Zwei IPSec VPN Server hinter einer IP

Draco Gast #7259522
Lesenswert?
• ▲
▼ 
Ich habe da ein eigenwillige Problem:

Ich habe über eine Fritzbox eine IPSec VPN Verbindung zu meinem internen 
LAN. Nun möchte ich jedoch für jemand Außenstehendes eine IPSec 
Verbindung zu einem Subnetz in meinem LAN einrichten.

Beide VPN Verbindungen funktionieren tadellos. Die mit der Fritzbox 
sowieso. Die VPN Verbindung zu dem Subnetz ist unter Debian 11 
realisiert.

Nun jedoch mein Problem: Um die VPN Verbindung über den Debian Server 
sicherzustellen, müsste ich ja die Ports von der Fritzbox an den Server 
weiterleiten. Da würde ja die VPN Verbindung mit der Fritzbox 
zusammenbrechen da diese ja sicherlich die selben Ports nutzt.

Die einzigste Möglichkeit (andere Ports) wären dann PPTP (Was ich 
wirklich vermeiden will) oder eben OpenVPN, was ich ebenfalls vermeiden 
möchte - da diese einen separaten Clienten benötigt.

Hat jemand eine Idee?
Antwort Zitieren Bearbeiten Thread verschieben Thread sperren Anmeldepflicht aktivieren Anpinnen Thread löschen Thread mit anderem zusammenführen Beitrag melden
Hannes J. #7259631
Lesenswert?
• ▲
▼ 
Die FritzBox kann mehrere IPSec VPNs gleichzeitig bedienen:

https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7590/117_Maximale-Anzahl-gleichzeitiger-VPN-Verbindungen-zur-FRITZ-Box/

Für Zugriff auf ein Subnet hinter einem weiteren Router muss man an 
einer Konfigurations-Datei rumeditieren:

https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7590/229_Mit-FRITZ-Fernzugang-auf-mehrere-IP-Netzwerke-hinter-der-FRITZ-Box-zugreifen/

Alternativ: Statt beide VPNs über die FB abzuwickeln beide über den 
Debian-Rechner abwickeln:

https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7590/169_VPN-Losung-eines-anderen-Herstellers-im-Heimnetz-einsetzen/
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Draco Gast #7259985
Lesenswert?
• ▲
▼ 
Ich werde wohl die Wireguard Alternative in Betracht ziehen.

Ich wollte nun eigentlich beide VPN Verbindungen über den Server laufen 
lassen, dies geht aber hinter einer Fritzbox gar nicht. Da die Fritzbox 
die Ports 500 und 4500 garnicht zu lässt zum forwarden. Selbst dann 
nicht, wenn IPSec VPN ausgeschaltet ist. Vielleicht ist Fritzbox doch 
nicht so das ware vom Ei. 🤷‍♂️
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Beitrag #7260010 wurde von einem Moderator gelöscht.
Beitrag #7260013 wurde von einem Moderator gelöscht.
Empfänger Gast #7260030
Lesenswert?
• ▲
▼ 
Draco schrieb:
> Ich werde wohl die Wireguard Alternative in Betracht ziehen.
>
> Ich wollte nun eigentlich beide VPN Verbindungen über den Server laufen
> lassen, dies geht aber hinter einer Fritzbox gar nicht. Da die Fritzbox
> die Ports 500 und 4500 garnicht zu lässt zum forwarden. Selbst dann
> nicht, wenn IPSec VPN ausgeschaltet ist. Vielleicht ist Fritzbox doch
> nicht so das ware vom Ei. 🤷‍♂️

IPSEC ist speziell: 
http://www.internet-computer-security.com/VPN-Guide/NAT-T.html
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Guest Gast #7260250
Lesenswert?
• ▲
▼ 
Draco schrieb:
> Vielleicht ist Fritzbox doch
> nicht so das ware vom Ei. 🤷‍♂️

Da hast du vollkommen recht, die Funktionen die sie als Firewall bietet 
sind doch sehr eingeschränkt. Alles schön und gut für den geneigten 
Anwender, der sie einstecken will und sonst nichts, sobald es aber mal 
um etwas mehr geht, geht ihr sehr schnell die Puste aus. Zum Glück lässt 
sie sich mittlerweile brauchbar als Modem nutzen, dann kann man eine 
brauchbare Firewall nachschalten.
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Draco Gast #7260665
Lesenswert?
• ▲
▼ 
Rüdiger B. schrieb:
> Hannes J. schrieb:
>
>> Alternativ: Statt beide VPNs über die FB abzuwickeln beide über den
>> Debian-Rechner abwickeln:
>>
> 
https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7590/169_VPN-Losung-eines-anderen-Herstellers-im-Heimnetz-einsetzen/
>
> Schon probiert?

Ja brauche ich garnicht, da hinter der Fritzbox nur EINE VPN Verbindung 
zu einem Server hergestellt werden kann.
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Beitrag #7260761 wurde von einem Moderator gelöscht.
(prx) A. K. #7260784
Lesenswert?
• ▲
▼ 
Hast du eine echte IPv4 Adresse, egal ob statisch oder wechselnd, oder 
nur Dual Stack lite? Letzteres erlaubt überhaupt kein eingehendes IPsec 
über IPv4.

Du kannst nicht gleichzeitig auf der FB und intern die Ports nach aussen 
öffnen, sondern nur entweder oder.

Aber weshalb es nicht möglich sein sollte, einen einzelnen internen 
Router für mehrere IPsecs zu verschiedenen Peers zu verwenden, leuchtet 
mir gerade nicht ein.
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Andre Gast #7260810
Lesenswert?
• ▲
▼ 
Empfänger schrieb:
> Vielleicht ist Fritzbox doch nicht so das ware vom Ei.

Die Fritzbox ist für simple Endanwender toll. Aber du merkst wie schnell 
man an den Grenzen der eingebauten Möglichkeiten ist, wenn es etwas 
komplizierter werden soll.
Wenn du da noch deutlich mehr machen willst, kann ich dir Software 
Router wie OpenWRT, pfSense, IPFire, anstelle der Fritzbox, empfehlen!
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Beitrag #7288638 wurde von einem Moderator gelöscht.
Gerd E. #7288647
Lesenswert?
• ▲
▼ 
Draco schrieb:
> Ich wollte nun eigentlich beide VPN Verbindungen über den Server laufen
> lassen, dies geht aber hinter einer Fritzbox gar nicht. Da die Fritzbox
> die Ports 500 und 4500 garnicht zu lässt zum forwarden. Selbst dann
> nicht, wenn IPSec VPN ausgeschaltet ist.

Doch, das geht wenn Du das IPSec der Fritzbox ausschaltest. Bei manchen 
Fritzbox-Modellen musst Du allerdings nach dem Ausschalten des IPSec 
erst einen Reboot machen bevor das Portforwarding für UDP 500 und 4500 
funktioniert.
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Beitrag #7288655 wurde von einem Moderator gelöscht.
Thread beobachten

Antwort schreiben

Bitte melde dich an, um einen Beitrag zu schreiben.

Bestehender Account

oder

Mit Google-Account einloggen

Noch kein Account?

Die Registrierung ist kostenlos und dauert nur eine Minute.

Jetzt registrieren