VPN zwischen zwei FB wird nicht aufgebaut..

[Mystic]

Hallo Zusammen,
mein erster Beitrag und gleich ein Problem(chen)...

Ich versuche gerade eine FB Cable 6660 und eine FB 6850 5G über VPN zu verbinden. Die Verbindung soll dauerhaft, so lange die 6850 online ist, bestehen. Bei AVM habe ich dafür schritt für Schritt Anleitungen gefunden, die ich auch so ausgeführt habe:
1. verschiedene IP Adressen für beide Netze erstellt
2. beide boxen bei MyFritz angelegt und jeweils die Adresse der anderen Box hinterlegt
3. Namen und Kennwort vergeben
leider passiert danach einfach nix ..keine Fehlermeldung, kein Versuch die Verbindung aufzubauen ...einfach nichts.
meine Netzwerkkentnisse sind sehr überschaubar, ich habe also keine Idee wo ich überhaupt suchen kann um das Problem einzugrenzen. beide Boxen funktionieren zum Internet und intern einwandfrei.

hat hier jemand eine zündende Idee?

beste Grüße

Mystic

 

[Barungar]

Auch wenn Du Dein Problem beschrieben hast, sind die meisten von uns keine Hellseher.
Es wäre gut, wenn Du z.B. Screenshots der Einstellungen der VPN-Verbindungen auf beiden Seiten liefern könntest.
Die Aussage, dass Du nach Anleitung von AVM vorgegangen bist, ist da zwar nett, aber bringt für die Fehlersuche nicht viel.

Tipp: Bei den Screenshots öffentliche IPs maskieren, ebenso den myFritz-Namen. Die internen Angaben zu den VPNs sollten jedoch erkennbar sein.

 

[Mystic]

klar das mache ich natürlich gerne, kommt am Nachmittag...

 

[Barungar]

Vielleicht vorab noch als "Wissensfrage", die beiden FritzBoxen werden sicherlich an unterschiedlichen Internet-Anschlüssen hängen.

Weißt Du, ob einer oder beide DS-Lite Anschlüsse sind? Das eine sollte ein Kabelanschluß sein, da ist die DS-Lite Chance sehr hoch und das andere ist vermutlich ein Mobilfunk-Anschluß, oder?

Dazu fällt mir spontan noch ein, dass beide Anschlüsse vermutlich kein vollwertiges IPv4 haben werden! Der Kabelanschluss ist sehr wahrscheinlich DS-Lite und Mobilfunk-Anschlüsse haben traditionell kein "ungenattetes" IPv4. Da wird es wohl IPv6 brauchen für das VPN.

Haben beide FritzBoxen schon das Fritz!OS 7.5x? Für eine VPN-Verbindung auf IPv6-Basis braucht es nämlich ein aktuelles Fritz!OS.

Edit: Für die FritzBox 6660 gibt es Fritz!OS 7.50, aber die FritzBox 6850 hat noch kein 7.5x im Angebot. Wenn Du ein VPN willst, dann wirst Du die Labor-Version 7.51 auf der FritzBox 6850 installieren müssen.

 

[Stationary]

Dazu fällt mir spontan noch ein, dass beide Anschlüsse vermutlich kein vollwertiges IPv4 haben werden

Das war mein erster Gedanke, als ich Kabel und 5G las.
Wenn die 5G im Telekom-Netzwerk läuft, besteht zumindest noch eine Chance es hinzubekommen. Stichwort hier ist Auswahl des APN.

 

[Barungar]

Dann hättest Du immer noch ein VPN, das leider nur "einseitig" aufgebaut werden kann. Weil dann nur die FB 6850, eine "echte" IPv4 hätte und somit lediglich die FB 6660 die Verbindung initiieren könnte. Die saubere Lösung - aus meiner Sicht - ist da nur IPv6, mit der Bedingung Fritz!OS 7.5x.

 

[Mystic]

das scheint nun deutlich problematischer zu sein, als die AVM Tutorials zunächst erscheinen lassen.
feste IPv4 Adressen sind bei beiden Boxen nicht vorhanden. Die eine ( Heimnetz ) hängt am Kabelanschluss der Vodafone ( ehemals Kabel BW) die andere im Vodafone LTE/5G netz in Spanien, aber durchsuch auch in anderen Ländern wie Frankreich, Italien oder diverse Afrikanische Netze.
Eine Art einseitiger Tunnel also von der 6850 auf das Heimnetz würde mir eigentlich reichen, ein Zugriff vom Heimnetz auf die 6850 ist nicht notwendig.
Das Thema IPv6 könnte funktionieren, aber auf der 6660 läuft aktuell noch 7.29 ich fürchte, das neuere Versionen seitens des Kabelbetreibers noch nicht freigegeben sind.
die 6660 verwendet einen DS-Lite-Tunnel
hier mal die Einstellungen der 6660, gerne auch noch die der 6850..

