Lancom Advanced VPN Client mit FritzBox

[IngoDemos]

Hallo,

ich habe bei mir den Advanced Client für mehrere VPN Verbindungen zu Lancom Router. Leider haben wir nun auch Kunden , die eine Fritzbox haben. Ich habe versucht mit dem Lancom Client eine Verbindung aufzubauen, aber erfolglos. Den AVM Client kann ich nicht zusätztlich installieren, das sich dann beide stören.
Hat jemand schon mal eine erfolgreiche Verbindung zu einer FritzBox hinbekommen?
Ich bekomme immer die Meldungen:
31.08.2011 11:11:39 Ike: phase1:name(Fabri FritzBox) - connected
31.08.2011 11:11:39 SUCCESS: IKE phase 1 ready
31.08.2011 11:11:39 IPSec: Phase1 is Ready - IkeIndex=16
31.08.2011 11:11:39 IPSec: Quick Mode is Ready: IkeIndex = 00000010 , VpnSrcPort = 4500
31.08.2011 11:11:39 IPSec: Assigned IP Address: 192.168.32.63
31.08.2011 11:11:39 IkeQuick: XMIT_MSG1_QUICK - Fabri FritzBox
31.08.2011 11:11:39 Ike: NOTIFY : Fabri FritzBox : RECEIVED : INVALID_ID_INFORMATION : 18
31.08.2011 11:11:43 Ike: NOTIFY : Fabri FritzBox : RECEIVED : INVALID_ID_INFORMATION : 18
31.08.2011 11:11:46 Ike: NOTIFY : Fabri FritzBox : RECEIVED : INVALID_ID_INFORMATION : 18
31.08.2011 11:11:48 Ike: NOTIFY : Fabri FritzBox : RECEIVED : INVALID_ID_INFORMATION : 18
31.08.2011 11:11:51 IkeQuick: phase2:name(Fabri FritzBox) - error - retry timeout - max retries
31.08.2011 11:11:51 ERROR - 4037: IKE(phase2):Waiting for message2, retry timeout - max retries - Fabri FritzBox.
31.08.2011 11:11:51 IPSec: Disconnected from Fabri FritzBox on channel 1.


Vielen Dank

Ingo

[backslash]

Hi IngoDemos

ich vermute mal, daß da die Netzbeziehungen nicht übereinstimmen, denn die Phase 1 kommt hoch und es scheitert dann in der Phase 2. Im Default fordert der Advanced Client, daß er allen Traffic (also auch den Internet-Traffic) durch den Tunnel senden will. Trage im Profil unter "Split Tunneling" das lokale Netz der Fritzbox ein - vielleicht hilt das ja schon...

Gruß
Backslash

[IngoDemos]

Hallo Backslash,

das FritzBox Netz hatte ich schon in "VPN-IP-Netze" eingetragen im Client. Ich denke das meinst du mit "Split-Tunneling".

Gruß

Ingo

[ASCtyp]

Hallo zusammen!
Dieser Thread ist zwar schon etwas älter, die Problematik vor der ich stehe, ist jedoch ähnlich.
Wir verwenden für einen Standort einen LANCOM 1821n Wireless, für einen anderen eine von Kabel Deutschland gestellte FritzBox 6360. Auf den Rechnern ist bereits die aktuelle Version des LANCOM Advanced VPN Client (Version 2.30, Build 146) installiert und soll nun auch genutzt werden, um das VPN der FritzBox zu erreichen. Generell bin ich vorgegangen, wie von LANCOM selbst vorgeschlagen.
Leider funktioniert es nicht, auch hier tritt der Fehler INVALID_ID_INFORMATION : 18 auf. FYI: Auf einem anderen Testrechner konnte ich den FritzVPN Client installieren, damit funktioniert es - prinzipiell geht es also.

Das Log des Client sieht wie folgt aus (teils anonymisiert ):

