selbst 1-Click-VPN tut nicht.....ich versteh es nicht

[firefox_i]

Hi,
folgende Randbedingungen:

- neuer 1800EF mit aktuellster FW. 10.80.RU9 (ersetzt einen 1783VA-4G)
- Advanced VPN Client 6.22 auf WIN11

- zwischen dem 1800EF und einem 1783VAW ist ein SIte2Site Tunnel eingerichtet, der auch problemlos funktioniert
- vom Windows 11 Rechner aus kann ich mich über den AVC problemlos mit dem 1783VAW per VPN verbinden

Ich habe vom alten Router die Settings 1:1 übernommen.
Dennoch bekomme ich es nicht hin, den Rechner per VPN mit dem 1800EF zu verbinden.

Selbst der Trivialansatz eines 1-Click-VPNs und import der ini in den AVC bringt nix....selbst das funktioniert nicht.

Der 1800EF scheint auf Port 500 nicht zu reagieren und auch auf 443 nicht, obwohl IPSEC over HTTPS aktiviert ist.

Hier das Log aus dem AVC:

Code: Alles auswählen

26.02.2025 20:14:02 - System: Setting NCP virtual adapter linkstatus=0,laststate=0.
26.02.2025 20:14:02 - ncpadapter: reset IP adapter properties
26.02.2025 20:14:02 - ncpadapter: reset ipv4 properties,ip4adr=0.0.0.0
26.02.2025 20:14:02 - ncpadapter: reset_ip4_properties, manual=0
26.02.2025 20:14:02 - New Profile configuration applied: '1ClickVPN'
26.02.2025 20:14:04 - MONITOR: Connect click -> Start VPN connection...
26.02.2025 20:14:04 - System: DNSHandling=0
26.02.2025 20:14:04 - IPSec: Start building connection
26.02.2025 20:14:04 - IpsDial: Created the following list of provider links:
26.02.2025 20:14:04 - Found default route,NextHop=192.168.244.54,Metric=35,Ifindex=3
26.02.2025 20:14:04 - IpsDial: connection time interface choice,LocIpa=192.168.244.178,AdapterIndex=203,OsIndex=3
26.02.2025 20:14:04 - *********** retrieve_tep() ******************
26.02.2025 20:14:04 - Found default route,NextHop=192.168.244.54,Metric=35,Ifindex=3
26.02.2025 20:14:04 - IpsDial: connection time interface choice,LocIpa=192.168.244.178,AdapterIndex=203,OsIndex=3
26.02.2025 20:14:04 - IkeV2: ConRef=21, IkeSa2Created - totnumikesa's=1
26.02.2025 20:14:04 - Ikev2: Opening connection in PATHFINDER mode : 1ClickVPN
26.02.2025 20:14:04 - Ikev2: Outgoing connect request IKEv2 mode - gateway=ROUTER_IPADDY : 1ClickVPN
26.02.2025 20:14:04 - Ikev2: ConRef=21, XMIT_MSG1_INIT, name=1ClickVPN, vpngw=ROUTER_IPADDY:500
26.02.2025 20:14:04 - INFO - MONITOR: Communication Medium changed  -  Automatic => Wi-Fi
26.02.2025 20:14:07 - Isakmp: re-sending packet to=ROUTER_IPADDY:500,size=724