 

[Barungar]

der 6660 läuft aktuell noch 7.29

Das ist schlecht, weil somit kann die FB 6660 nur IPv4 für VPN. Für die FB 6850 gibt es offiziell noch nicht einmal eine passende Version, nur das Labor. Also bist Du bei beiden FritzBoxen aktuell auf IPv4 angewiesen.

die 6660 verwendet einen DS-Lite-Tunnel

Damit ist klar, dass Du kein richtiges IPv4 am Kabelanschluss hast. Und ähnlich wird es am Mobilanschluss sein, da ist richtiges IPv4 noch mehr eine Rarität.

Um es also auf den Punkt zu bringen. Du hast zwei Internet-Anschlüsse ohne richtiges IPv4 (Kabel & Mobil) und zwei FritzBoxen, die VPN ausschließlich mit IPv4 beherrschen. Daher wirst Du aktuell in Deiner Konstellation eher kein VPN nutzen können.

Mögliche Lösungen:

• einen der beiden Internet-Anschlüsse (besser aber beide!) mit richtigem IPv4 versorgen
• beide FritzBoxen mit Fritz!OS >= 7.5x versorgen und das VPN per IPv6 aufbauen
• auf beiden Seiten nicht die FritzBox sondern z.B. eine OPNsense oder pfSense für VPN auf Basis von IPv6 nutzen

Die ersten beiden Lösungen gehen mit den FritzBoxen und die dritte Lösung ist ein beispielhafter Weg ohne die FritzBoxen.

 

[Stationary]

Und ähnlich wird es am Mobilanschluss sein, da ist richtiges IPv4 noch mehr eine Rarität.

Ja, mit Vodafone wird das nichts, insbesondere dann auch nicht, wenn der Vodafone-Anschluß nicht über eine deutsche SIM laufen sollte.
Wenn es eine Option wäre, von Vodafone zur (deutschen) Telekom zu wechseln (oder Edeka Smart, das ist auch Telekom), dann könnte man versuchen, über die passende Auswahl des APN eine IPv4 zu bekommen. Das funktioniert dann auch im Ausland, zumindest in Italien habe ich damit nie Probleme.
Auf der 6820 LTE läuft bei mir mittlerweile die 7.51-Labor (als inhaus) recht stabil. Da alle changelogs für die von mir verwendete Version immer die 6850 nennen, würde ich nicht ausschließen, daß die mittlerweile auch gut damit funktioniert. IPv6 bringt aber ja wegen der Kabelbox nichts, und Wireguard auch nicht.

 

[Mystic]

Ich sehe schon, dass das eine längere Umstellung werden könnte. Einen Providerwechsel für die SIM im Ausland würde ich nur ungern machen, da ich mit Vodafone Spanien eine sehr günstige Lösung gefunden habe, die ich nach Bedarf (quasi Prepaid) mit weniger oder mehr Volumen ausstatten kann. Ich brauche oft nur minimale Datenvolumen, wenn ich länger unterwegs bin, auch mal >200GB in der Woche.
Bisher bin ich immer nur mit einzelnen Geräten über eine FIP-Box ins Heimnetz gegangen. Ich habe jetzt parallel dort mal nach einer Lösung für eine Site2Site Verbindung nachgefragt. Evtl ergibt sich ja auch dort eine Option.

 

[Stationary]

So was habe ich mir schon gedacht, im europäischen Ausland sind die LTE Tarife einfach viel vorteilhafter als in Deutschland. Auch in Italien bekommt man das Datenvolumen quasi hinterhergeworfen.
In Deutschland zahlst Du für so einen unlimited Tarif eben auch mal 95-100 Euro für 4 Wochen.

 

[Mystic]

ich bin mittlerweile kurz davor auch für das Deutsche Telefon eine ausländische Karte zu verwenden. Trotz Fair Use Regelung wäre das deutlich günstiger als jede deutsche Karte. Mich hält nur noch die ausländische Nummer ab...

 

[Stationary]

Wenn es Dir wegen der ausländischen Nummer nur um das Telefonieren geht (bei Datennutzung ist das ja egal), dann sieh Dir doch mal Satellite an. Das ist eine “SIM” in einer App, die bekommt eine eigene Mobiltelefonnummer aus dem deutschen Nummernbereich. Telefonie erfolgt damit über den Datentarif, aber eben mit der Satellite-Nummer. Ich nutze das zum Telefonieren an ausländische Nummern, es gibt da jeden Monat 100 Freiminuten.