Shrew VPN zu Lancom 1781A-4G klappt nicht

[Daniel Albert]

Hallo,

ich habe heute einen VPN Tunnel nach folgender Anleitung erstellt:

http://www.lancom-forum.de/fragen-zum-t ... ilit=shrew

Ich erhalte folgende Fehlermeldung, wenn der Tunnel aufgebaut werden soll:

config loaded for site 'VPn Peiting'
attached to key daemon ...
peer configured
iskamp proposal configured
esp proposal configured
client configured
local id configured
remote id configured
pre-shared key configured
bringing up tunnel ...
negotiation timout occurred
tunnel disabled

Wo kann der Fehler liegen?

Gruß Daniel

[MariusP]

Hi,
Ich glaube der Log aus dem Shrewsoft Client ist auf einem Shrewsoft-Forum besser aufgehoben.
Post doch hier bitte einmal den Vpn-Status-trace des Lancomgerätes, mit dem können wir hier mehr anfangen.
Gruß

[Daniel Albert]

Hallo,

wenn du mir verraten kannst wo ich diesen im Router finde ?

Gruß Daniel

[Bernie137]

Hallo,

schau mal hier https://www2.lancom.de/kb.nsf/1275/9262 ... enDocument und hier https://www2.lancom.de/kb.nsf/1275/825A ... enDocument

vg Bernie

[Daniel Albert]

Hallo,

also im Trace steht steht null drin also scheitert die Verbindung schon weiter zuvor. Wie kann ich denn prüfen ob überhaupt der Shrew Client eine Anfrage an den Lancom router schickt ? Welcher Trace wäre dafür zuständig ?

Hat jemand schon mit Shrew gearbeitet ?


Gruß Daniel

[Daniel Albert]

Hallo

der VPn geht jetzt. Habe direkt nach der Anleitung von Shrew gearbeitet. Nun bin ich mir aber nicht so sicher von der Sicherheit. Wie sicher sind denn diese VPN Tunnel ? Zuvor hatte ich einen OpenVpn Tunnel

Zum anderen habe ich zwar jetzt den VPN Tunnel kann aber nicht auf die Geräte im Netzwerk zugreifen. Muss ich dafür noch etwas am Router konfigurieren.

Sorry das ich hier so unwissend bin, stellt mich aktuell nicht zufrieden. Habe ich mir anders vorgestellt.

Gruß Daniel

[MariusP]

Hi,

Wie kann ich denn prüfen ob überhaupt der Shrew Client eine Anfrage an den Lancom router schickt ? Welcher Trace wäre dafür zuständig ?

Das kann das Programm Wireshark auf dem Rechner mit dem Shrewsoft machen. Wenn du dort nach dem isakmp-Protokoll filterst solltest alle für dich interessanten Pakete sehen.

Nun bin ich mir aber nicht so sicher von der Sicherheit. Wie sicher sind denn diese VPN Tunnel ?

Das hängt von eher vielen Aspekten ab:
Wie sicher ist dein Rechner?
Wie gut ist dein Router(Konfiguration)passwort?
Welche Algorythmen für IKE und IPSEC hast du eingestellt und welche wurden ausgehandelt.
Wie gut sind deine PSK-Parameter?
usw.
Daher kann man auf diese Frage keine pauschale Antwort geben, außer wenn man keinen Fehler macht und der potentielle Angreifer nicht NSA und Co. sind, ist das IPSEC-Prinzip sicher.

Zum anderen habe ich zwar jetzt den VPN Tunnel kann aber nicht auf die Geräte im Netzwerk zugreifen. Muss ich dafür noch etwas am Router konfigurieren.

Mach doch einen IP-Router-Trace auf dem Lancom, dann siehste ob das Lancom die Pakete richtig routet.
Außerdem könntest du uns sagen wie die Fehlermeldung lautet auf deinem Rechner, nach denen du die Annahme, du könntest auf die Netze nicht zugreifen, gemacht hast. Denn Zugreifen und die Route kennen sind zwei unterschiedliche Dinge.
Gruß

[Daniel Albert]

Hallo MariusP,

weerde ich morgen mal Testen warum ich keinen Zugriff bekomme.