26.02.2025 20:14:11 - IKEv2(INIT): Switching to TCP ENCAPSULATION in PATHFINDER_1 : 1ClickVPN
26.02.2025 20:14:11 - Ike: Opening PATHFINDER1 connection: 1ClickVPN
26.02.2025 20:14:11 - Ikev2: Pathfinder-Outgoing connect request : 1ClickVPN
26.02.2025 20:14:11 - Ikev2: ConRef=21, XMIT_MSG1_INIT, name=1ClickVPN, vpngw=ROUTER_IPADDY:443
26.02.2025 20:14:11 - TcpConnectionBase: connect_request, locadr=0.0.0.0:9500, remadr=ROUTER_IPADDY:443
26.02.2025 20:14:15 - TcpConnectionBase: connect_request, locadr=0.0.0.0:9500, remadr=ROUTER_IPADDY:443
26.02.2025 20:14:15 - Isakmp: re-sending packet to=ROUTER_IPADDY:443,size=672
26.02.2025 20:14:19 - Ikev2(INIT): Switching to TCP ENCAPSULATION in PATHFINDER_2 : 1ClickVPN
26.02.2025 20:14:19 - Ike: Opening PATHFINDER2 connection: 1ClickVPN
26.02.2025 20:14:19 - Ikev2: Pathfinder-Outgoing connect request : 1ClickVPN
26.02.2025 20:14:19 - Ikev2: ConRef=21, XMIT_MSG1_INIT, name=1ClickVPN, vpngw=ROUTER_IPADDY:443
26.02.2025 20:14:20 - Sockif: PF2 - PathFinder: TCP connection disconnected
26.02.2025 20:14:24 - Isakmp: re-sending packet to=ROUTER_IPADDY:443,size=672
26.02.2025 20:14:25 - Sockif: PF2 - PathFinder: TCP connection disconnected
26.02.2025 20:14:28 - ERROR - 4021: IKEv2(INIT) - Could not contact Gateway. Please check your internet connection.
26.02.2025 20:14:28 - Ikev2: phase1:name(1ClickVPN) - ConRef=21,ERROR - retry timeout - max retries
26.02.2025 20:14:28 - IPSec: AUTOMEDIA DETECT - Tried all available media types
26.02.2025 20:14:28 - IPSec: Disconnected from 1ClickVPN on channel 1.
26.02.2025 20:14:28 - INFO - MONITOR: Communication Medium changed  -  Wi-Fi => Automatic
26.02.2025 20:14:28 - INFO - MONITOR: Disconnected
26.02.2025 20:14:28 - INFO - MONITOR: Media=Wi-Fi, Tx=0 Byte, Rx=0 Byte
26.02.2025 20:14:30 - IkeV2: ConRef=21, IkeSa2Deleted - totnumikesa's=0
26.02.2025 20:14:44 - MONITOR: Connect click -> Start VPN connection...
26.02.2025 20:14:45 - INFO - MONITOR: Communication Medium changed  -  Automatic => Wi-Fi
26.02.2025 20:14:45 - System: DNSHandling=0
26.02.2025 20:14:45 - IPSec: Start building connection
26.02.2025 20:14:45 - IpsDial: Created the following list of provider links:
26.02.2025 20:14:45 - Found default route,NextHop=192.168.244.54,Metric=35,Ifindex=3
26.02.2025 20:14:45 - IpsDial: connection time interface choice,LocIpa=192.168.244.178,AdapterIndex=203,OsIndex=3
26.02.2025 20:14:45 - *********** retrieve_tep() ******************
