VPN-Verbindung nach Providerwechsel funktioniert nicht mehr, warum?

[manhei]

Hallo, ich habe folgendes Problem: Über Jahre hinweg hatte ich eine funktionierende VPN-Verbindung zwischen einer 6820LTE (Klarmobil/Vodafone) und einer 7590ax (1&1DSL). Die VPN-Verbindung über Wireguard funktionierte tadelleos. Jetzt bin ich seit kurzem bei der TELEKOM gelandet mit DSL an der 7590ax. Folge: Die VPN-Verbindung funktioniert nur noch in Richtung 7590ax zur 6820LTE. Die umgekehrte Richtung ist wie tot. Die VPN-Verbindung wird in beiden Boxen als aktiv angezeigt. Ich bin ratlos. Kann jemand Abhilfe schaffen ? Ich wäre sehr dankbar.

 

[Barungar]

Erst mal, weil dass das Häufigste ist klingt es nach IPv4 bzw. IPv6 Issues.
Dafür wäre es gut zu wissen, welche Stacks Deine Anschlüsse haben und hatten.

Anschluss	IP Stack
Mobilfunk (Klarmobil)	vermutlich IPv6 (mit IPv4 NAT)
DSL (Telekom)	normal IPv6 und IPv4
DSL (1&1)	eventuell IPv6 und IPv4

Ich vermute, dass es hier zu einem "Missverständnis" zwischen den Geräten kommt.
Daher müsstest Du bitte aufzeigen, welche Adressen und Adressfamilien zur Verfügung stehen.

 

[manhei]

Die Angaben in deiner Tabelle stimmen so. Klarmobil und 1&1 haben bzw. hatten keine öffentlichen iPv4. TELEKOM hat jetzt eine.
Die 6820LTE läuft unter 192.168.178.1 und die 7590ax läuft unter 192.168.190.1
Was auffällig ist, ist, dass in den Wireguardeinstellungen der 7590ax die Angabe der Gegenstelle fehlt. In der 6820LTE sind beide Angaben vorhanden.

 

[blurrrr]

Soweit ich weiss, sollte die Verbindung schon länger ja auch via IPv6 möglich sein, von daher würde ich mal schauen, ob das funktioniert: fritz.com - Überträgt die FRITZ!Box IPv6-Daten über VPN? Sofern beide Standorte über eine öffentliche IPv6-Adresse verfügen, sollte es eigentlich klappen.

 

[Barungar]

Hast Du die FritzBox gewechselt? Also von 7590ax auf 7590ax?
Das könnte das "Problem" nämlich auch erklären, weil sich dann der MyFritz-Name ändert.
Übrigens kannst Du da auch "schöne Namen" einstellen und musst nicht mit dem kryptischen Hash leben.

 

[manhei]

Nein, die Fritzbox ist die gleiche geblieben. Eben nur die Zugangsdaten geändert von 1&1 nach TELEKOM. Und schon mehrfach die Wireguardeinrichtung von der 7590ax aus vorgenommen. Sehr seltsam.

 

[blurrrr]

Ich würde erstmal die IP-Adressen der beiden MyFritz-Adressen auf Korrektheit überprüfen. Ist das nicht gegeben, kann man sich auch erstmal alles andere sparen. Unter Windows wäre es ein "nslookup <FQDN>", also z.B. "nslookup b******.myfritz.net" (ohne Port dahinter!). Das mal für beide Adressen ausführen und dann mal schauen, was da so bei rum kommt - kannst Du auch gerne hier posten (kannst bei beiden alles entfernen, ausser die ersten beiden Blöcke (IPv4: X.X.y.y + IPv6: X:X:y:y:y:y:y:y - die X werden benötigt).