Wegen der Verschlüsselung habe ich einen Extra Thread geöffnet

Danke

Gruß Daniel

[Daniel Albert]

Hallo,

VPN Tunnel Verbindung funktioniert jetzt aber ich kann nicht auf die Geräte hinter dem Router wie NAS, Drucker, Computer zugreifen. Leider kann mir Lancom nicht helfen da ja die einen eigenen Client haben. Würde gern einen Trace erstellen, was muss ich da genau einstellen damit man das Problem auslesen kann oder muss noch etwas geroutet werden ?

Gruß Daniel

[MariusP]

Hi,

Mach doch einen IP-Router-Trace auf dem Lancom, dann siehste ob das Lancom die Pakete richtig routet.
Außerdem könntest du uns sagen wie die Fehlermeldung lautet auf deinem Rechner, nach denen du die Annahme, du könntest auf die Netze nicht zugreifen, gemacht hast. Denn Zugreifen und die Route kennen sind zwei unterschiedliche Dinge.
Gruß

Gruß

[Daniel Albert]

Hallo,

Habe heute ein System aufgebaut damit ich einen VPN Tunnel von ausserhalb aufbauen kann und jetzt möchte ich über den Tracer mir anschauen wo das Routing nicht passt. also der VPn Tunnel steht aber ich kann per Browser z.B. nicht auf den LANCOM Webzugang zugreifen . Es erscheint einfach die Meldung Verbindung nicht möglich.

Problem ist aber ich weiß nicht welche Punkte ich im Tracer anklicken muss damit ich auch erkenne woran es liegt. Kann mir dabei bitte jemand Helfen ?

Gruß Daniel

[MariusP]

Hi,
Warum verbindest du dich nicht per SSH mit dem Gerät und gibst in der CLI die Befehle manuell ein?
Siehe Link:
https://www2.lancom.de/kb.nsf/1275/181C ... enDocument
Im Allgemeinen sind die Lancom-Tools zwar nützlich und auch erleichtern sie einem Vieles, aber am Ende ist selber Hand anlegen manchmal die bessere Wahl.
Am besten du schneidest auf beiden Seiten mit.
Sehr hilfreich ist auch https://www2.lancom.de/kb.nsf/1275/1CF7 ... enDocument
da du damit die Trace in Wireshark importieren kannst was die Analyse und Filterung noch detailierter konfigurierbar macht.
Gruß

[Daniel Albert]

Hallo,

konnte mich damit noch nicht so beschäftigen, werde mir aber mal den Trace mit seinen Meldungen genauer anschauen?

Also der VPN zugang bekommt über den Router bei der Anmeldung die IP 192.168.178.78. Ich habe versucht von diesem PC aus einen Ping an die IP 192.168.178.28 (NAS) zu senden. Am PC erschien Zeitüberschreitung

Dies ist beim Tracer angekommen:

Denke Punkt Route: LAN Tx (INTRANET): ist der wichtige Punkt aber da passt doch alles oder kann ich noch einen anderen Trace einstellen wo ich mehr sehen kann ?

[IP-Router] 2014/05/31 13:37:10,114 Devicetime: 2014/05/31 13:37:08,176
IP-Router Rx (LAN-1, INTRANET, RtgTag: 0):
DstIP: 192.168.178.78, SrcIP: 192.168.178.28, Len: 60, DSCP/TOS: 0x00
Prot.: ICMP (1), echo reply, id: 0x0001, seq: 0x0010
Route: WAN Tx (VPN-DANIEL)

[IP-Router] 2014/05/31 13:37:15,043 Devicetime: 2014/05/31 13:37:13,107
IP-Router Rx (VPN-DANIEL, RtgTag: 0):
DstIP: 192.168.178.28, SrcIP: 192.168.178.78, Len: 60, DSCP/TOS: 0x00
Prot.: ICMP (1), echo request, id: 0x0001, seq: 0x0011
Route: LAN-1 Tx (INTRANET):

[IP-Router] 2014/05/31 13:37:15,043 Devicetime: 2014/05/31 13:37:13,109
IP-Router Rx (LAN-1, INTRANET, RtgTag: 0):
DstIP: 192.168.178.78, SrcIP: 192.168.178.28, Len: 60, DSCP/TOS: 0x00
Prot.: ICMP (1), echo reply, id: 0x0001, seq: 0x0011
Route: WAN Tx (VPN-DANIEL)

