückweg verworfen. Dann wäre wohl ein Mitschnitt bei beiden Routern fällig...

 

[fructis]

Paketmitschnitt machen und reinschauen - kannste auch erstmal nur bei Deinem RDP-"Ziel" machen, um zu sehen, ob die Anfrage dort überhaupt ankommt. Kommt sie nicht dort an, geht das Paket schon auf dem Hinweg flöten. Kommt sie an und die Antwort geht zurück, wird diese dann vermutlich irgendwo auf dem Rückweg verworfen. Dann wäre wohl ein Mitschnitt bei beiden Routern fällig...

Hallo Blurr,
können Sie dafür ein Tool empfehlen?

 

[blurrrr]

In Foren ist eher die "Du"-Form gebräuchlich Wenn es um einen Windows-PC geht (wovon ich aufgrund des RDP-Protokolls mal einfach ausgehe), dann entweder über die Powershell (via netsh), oder mit grafischer Oberfläche z.B. wireshark. Allerdings wäre ein solides Grundwissen bzgl. der jeweiligen Pakete und OSI-Layer nicht verkehrt.... Wer hat denn eigentlich die IPSec-Verbindung zwischen Fritzbox und Lancom eingerichtet - selbst (nach irgendwelchen Anleitungen aus dem Internet), oder war da ggf. eine dritte Partei im Spiel?

 

[fructis]

In Foren ist eher die "Du"-Form gebräuchlich Wenn es um einen Windows-PC geht (wovon ich aufgrund des RDP-Protokolls mal einfach ausgehe), dann entweder über die Powershell (via netsh), oder mit grafischer Oberfläche z.B. wireshark. Allerdings wäre ein solides Grundwissen bzgl. der jeweiligen Pakete und OSI-Layer nicht verkehrt.... Wer hat denn eigentlich die IPSec-Verbindung zwischen Fritzbox und Lancom eingerichtet - selbst (nach irgendwelchen Anleitungen aus dem Internet), oder war da ggf. eine dritte Partei im Spiel?

Das hatte ich seinerzeit selbst gemacht.
Das ist ja bekanntlich kein großer Aufriss bei LANCOM, aber in diesem Fall ist da die LANCOM wohl außen vor und das Problem wird aufgrund des Updates wohl bei AVM liegen.
Für den Homeuserbereich kenne ich mich mit der Fritte ganz gut aus, bin aber bis jetzt nicht weiter ins Detail gegangen wie z.B. Anpassungen über Skripte bzw. versteckte Menüs usw.

 

[Stationary]

O.k. Hier die Testresultate.

Testbedingungen:
Fritzbox 7590 mit FritzOS 7.50, Fritzbox 6820 LTE mit FritzOS 7.29. VPN LAN-LAN-Kopplung über IPSec, seit Jahren unveränderte Einstellungen, also beim Update der 7590 auf 7.50 einfach übernommen.

iPad Air: iPadOS 16.1.1 mit RealVNC Viewer 3.10.0
Pi4B 8GB: Ubuntu 22.04.1 LTS 64 bit und RealVNC Server 6.10.1 ARMv8-A

iPad-wifi-7590-6820-LAN-Pi4B: VNC-Zugriff funktioniert
iPad-wifi-7590-dLAN(via Devolo)-Pi4B: VNC-Zugriff funktioniert
iPad-wifi-6820-7590-dLAN(via Devolo)-Pi4B: VNC-Zugriff funktioniert
iPad-wifi-6820-LAN-Pi4B: VNC-Zugriff funktioniert

Unter allen getesteten Bedingungen konnte ich den Pi4B via VNC Viewer vom iPad aus erreichen und dort auf der Ubuntu-Oberfläche Aktionen ausführen, z. B. Browser öffnen, VNC-Einstellungen öffnen, Systemeinstellungen öffnen, Minesweeper spielen, Pi4 herunterfahren.

LAN-LAN-Kopplung zwischen Fritzboxen mit unterschiedlichem Stand von IPSec funktioniert (ohne große Verzögerungen) und behindert auch den VNC Viewer nicht. Inwieweit das für eine Kopplung mit einem Lancom-Gerät aussagekräftig ist: keine Ahnung…

 

[freshman]

Hallo zusammen,

@fructis hast du mittlerweile eine Antwort vom AVM Support erhalten? Ich habe das selbe Phänomen, der VPN Tunnel zwischen Fritz und Lancom ist zwar vorhanden aber meine RDP Verbindung wird sekündlich unterbrochen. Ich habe daher die Fritz wieder downgraded.

Gruss
Marcus