26.02.2025 20:14:45 - Found default route,NextHop=192.168.244.54,Metric=35,Ifindex=3
26.02.2025 20:14:45 - IpsDial: connection time interface choice,LocIpa=192.168.244.178,AdapterIndex=203,OsIndex=3
26.02.2025 20:14:45 - IkeV2: ConRef=22, IkeSa2Created - totnumikesa's=1
26.02.2025 20:14:45 - Ikev2: Opening connection in PATHFINDER mode : 1ClickVPN
26.02.2025 20:14:45 - Ikev2: Outgoing connect request IKEv2 mode - gateway=ROUTER_IPADDY : 1ClickVPN
26.02.2025 20:14:45 - Ikev2: ConRef=22, XMIT_MSG1_INIT, name=1ClickVPN, vpngw=ROUTER_IPADDY:500
26.02.2025 20:14:48 - Isakmp: re-sending packet to=ROUTER_IPADDY:500,size=724
26.02.2025 20:14:52 - IKEv2(INIT): Switching to TCP ENCAPSULATION in PATHFINDER_1 : 1ClickVPN
26.02.2025 20:14:52 - Ike: Opening PATHFINDER1 connection: 1ClickVPN
26.02.2025 20:14:52 - Ikev2: Pathfinder-Outgoing connect request : 1ClickVPN
26.02.2025 20:14:52 - Ikev2: ConRef=22, XMIT_MSG1_INIT, name=1ClickVPN, vpngw=ROUTER_IPADDY:443
26.02.2025 20:14:52 - TcpConnectionBase: connect_request, locadr=0.0.0.0:9500, remadr=ROUTER_IPADDY:443
26.02.2025 20:14:56 - TcpConnectionBase: connect_request, locadr=0.0.0.0:9500, remadr=ROUTER_IPADDY:443
26.02.2025 20:14:56 - Isakmp: re-sending packet to=ROUTER_IPADDY:443,size=672
26.02.2025 20:15:00 - Ikev2(INIT): Switching to TCP ENCAPSULATION in PATHFINDER_2 : 1ClickVPN
26.02.2025 20:15:00 - Ike: Opening PATHFINDER2 connection: 1ClickVPN
26.02.2025 20:15:00 - Ikev2: Pathfinder-Outgoing connect request : 1ClickVPN
26.02.2025 20:15:00 - Ikev2: ConRef=22, XMIT_MSG1_INIT, name=1ClickVPN, vpngw=ROUTER_IPADDY:443
26.02.2025 20:15:01 - Sockif: PF2 - PathFinder: TCP connection disconnected
26.02.2025 20:15:04 - Isakmp: re-sending packet to=ROUTER_IPADDY:443,size=672
26.02.2025 20:15:05 - Sockif: PF2 - PathFinder: TCP connection disconnected
26.02.2025 20:15:08 - INFO - MONITOR: Communication Medium changed  -  Wi-Fi => Automatic
26.02.2025 20:15:08 - INFO - MONITOR: Disconnected
26.02.2025 20:15:08 - INFO - MONITOR: Media=Wi-Fi, Tx=0 Byte, Rx=0 Byte
26.02.2025 20:15:08 - ERROR - 4021: IKEv2(INIT) - Could not contact Gateway. Please check your internet connection.
26.02.2025 20:15:08 - Ikev2: phase1:name(1ClickVPN) - ConRef=22,ERROR - retry timeout - max retries
26.02.2025 20:15:08 - IPSec: AUTOMEDIA DETECT - Tried all available media types
26.02.2025 20:15:08 - IPSec: Disconnected from 1ClickVPN on channel 1.
26.02.2025 20:15:10 - IkeV2: ConRef=22, IkeSa2Deleted - totnumikesa's=0

