VPN Tunnel mit LTE

[RalphT]

Hallo,

ich sitze hier gerade vor einem Problem und komme nicht mehr weiter.

Ich habe hier ein Lancom 1781 4G und auf der anderen Seite eine Sonicwall (feste IP). Mein Problem, der Lancom hat eine private Adresse. Jetzt bin hier fündig geworden https://www2.lancom.de/kb.nsf/1275/C4F6 ... enDocument
Leider komme ich hier mit dem Assistenten nicht weiter, da ich nur ein Lancom habe. Ich habe daher alles manuell eingegeben.

Hier muss es wohl so sein, dass der Lancom zuerst die Verbindung aufbauen muss. Wo muss ich das einstellen?
Ansonsten habe ich, wie im Dokument beschrieben, den Mode auf Aggressive umgestellt (in der Sonicwall auch).

Weiter habe ich unter Identitäten wie Folgt eingestellt: Lokale Identiät auf "Key-ID" und entfernte Identität auf IPv4 gesetzt. Im Beispiel von Lancom hatte man es mit E-Mailadressen gemacht.
Das habe ich leider auch nicht verstanden, wie das mit E-Mailadressen funkioniert.

Die Fehlermeldung im Lancom-Monitor zeigt: Allgemeiner Fehler (Initiator, IKE) (0x21FF)

Hat hier jemdand einen Rat für mich?

[Bernie137]

Hi,

Ich kann Dir zwar bzgl der Konfiguration nicht helfen aber was Dich vielleicht weiter bringt ist am Lancom Router den VPN Status Trace mit laufen zu lassen. Dann ist es einfacher die Meldungen zu deuten. Ggf gibt es diese Möglichkeit auch auf der Gegenstelle.

Vg Bernie

[RalphT]

Hallo Bernie,

vielen Dank für die Hilfe, das hatte ich mir vorher auch schon angesehen. Ich habe alles auf beiden seiten noch einmal genau vergleichen, die Verschlüsselungsvefahren geändert und seit heute steht der Tunnel. Lancom zeigt dies im Lancom Monitor an und die Sonicwall zeigt auch einen verbundenen Tunnel an. Soweit erst einmal gut.

Leider habe ich immer noch ein Problem: Es funktioniert kein Transfer von Lancom zu Sonicwall oder umgekehrt. Starte ich auf der Lancomseite einen Ping oder http-Zugriff auf die Sonicwallseite, dann zeigt mir die Sonicwall auch an, dass diese Zugriffe erlaubt seinen. Mir scheint so, das der Rückweg abgesperrt ist.

Dann hatte ich auf der Lancomseite eine VPN-Verbindung mit dem Windowsclient zu einer anderen Gegenstelle versucht aufzubauen. Das funktioniert nicht. Klemme ich den Rechner wieder an ein anderes LAN an, funktioniert der VPN-Client einwandfrei.

Kann es sein, dass bei T-Mobile etwas gesperrt ist? Was ich nur nicht verstehe, wenn doch der Tunnel aufgebaut ist, kann es noch an T-Mobile liegen?

Gruß

Ralph

[Bernie137]

Hallo Ralph,

Klingt mir eher nach einem Problem der Firewall Konfig auf beiden Seiten. Verwendet ihr eine Deny-All Strategie? Dann musst Du auch für beide Richtungen jeweils im VPN Router den Traffic durchlassen.

Vg Bernie

[RalphT]

Hallo Bernie,

deny all ist beidseitig eingestellt, jedoch zu Testzwecken deaktiviert worden. Daran liegt es nicht.

Ich google mich gerade überall durch und habe bis jetzt gelesen, dass es bei LTE schön öfters Probleme mit VPN-Verbindungen gab.

Was mich immer noch stutzig macht, dass der Tunnel aufgebaut ist. Beide Seiten zeigen das an. Dann müsste es doch egal sein, ob bei LTE es Adressen aus dem privaten Bereich, die maskiert sind. Wenn der Tunnel steht, dann dürfte das doch nicht mehr wichig sein.

Oder?

Viele Grüße

Ralph

[Bernie137]

Hallo Ralph,

Vielleicht bekommst Du noch Hinweise mit einem IP-Router Trace?

Vg Bernie

[RalphT]

So, jetzt bin ich etwas weitergekommen. Beim googeln bin ich auch diese Seite gestoßen: https://www2.lancom.de/kb.nsf/1275/6CDD ... enDocument

Also, ich den APN umgestellt und somit habe ich eine öffentliche Adresse. VPN läuft alles.

Leider habe ich das eigentliche Problem nicht lösen können. Wenn der Router hinter einer Firewall steht und mit nicht öffentlichen Adresse ereichbar ist.
Wäre gut, wenn mir hier noch einer mal weiterhelfen könnte, wie man das Problem angehen kann.

[Dr.Einstein]

Nur grob die Vorgehensweise, wenn kein Mainmode mit Zertifikat verwendet wird:

- PPP-Listen Gedöhns nach dem VPN löschen
- VPN auf Aggressvimode umstellen
- Local / Remote Identities benutzen, eigentlich vollkommen egal, was da steht, solang diese Einträge bei den Geräte über Kreuz gelegt sind, z.B.: lokal FQDN: aussenstelle.intern.de entfernt FQDN: zentrale.intern.de. An der Firewall dann entsprechend gedreht. Bei manchen/vielen Firewalls kann man die lokale ID nicht anpassen, sie nehmen ihre eigene WAN IP als IPv4-ID. Das sollte dann entsprechend beachtet werden im Lancom als Remote-ID
- Ggf Default Proposalliste für Aggressive Mode kontrollieren, ob die Firewall diese auch akzeptiert
- NAT-T auf beiden Seiten aktivieren

Nie Probleme damit hinter anderen Geräten ...

Gruß Dr.Einstein

[RalphT]

Moin Dr. Einstein,
vielen dankfür die Tipps. Ich werde mich damit mal am Montag beschäftigen. Auch die Erklärung mit den IDs war gut, damit kann ich jetzt etwas mit anfangen.