VPN Routing Problem

[Beatlo]

Hallo zusammen,

ich benötige ein wenig Hilfe. Ich habe ein VPN Tunnel von zwei 1711er mittel Drag & Drop aufgebaut. Die Verbindung steht auch. Die Ip Adressen der Netze sind 192.168.178.0 / 192.168.177.0. Die Firewall ist bei den Routen ausgeschaltet. Mein Problem ist, dass ich weder die eine Seite noch die andere Seite anpingen kann. Bin schon seit zwei Tagen damit beschäftigt, langsam gehen mir die Ideen aus. Für jede Hilfe wäre ich sehr dankbar.

Gruß Beatlo

[Pothos]

Hi Beatlo,

also laut LANmonitor steht die Verbindung?
Von wo nach wo wird pingst du denn?
Schonmal einen Ping direkt von der Konsole des LANCOM auf die IP des anderen LANCOM gepingt?
Wenn das funktioniert, hast du einfach nur ein Gateway Problem. Sprich die Clients haben nicht den LANCOM der die VPN Verbindung aufbaut als Gateway eingetragen, sondern wen anders und dieser hat einfach keinen entsprechenden Routingeintrag.

[Beatlo]

Hallo Pothos,

laut Lan Monitor steht die Verbindung. Ich habe den Ping schon von jeweils beiden Seiten ausgeführt, leider ohne Erfolg. Ich kann vom Router (192.168.178.1) die Gegenseite (192.168.177.22) anpingen. Andersherum geht es leider nicht. Ich vermute auch, dass ich ein Routing Problem habe.

[Pothos]

Hi,

also die 178.1 und die 177.22 sind jeweils die beiden Router? Jeweils Class C Netz (255.255.255.0)?
Und von A nach B klappt aber umgekehrt nicht?
Mach mal das NAT-Traversal unter "VPN -> Allgemein" an wenn das noch nicht eingeschaltet ist.
Wenn das dann immer noch nicht funktioniert mal bitte einen Trace, gefiltert auf die IP die du anpingst (tr # ip-ro @ 192.168.x.x) und mal hier posten.

[Beatlo]

korrekt, 178.1 und 177.22 sind die Router, beide Class C Netz.
Von 178.1. > 177.22 klappt, aber nicht andersherum. Nat-Traversal ist bei beiden Routern an. Kannst Du mir diesen Befehl (tr # ip-ro @ 192.168.x.x) bitte kurz erläutern. Also die Trace Möglichkeit im Monitor kenne ich, nur nicht diesen "Befehl". Danke.

[Pothos]

Ach so, ok. Ich trace immer über die Konsole und nicht über den LANmonitor und da sieht der Befehl halt so aus. Am einfachsten gehst du mit Putty (Telnet oder SSH ist egal) auf die beiden Router. Auf dem Router 178.1 gibst du dann den Befehl "tr # ip-ro @ 192.168.177.22" ein und auf dem 177.22 gibst du "tr # ip-ro @ 192.168.178.1" ein. Wenn du dann einen ping vom LANCOM absetzt (auch aus der Putty Session raus) auf den gegenüberliegenden LANCOM, sollte da was passieren.
Alternativ nimmst du den LANmonitor Trace und gibst beim Filter einfach die IP-Adresse der anderen Seite ein, nichts anderes macht das "@". Und ip-ro steht für ip-router, bin nur zu faul den Befehl immer ganz hinzuschreiben, weil es so schon eindeutig genug ist.

[Beatlo]

ok, also hier der Trace vom 178.1:

>
[IP-Router] 2014/02/18 14:35:05,354
IP-Router Rx (intern, RtgTag: 0):
DstIP: 192.168.177.21, SrcIP: 192.168.178.1, Len: 57, DSCP/TOS: 0x00
Prot.: UDP (17), DstPort: 53, SrcPort: 61438
Route: WAN Tx (HOME_BEATLO_)

[IP-Router] 2014/02/18 14:35:07,989
IP-Router Rx (intern, RtgTag: 0):
DstIP: 192.168.177.21, SrcIP: 192.168.178.1, Len: 57, DSCP/TOS: 0x00
Prot.: UDP (17), DstPort: 53, SrcPort: 60407
Route: WAN Tx (HOME_BEATLO_)