Hat mir jemand nen Tipp?

Wie gesagt: Site2Site Tunnel steht und ich kann mich auf einen anderen Router problemlos per VPN einklinken....
Bin etwas am verzweifeln.

S.

[Dr.Einstein]

Die Site-To-Site Verbindung braucht keine Default Gegenstelle / Verschlüsselung. Kann es sein, dass bei Konfigübernahme es wegen veränderten Verschlüsselungsalgorithmen der Import an dieser Stelle nicht geklappt hat? Du könntest es vergleichen indem du zB mittels LanConfig eine Offline Konfig öffnest und die Default Werte unter IKEv2 vergleichst.

Kommt denn was am Router an? Du könntest einen VPN-Statustrace erstellen und gucken, ob der Verbindungsaufbauversuch beim Lancom ankommt, und wenn ja, ob er abgelehnt wird. Komischerweise geht auch HTTPs Tunneling nicht durch.

Wie hast du die Konfig übernommen? Gleiche Firmwarestände? Skript/LCF? Mischung?

[firefox_i]

Hi Dr.,
danke für die schnelle Reaktion.

Wie hast du die Konfig übernommen? Gleiche Firmwarestände? Skript/LCF? Mischung?

Also die Übertragung 1783VA-4G auf 1800EF wurde "manuell" gemacht.
Sprich beide in LANconfig offen und alle Dialoge durchgegangen.

OfflineConfig meinst Du einen virtuellen "1800EF" anlegen und dann schauen was die Defaultwerte sind?

Ich bin gerade nicht am Gerät und kann deshalb die Configs nicht vergleichen, kann ich aber heut nachmittag nachreichen.

Wie oben erwähnt: selbst ein 1-Click-VPN kommt nicht ins Rennen....


VPN Statustrace habe ich noch nie gemacht.
Hast mir da vielleicht ne kleine Hilferstellung.

[Dr.Einstein]

LanConfig > Rechtsklick aufs Gerät > Traceausgabe erstellen. Da dann VPN-Status anhaken und oben auf Play drücken. Einwahl probieren über Mobilfunk. Oben Stoppbutton drücken.

Wenn du manuell übertragen hast, tippe ich auf Netzwerkbeziehungen unter VPN. Was ist, wenn du nicht den 1-Click benutzt sondern den gleichen VPN Client Assi ohne OneCLick, wo du mehr Daten eingeben musst wie IPs.

[firefox_i]

Was ist, wenn du nicht den 1-Click benutzt sondern den gleichen VPN Client Assi ohne OneCLick, wo du mehr Daten eingeben musst wie IPs.

Egal ob ich exakt gleich konfiguriere wie auf dem alten Router mit Zertifikaten oder nur einen PSK, der Effekt ist immer derselbe. Er versucht zunächst Port 500, dann 443 und bricht dann ab mit der Info, dass das Gateway sich nicht meldet.

Ich versteh wie gesagt nicht, dass da so gar keine Verbindung zustande kommt.
Sieht für mich irgendwie so aus, als ob der Router überhaupt nicht reagiert bei einem Verbindungsversuch über den Advanced Client

Den Trace ziehe ich mal später...bin wie gesagt nicht vor Ort.

S.

[firefox_i]

IPv4 Regeln sind die vom Wizard erstellen
GENERIC-RAS-ACCESS-FOR-WIZ (lokal 0.0.0.0/0, entfernt 0.0.0.0/32)

Wenn Du irgendwelchen Infos aus den Einstellungen sehen magst, an die komm ich ran (ich komm ja mit meinem Notebook per AVC über eine VPN Einwahl auf den Router am zweiten Standort.
Und von da dann über das Site2Site (das rennt ja problemlos) auf den 1800Ef und dessen Einstellungen.

Nur den Trace kann ich gerade nicht machen, da ich hier nur ein Gerät habe.

[firefox_i]

Noch eine Info:
Der 1800EF ist als Exposed Host an einer FB 6490 Cable die nur als Kabelmodem arbeiten soll.
Als Exposed Host gehe ich aber mal fest davon aus, dass alle Ports durchgeschoben werden.

S.

[ua]

Moin,

nur Kurz zur Sicherheit:

• Im Lanconfig hast du schon den neuen FQDN/ die neue IP des Routers hinterlegt?

• Das Ding steht nicht hinter einem CGN?

Helau

[C/5]

Hallo,

falls die Exposed-Host-Einstellung schon vorher zum anderen Lancom bestand, dann sollte die Verbindung zum Internet mit der Fritz!Box mind. 1 x neuaufgebaut werden. Besser, die FB mal neustarten. Änderungen übernimmt die Fritz!Box meiner Erfahrung nach bei bestehender Verbindung nicht.

CU
C/5

[firefox_i]

Hallo zusammen,

falls die Exposed-Host-Einstellung schon vorher zum anderen Lancom bestand, dann sollte die Verbindung zum Internet mit der Fritz!Box mind. 1 x neuaufgebaut werden.

Wurde schon mehrfach neu gestartet, mach ich aber gerne nochmal um alle Fehler auszuschließen (kann ich aber erst heut abend, die Mitarbeiter würden sich gerade etwas bedanken wenn ich denen da sInternet unterm Hintern wegziehe).