 

[manhei]

Anbei beide Screenshots. Auffällig: Die 6820LTE liefert nur eine IPv6 aus, keine IPv4

 

[LittleWing]

Hallo,

ich habe die Screenshots entfernt, da sie die vollständigen Adressen enthielten. Damit nun keine Informationen verloren gehen:

b...myfritz.net = Nur IPv6 (öffentlich)
7...myfritz.net = Dual-Stack (beide öffentlich, keine IP aus dem CGNAT-Bereich)

Viele Grüße
LittleWing

 

[manhei]

Ja, vielen Dank, aber was heißt das jetzt? Warum ging das bei 1&1 (7590ax) und jetzt bei der TELEKOM nicht mehr? Kann man das jetzt nicht wieder zum Laufen bringen?

 

[blurrrr]

Ich würde mal folgendes vorschlagen (aber nur, wenn Du auf beide Boxen Zugriff hast, sprich bei einer Box muss Du Remote-Zugriff haben (z.B. via VPN (Clienteinwahl))... Lösch die Site-to-Site-Verbindungen mal bei beiden Fritz!Boxen. Danach beide Fritz!Boxen mal neustarten. Dann nochmal die Site-to-Site-Verbindung neu anlegen.

Abgesehen davon... Es sind keine weiteren Site-to-Site-Verbindungen konfiguriert? Die IP-Ranges der Fritz!Boxen überlappen sich hoffentlich auch nicht? Ja ich weiss, blöde Fragen, wenn es vorher lief, aber Fragen kostet nichts und sicher ist sicher

 

[manhei]

Ja, die Bedingungen sind ja alle so erfüllt. Und die Einrichtung der Wireguard Site-to-Site - Verbindung habe ich schon mehrfach vorgenommen. Ich bin ratlos. Warum ist in der 7590ax der Eintrag für die Gegenseite leer? Das scheint ja unmittelbar im Zusammenhang zu stehen.

 

[blurrrr]

Fakt ist ja erstmal, dass die Verbindung anscheinend steht, ansonsten würde der Verkehr zwischen beiden lokalen Netzwerken nicht funktionieren. Selbst wenn es so aussieht, als würde es nur einseitig funktionieren, "muss" es in beide Richtungen funktionieren, da ansonsten der eingehende Traffic von Netzwerk A zu Netzwerk B nicht zurück könnte.

Nun hast Du in Deinem Screenshot allerdings auch fd::/0 stehen - hast Du das dort eingetragen? Das ist ja eigentlich die IPv6-Definition eigens definierter lokaler Netzwerke, allerdings nicht mit "/0", korrekt wäre hier "/8" (um wirklich "nur" das Netz "fd::" abzudecken). Mit "/0" hättest Du den "gesamten" IPv6-Raum abgedeckt (das wäre per Definition dann eher "::/0"), halt ebenso wie 0.0.0.0/0 bei IPv4). Frage ist nun: War das so von Dir beabsichtigt, oder hast Du das ggf. garnicht selbst eingetragen?

Nebst dem fällt auf, dass deine LTE-Box noch ein sehr altes Fritz!OS verwendet (7.xx - wenn man dem Image-Repo glauben darf). Die AX hingegen sollte schon auf 8.xx laufen. Es gibt es bei Fritz! einen entsprechenden Artikel in Bezug auf IPv6, Wireguard und Fritz!OS: https://fritz.com/apps/knowledge-ba...2_Ubertragt-die-FRITZ-Box-IPv6-Daten-uber-VPN, wo explizit steht:

Um IPv6-Daten über den VPN-Tunnel zu übertragen, müssen Sie WireGuard-Verbindungen, die vor FRITZ!OS 8 eingerichtet wurden, neu einrichten. Den IPv6-Internetzugriff über eine entfernte FRITZ!Box wollen wir mit einem kommenden FRITZ!OS-Update ermöglichen.

Vielleicht gibt es da ja irgendwelche Inkompatibilitäten... Ich würde es daher erstmal nur via IPv4 versuchen.