[IP-Router] 2014/02/18 14:35:10,656
IP-Router Rx (intern, RtgTag: 0):
DstIP: 192.168.177.21, SrcIP: 192.168.178.1, Len: 57, DSCP/TOS: 0x00
Prot.: UDP (17), DstPort: 53, SrcPort: 60657
Route: WAN Tx (HOME_BEATLO_)

und hier der Trace vom 177.21:

[IP-Router] 2014/02/18 14:37:52,529
IP-Router Rx (intern, RtgTag: 0):
DstIP: 192.168.178.1, SrcIP: 192.168.177.21, Len: 84, DSCP/TOS: 0x00
Prot.: ICMP (1), echo request, id: 0x0462, seq: 0x0000
Route: WAN Tx (LLB_192_168_)


root@HOME:/
> [IP-Router] 2014/02/18 14:37:52,529
Syntax Error: [IP-Router] 2014/02/18 14:37:52,529

root@HOME:/
> IP-Router Rx (intern, RtgTag: 0):
Syntax Error: IP-Router Rx (intern, RtgTag: 0):

root@HOME:/
> DstIP: 192.168.178.1, SrcIP: 192.168.177.21, Len: 84, DSCP/TOS: 0x00
Syntax Error: DstIP: 192.168.178.1, SrcIP: 192.168.177.21, Len: 84, DSCP/TOS: 0 x00

root@HOME:/
> Prot.: ICMP (1), echo request, id: 0x0462, seq: 0x0000
Syntax Error: Prot.: ICMP (1), echo request, id: 0x0462, seq: 0x0000

root@HOME:/
>
[IP-Router] 2014/02/18 14:38:57,529
IP-Router Rx (intern, RtgTag: 0):
DstIP: 192.168.178.1, SrcIP: 192.168.177.21, Len: 84, DSCP/TOS: 0x00
Prot.: ICMP (1), echo request, id: 0x0463, seq: 0x0000
Route: WAN Tx (LLB_192_168_)

[Beatlo]

Hier die Routing Tabelle vom 178.1



Hier die Routing Tabelle vom 177.21

[Pothos]

Hmm, es läuft auf jedenfall schonmal was in den Tunnel. Von 177.22 nach 178.1 gehts ja nicht sagst du. Was ist bei der 178.1 vorgeschaltet für ein Gerät? FritzBox, Speedport oder sowas? Wenn ja bitte mal die Ports 500 und 4500 UDP an die WAN Adresse des LANCOM weiterleiten, den Tunnel trennen und nochmal gucken.

-----
Ok. Die Routingtabellen irritieren mich. Wie ist denn bitte der Aufbau?

[MariusP]

Hi,

Kannst Du mir diesen Befehl (tr # ip-ro @ 192.168.x.x) bitte kurz erläutern

https://www2.lancom.de/kb.nsf/1275/181C ... enDocument
Schau am besten direkt in die Knowledge-Database.
Gruß

[Beatlo]

also der 178.1 holt sich mittels pppoe eine eigene Internetverbindung vom Alice Modem. Bei der 177.21 ist eine FritzBox davor, ich habe aber die IP .21 als Exposed Host geschaltet.

Ich vermute ja auch, dass es an der Routing Tabelle liegt, allerdings sind die meisten Einträge durch die Drag & Drop Aktion entstanden. Wie sollte die Tabelle idealerweise aussehen?

Gruß Beatlo

[Pothos]

Die Routingtabelle des 178.1 sieht merkwürdig aus. Die sollte eigentlich so aussehen:

routing-tabelle.png

[Beatlo]

Hallo nochmals,

habe ich so abgeändert, Verbindung neu aufgebaut, leider immer noch kein Erfolg.

[Pothos]

Hab dir mal ne PN geschickt

[Beatlo]

Problem gelöst. 1.000 Dank an Pothos. Es lag an dem fehlenden Routingeintrag der FritzBox.