[VPN-Status] 2014/05/31 13:37:17,071 Devicetime: 2014/05/31 13:37:15,139
IKE info: NOTIFY received of type ISAKMP_NOTIFY_DPD_R_U_THERE for peer VPN-DANIEL Seq-Nr 0x1927be1a, expected 0x1927be1a

[VPN-Status] 2014/05/31 13:37:17,071 Devicetime: 2014/05/31 13:37:15,140
IKE info: ISAKMP_NOTIFY_DPD_R_U_THERE_ACK sent for Phase-1 SA to peer VPN-DANIEL, sequence nr 0x1927be1a

[IP-Router] 2014/05/31 13:37:17,071 Devicetime: 2014/05/31 13:37:15,217
IP-Router Rx (VPN-DANIEL, RtgTag: 0):
DstIP: 192.168.178.159, SrcIP: 192.168.178.78, Len: 106, DSCP/TOS: 0x00
Prot.: UDP (17), DstPort: 161, SrcPort: 54926
Route: LAN Tx (INTRANET):

[IP-Router] 2014/05/31 13:37:17,071 Devicetime: 2014/05/31 13:37:15,276
IP-Router Rx (VPN-DANIEL, RtgTag: 0):
DstIP: 192.168.178.27, SrcIP: 192.168.178.78, Len: 106, DSCP/TOS: 0x00
Prot.: UDP (17), DstPort: 161, SrcPort: 54926
Route: LAN Tx (INTRANET):

[joblack]

Ich habe die letzten Wochen verbracht den Shrewsoft VPN Client mit einem Lancom 7100+ insgesamt richtig zum laufen zu bekommen.

Das LANCOM Handbuch ist schlecht. Wichtige Themen werden nur angesprochen, keine richtigen Beispiele aber dafür werden unwichtige Dinge ausschweifig beschrieben ohne das es einen grossartig weiterbringt. In der Firma hatte ich sogar Support Sessions mit LANCOM Partnern (kosten zwischen 64 und 100 Euro netto pro Stunde). Diese waren teilweise hilfreich aber diese scheitern auch bei anderen Themen (z.B. XAuth ohne RADIUS Server). LANCOM: Die Routerhardware ist gut aber schlechte Dokumentation und aus Usabilitysicht grottenschlechte Tools.

Erst mal - XAuth geht nicht (brauchst Du wahrscheinlich nicht)

- Der Shrewsoft Client hat ein VPN Tracer Utility im Startmenü. Diesen gleichzeitig starten und auf Debug stellen. Da bekommst Du mehr Informationen.
- So schlecht der Wizard ist, benutze diesen und passe es anschliessend an
- Nach der VPN Konfiguration muss auch die Firewall angepasst werden. Standardmässig kommst Du sonst zwar in die VPN rein aber nirgends drauf (zumindest bei einer DENY-ALL Einstellung. Wieder ein Punkt der im LANCOM Handbuch nur sehr, sehr peripher angesprochen wird.

Bei Interesse kann ich mal eine ausführlichere Anleitung schreiben.

[Daniel Albert]

Hallo,

danke für deine Hilfe. Du hast mir jetzt schon geholfen. Habe den trace von Shrew gestartet und jetzt ist mir auch alles klar. Ich habe ständig versucht auf die Weboberfläche vom Lancom router zuzugreifen. Bei dem habe ich aber eingestellt, dass man auf diesen nur lokal zugreifen kann. Jetzt muss ich mir diesen mal kommende Woche anschauen wo man dies so einstellen kann, dass auch per VPN eine Fernwartung möglich ist. Wer da Ideen hat bitte melden.

Bei einen kannst du mir vielleicht noch Helfen. Wir haben einen DSL und LTE Anschluss über Load Balancing am laufen. Ich möchte aber Verbindungsabbrüche vermeiden. Denke es macht Sinn diesen auf Routing Tag 2 für DSl zu legen oder was meinst du ? Wenn du der gleichen Meinung bist, was muss ich alles umstellen ?

Sonst denke ich würde jedem eine passende Anleitung helfen.

In welchen Bereichen hast du sonst noch Fortschritte gemacht ? Ich habe noch einige offene Punkte, siehe die anderen Threads von mir.

Gruß Daniel