Im Lanconfig hast du schon den neuen FQDN/ die neue IP des Routers hinterlegt?

Öhm ich versteh die Frage nicht ganz.
In LANconfig muss ich ja zwangsläufig die IP des 1800EF eintragen damit ich ihn konfigurieren kann oder wo ist mein Misverständnis?
IP Bereiche wurden 1:1 übernommen

Das Ding steht nicht hinter einem CGN?

Nein, der Aufbau ist nach wie vor:
VF Breitbandkabel ---- Fritz 6490 cable ------ LANCOM 1800EF (als Exposed Host)
- es wurde nur der 1783VA-4G durch den 1800EF ersetzt
- Öffentliche IP ist nach wie vor dieselbe, weil statisch (IPv4, kein DualStack).
- im der Fritte wurde auch die MAC des 1800EF eingetragen bei der Konfig für den EH

Wie gesagt: ein Site2Site Tunnel rennt seit 2 Wochen ohne Probleme.

[ua]

Moin,

Öhm ich versteh die Frage nicht ganz.
In LANconfig muss ich ja zwangsläufig die IP des 1800EF eintragen damit ich ihn konfigurieren kann oder wo ist mein Misverständnis?
IP Bereiche wurden 1:1 übernommen

Ich meinte im LANconfig:
Rechte Maustaste auf dem Gerät -> Eigenschaften –> VPN
Dort dann die Offizielle IP/den Namen des Routers eintrage, von dort bezieht der Onclick-Wizard seine Info für das Config-File.

VG

[firefox_i]

Hey,
sorry ich war ein paar Tage Out-of-Order und konnte das Thema nicht weiter verfolgen.....

Dort dann die Offizielle IP/den Namen des Routers eintrage, von dort bezieht der Onclick-Wizard seine Info für das Config-File.

Ja da passt alles.
Die IP die im Advanced VPN Client passt die IP auch.....

S.

[firefox_i]

Bin jetzt nen großen Schritt weiter.

Das erste Problem war der DEFAULT Eintrag.
Der Eintrag an sich war korrekt, aber die Authentifizierung scheine ich irgendwann mal umgestellt zu haben.
Er war so:

Uthentifizierung_Default_FAULT.png

Ich hab den Eintrag dann erst so umgestellt:

Uthentifizierung_Default_FAULT_MED.png

Aber auch das hat nicht funktioniert.

Erst als ich ihn so hatte wir in einer Offline Config hat es funktioniert:

Uthentifizierung_Default_OK.png

Zumindest kam ich dann schon mal deutlich weiter:
Mit dem One-Click kam ich dann rein.

Dann habe ich einen neuen Eintrag erstellt und auf Zertifikat umgestellt.
Spannenderweise funktioniert das nur, wenn ich die Authentifizierung auf Digital-Signature und Default-RSA-PSS umstelle. Die Site2Site funktioniert mit Digital-Signature und auch auf dem anderen Router (1783VAW, 10.50.SU15) funktioniert die Einwahlverbindung mit Digital Signature.....

[firefox_i]

So muss ich den 1800EF einstellen, dass es rennt:

AUTHENT.png

Warum bekommt eine Verbindung via Advanced VPN Client eigentlich ein /16 Netz (Maske 255.255.0.0) ?
Ist das Standard?
in ipconfig /all wird mir das zumindest angezeigt und auch der DHCP Server hat ne sehr abgefahrene Adresse, aber das werte ich mal als "ist halt bei Lancom so"...

S.

[Frühstücksdirektor]

Die Subnetzmaske für die CFG-Mode-Adresse ist in der 10.90 im IKEv2 IPv4-Pool konfigurierbar. Ich schätze Du hast die 10.80, da muss ja irgendein Wert vom Client angenommen werden. Ist halt manchmal nicht passend, daher konfigurierbar.