Code: Alles auswählen

10.07.2013 09:17:39  IPSec: Start building connection
10.07.2013 09:17:39  IPSec: DNSREQ: resolving GW=<XYZ.net> over lan:
10.07.2013 09:17:40  IPSec: DNSREQ: resolved ipadr: xyz.xyz.196.004
10.07.2013 09:17:40  Ike: Opening connection in PATHFINDER mode : ASCFritzBox
10.07.2013 09:17:40  Ike: Outgoing connect request AGGRESSIVE mode - gateway=xyz.xyz.196.4 : ASCFritzBox
10.07.2013 09:17:40  Ike: XMIT_MSG1_AGGRESSIVE - ASCFritzBox
10.07.2013 09:17:40  Ike: NOTIFY : ASCFritzBox : RECEIVED : NOTIFY_MSG_S_RESPONDER_LIFETIME : 24576
10.07.2013 09:17:40  Ike: Remote is reducing IKE lifetime to 3600 seconds for connection <ASCFritzBox>
10.07.2013 09:17:40  Ike: RECV_MSG2_AGGRESSIVE - ASCFritzBox
10.07.2013 09:17:40  Ike: IKE phase I: Setting LifeTime to 28800 seconds
10.07.2013 09:17:40  Ike: IkeSa negotiated with the following properties -
10.07.2013 09:17:40  IPSec: Final Tunnel EndPoint is:xyz.xyz.196.004
10.07.2013 09:17:40    Authentication=PRE_SHARED_KEY,Encryption=AES,Hash=MD5,DHGroup=2,KeyLen=128
10.07.2013 09:17:40  Ike: ASCFritzBox ->Support for NAT-T version - 9
10.07.2013 09:17:40  Ike: Turning on NATD mode - ASCFritzBox - 3
10.07.2013 09:17:40  Ike: XMIT_MSG3_AGGRESSIVE - ASCFritzBox
10.07.2013 09:17:40  Ike: IkeSa negotiated with the following properties -
10.07.2013 09:17:40    Authentication=PRE_SHARED_KEY,Encryption=AES,Hash=MD5,DHGroup=2,KeyLen=128
10.07.2013 09:17:40  Ike: Turning on DPD mode - ASCFritzBox
10.07.2013 09:17:40  Ike: phase1:name(ASCFritzBox) - connected
10.07.2013 09:17:40  SUCCESS: IKE phase 1 ready
10.07.2013 09:17:40  IPSec: Phase1 is Ready,AdapterIndex=204,IkeIndex=12,LocTepIpAdr=172.20.10.3,AltRekey=1
10.07.2013 09:17:41  System: Ip Address Change - 204,Apple Mobile Device Ethernet
10.07.2013 09:17:41  Firewall: adapter <Apple Mobile Device Ethernet> is outside the friendly net
10.07.2013 09:17:41  IPSec: LinkStatus Received for AdapterIndex = 204, PhysicalMedia = 0 , LinkStatus = 2
10.07.2013 09:17:42  IkeCfg: XMIT_IKECFG_REQUEST - ASCFritzBox
10.07.2013 09:17:42  IkeCfg: RECV_IKECFG_REPLY - ASCFritzBox
10.07.2013 09:17:42  IkeCfg: name <ASCFritz> - enter state open
10.07.2013 09:17:42  SUCCESS: IkeCfg ready
10.07.2013 09:17:42  IPSec: Quick Mode is Ready: IkeIndex = 0000000c , VpnSrcPort = 10954
10.07.2013 09:17:42  IPSec: Assigned IP Address: 0.0.0.0
10.07.2013 09:17:42  IPSec: Gateway IP Address: 0.0.0.0
10.07.2013 09:17:42  IkeQuick: XMIT_MSG1_QUICK - ASCFritzBox
10.07.2013 09:17:42  Ike: NOTIFY : ASCFritzBox : RECEIVED : INVALID_ID_INFORMATION : 18
10.07.2013 09:17:48  Ike: NOTIFY : ASCFritzBox : RECEIVED : INVALID_ID_INFORMATION : 18
10.07.2013 09:17:51  System: Disconnect cause - Manual Disconnect.
10.07.2013 09:17:51  IPSec: Disconnecting from ASCFritzBox on channel 1.

Ich habe anhand dieses Beitrags versucht, die .cfg der FritzBox zu ändern, diese sieht aktuell so aus:

Code: Alles auswählen

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_user;
                name = "xyz@xyz.com";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 0.0.0.0;
                remoteid {
                        user_fqdn = "xyz@xyz.com";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "xyz";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 10.10.10.0;
                                mask = 255.255.0.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 10.10.178.1;
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = 
                             "permit ip any 10.10.178.1 255.255.255.255";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

ITMueller im angegebenen Thread gab an, IKE Phase 2 entsprechend anzupassen - da gab es eigentlich kaum Änderungsbedarf, obwohl dort ja auch (s.o.) die Verbindung abbricht.

Die lokalen IPs sind übrigens 10.10.x.x:
10.10.10.x erhalten die "normalen" Rechner im LAN
10.10.100.x erhalten die Server im LAN
10.10.178.x sollen nun die VPN Nutzer erhalten

Hat da jemand Rat?

[IngoDemos]

Hallo ASCtyp,

ich habe die Verbindung zwischen Lancom Advanced Client und Fritz!Box nie zum laufen gebracht. Inzwischen habe ich eine direkte Verbindung zwischen den Routern (Lancom + Fritz!Box) aufgebaut. Diese läuft relativ stabil.

Viele Grüße

Ingo

[ASCtyp]

Danke für die Antwort.
Leider geht es nicht nur darum, die beiden Standorte zu verdrahten, sondern sich auch vom HomeOffice / unterwegs per Tethering einzuwählen...

[Jirka]

Hallo ASCtyp,

eine VPN-Verbindung zwischen dem LANCOM Advanced VPN Client und einer FRITZ!Box ist definitiv kein Problem. Ich würde hier konsequent alle IP-Adresssen insbesondere in der Konfiguration(sdatei) der FRITZ!Box überprüfen.
Was mir auf Anhieb auffällt ist, dass die Angabe von remote_virtualip fehlt... Da müsste bei Dir dann wohl die 10.10.178.1 hin.

Viele Grüße,
Jirka

[ASCtyp]

Der Optimismus hilft

Zeit wäre allerdings gerade auch gut, ggf. komme ich am Wochenende nochmal zum Testen, ich melde mich auf jeden Fall zurück. Danke für den Hinweis.