Falls Du sämtlichen IPv6-Traffic über die andere Box schicken wolltest (bzg. fd::/0), steht dort aber auch:

Der IPv6-Internetzugriff ist jedoch nur möglich, wenn der VPN-Server dem Client globale IPv6-Adressen (Global Unicast) zuweist und den IPv6-Verkehr ins Internet routet. FRITZ!Boxen sowie viele VPN-Server und -Anbieter unterstützen dies nicht. In diesen Fällen ist kein IPv6-Internetzugriff über den VPN-Tunnel möglich.

Alles was von o.g. nicht auf Dich zutrifft -> ignorieren

Ich denke allerdings, dass die Definition von "fd::/0" ein Problem darstellt. Entweder wird das testweise komplett raus gelassen, oder man ändert die 0 zumindestens auf eine 8 ab. Warum? Naja... Du gehst ja auch nicht hin und setzt ein 192.168.0.0/16 als Remote-Netz, sondern nimmst explizit nur das, was bei Dir auch genutzt wird (z.B. 192.168.xxx.0/24).

Lange Rede kurzer Sinn: Der Eintrag mit fd::/0 ist meiner Meinung nach definitiv falsch. Von daher würde ich nochmal alle Verbindungen entfernen, Boxen neustarten und die Verbindung neu anlegen (aber erstmal ohne IPv6). Wenn das funktioniert, kannst Du nochmal alle Verbindungen löschen und wenn Du IPv6 dabei haben willst, nimmst Du dann bitte "fd::/8" (die 8 grenzt es dann auch wirklich nur auf den fd::-Bereich ein). Besser wäre es natürlich, wenn man einfach nur spezifische Subnetze angibt (z.B. fd00:aaaa:bbbb:cccc::/64).

 

[manhei]

Also ich habe da nichts selber händisch eingetragen. Das sind alles Eintragungen nach der Wireguard-Einrichtung von der 7590ax aus initiiert. Das ist auch interessant. Wenn ich die Wireguard-Einrichtung von der 6820LTE aus einleite, dann meldet mir die 7590 beim Versuch der Einspielung der conf-Datei, dass das nicht möglich sei, da schon ein Schlüsselpaar existiert. Alles sehr seltsam. Ich habe mir jetzt das Nachfolgemodell der 6820LTE bestellt, die 6825LTE. Die hat ja das OS 8.25. Ich hoffe, dann wird es etwas. Komisch, dass das alles unter 1&1 funktioniert hat. Die 6825LTE bekomme ich am Montag. Ich gebe dann hier nächste Woche Feedback dazu.

 

[blurrrr]

Wenn ich die Wireguard-Einrichtung von der 6820LTE aus einleite, dann meldet mir die 7590 beim Versuch der Einspielung der conf-Datei, dass das nicht möglich sei, da schon ein Schlüsselpaar existiert.

Hast Du die Boxen denn nach Entfernung der VPN-Verbindung nochmal neugestartet?

 

[manhei]

Ja, immer wieder. Man könnte sicherlich noch ein Zurücksetzen auf Werkseinstellung versuchen. Das wäre bei der 6820LTE nicht so der Aufwand, aber bei der 7590ax, da hängt doch eine ganze Menge dran. Ich kann mir auch nur schwer vorstellen, dass das an der LTE-Box liegen soll. Denn immerhin hat ja alles mit der selben Technik und den selben Einstellungen unter 1&1 funktioniert. Nur eben nach dem Wechsel zur TELEKOM nicht mehr. Trotzdem werde ich es mit der 6825LTE probieren, wenn ich sie nächste Woche erhalten habe. Die alte 6820LTE bekommt ja auch schon seit Ewigkeiten keine Updates mehr. ist bei OS 7.59 stehen geblieben.

 

[Barungar]

Werkseinstellungen muss nicht sein.
Falls Du beide Boxen "erreichen" kannst, wäre eine Option den VPN-WG-Tunnel zu löschen und neu aufzubauen.
Dafür könnte es hilfreich sein, sich vorher einen Client-WG-Zugang auf der "entfernten" Box anzulegen, so dass man nach dem Löschen des Haupt-WG-Tunnels noch dran kommt.