TC7200 - keine VPN-Verbindung

[knoedel]

Hey Leute.

Ich habe seit ein paar Tagen einen 2play 100.000-Vertrag bei Unitymedia. Als Modem/Router habe ich einen Technicolor TC7200 bekommen.
Vorher hatte ich einen 2play 16.000-Vertrag inkl. Motorola-Modem.

Ich habe ein Homeoffice, woraus ich mit per VPN-Router zu meinem Arbeitgeber verbinde.
Der Router ist ein Lancom 1722 VOIP, an dem ein PC und ein IP-Telefon hängen.
Diese Konstellation kann erstmal nicht verändert werden.

altes Setup (16.000):

<i>
</i>privates LAN / WLAN --| | Switch --- TP-Link WDR3600 --- Motorola-Modem | (192.168.0.1) Lancom 1722 VOIP --| (192.168.0.50)
(Switch nur zur überbrückung von mehreren Etagen)

Bei dem TP-Link Router hatte ich außer PPTP-, IPSec- & L2TP-Passthrough nichts eingestellt und ich konnte Problemlos eine VPN-Verbindung mit dem Lancom aufbauen.


Da ich jetzt das Motorola-Modem gegen den TC7200 tauschen musste, hat sich der Aufbau etwas geändert:

<i>
</i>privates LAN / WLAN --| | Switch --- Technicolor TC7200 | (192.168.0.1) Lancom 1722 VOIP --| (192.168.0.50)

Im TC7200 habe ich PPTP- & IPSec-Passthrough eingeschaltet aber die VPN-Verbindung kommt nicht zustande.
Darauf hin habe ich mehrere Einstellung ausprobiert, leider auch ohne Glück:
- Firewall niedrig, aus
- Lancom IP als DMZ
- Ports 500 UDP, 4500 UDP, 1723 TCP auf Lancom weitergeleitet
- NAT-Traversal ein/aus im Lancom

Firmware des TC7200 sollte aktuell sein (STD6.01.27)
Ich habe auch immer noch IPv4 und kein DSLite...daran liegt es auch nicht.

Internet und Telefon ansich funktioneren einwandfrei und auch mit voller Geschwindigkeit.

Wenn mal wenigstens den Bridge-Modus im TC7200 aktivieren könnte, würde ich einfach meinen alten Router wiederverwenden :wand:
Die Unitymedia-Hotline hat mir als Lösung nur die Fritzbox für 5€/mtl. angeboten, aber ob es damit funktioniert kann mir auch keiner sagen (Lancom evtl. als exposed Host) :kratz:

Ich würde mir ja gerne die Fritzbox schicken lassen, allerdings erlischt das Wiederrufsrecht meines alten Vertrages bis diese ankommt. Wenn es dann nich funktionert, hänge ich auf dem TC7200 fest und arbeiten kann ich immer noch nicht von zuhause.

Hat evtl. wer von euch einen Lösungsvorschlag oder kann mir sagen, ob das mit der Fritzbox wirklich funktioniert?


Gruß
knoedel

 

[CapFloor]

Hi,

Ich habe ein Homeoffice, woraus ich mit per VPN-Router zu meinem Arbeitgeber verbinde.

Bei dem TP-Link Router hatte ich außer PPTP-, IPSec- & L2TP-Passthrough nichts eingestellt und ich konnte Problemlos eine VPN-Verbindung mit dem Lancom aufbauen.

Stellt der Lancom die VPN-Verbindung zum AG her oder wird diese von außen initiiert?

Wenn die VPN Verbindung von außen aufgebaut wird (und Du definitv IPv4 hast), reicht ein Port-Forwarding (IPv4) von UDP 500, 4500 für IPsec und TCP 1723 für PPTP aus. Wenn PPTP benutzt wird - was ich für die Anbindung von Home-Offices heutzutage nicht mehr benutzen würde, weil MS-ChapV2 geknackt ist - muss auch GRE, Protokoll 47, weitergeleitet werden. Ich könnte drauf wetten, dass das TC7200 genau das nicht von sich aus tut - und ein einstellbares Protokoll-Forwarding haben nur Profi-Router. Das wäre übrigens auch der Unterschied zum "PPTP-, IPSec- & L2TP-Passthrough" beim TP-Link: Da wird GRE nämlich "automatisch" mit verarbeitet...

Finde also erstmal heraus, wie die VPN Anbindung realisiert ist. Die Fritzbox könnte das mit dem GRE Forwarding, vorausgesetzt, es wird PPTP verwendet.

Viele Grüße
CapFloor

 

[knoedel]

Danke schonmal für die Antwort.

Ich baue mit dem VPN-Router die Verbindung zum Arbeitgeber auf, nicht andersrum und das ganze läuft über IPSec.

Die Weiterleitung der IP-Protokolle (GRE/ESP/AH) sollte ja eigentlich durch die Aktivierung von PPTP- / IPSec-Passthrough im TC7200 funktionieren


Gruß
knoedel

 

[CapFloor]

Tja, recht hast Du!
Das Einzige, was mir dazu noch einfällt: Vielleicht unterstützt der TC7200 NAT-Traversal und benutzt es auch - trotz Häckchen bei IPsec-Passthrough. Dann müsste auf beiden Seiten der UDP & TCP Port 4500 geöffnet werden - auch auf Seite Deines AG. Bei IPsec-Passthrough ist das nicht notwendig.

Mit diesen Einstellungen funktionierte bei mir die IPsec Verbindung über den TC7200 (sogar mit DSLite, also CGN) - mit einem Bintec anstelle Deines Lancom. "Leider" habe ich kein TC7200 mehr zum Ausprobieren.

Zur weiteren Analyse wäre ein Log aus dem Lancom während des Verbindungsaufbaus hilfreich.
Gruß

 

[Mangiamele]

Hallo erst mal zusammen,

ich bin neu hier im Forum, was das Verfassen von Beiträgen betrifft.

Als Wissensdatenbank habe ich dieses Forum schon länger herangezogen.

Ich nutze bereits seit mehreren Jahren bei Unitymedia Fritz!Boxen.

Bis November hatte ich eine 6360 Cable mit meinem 64/5 Mbit-Anschluss.

Zu meinem neuen 200/20 Mbit-Anschluss habe ich dann eine 6490 Cable bekommen.

Ich hatte gerade heute das Problem bei dem Mitarbeiter eines Kunden, der an einem solchen Technicolor-Router mit Unitymedia verbunden ist.

IPSec-VPN geht von seinem Anschluss nicht, PPTP-VPN geht.

Es liegt definitiv am Technicolor-Gerät, denn wenn er seinen iPhone Hotspot verwendet, kann er das VPN mit IPSec aufbauen.

Ich wähle mich von zu Hause bei vielen Kunden per IPSec-VPN ein, das war mit AVM Fritz!Boxen noch nie ein Problem, dazu muss man auch nichts an der Box ein- oder umstellen.

Ich habe sogar ein Site-2-Site IPSec-VPN zu einer anderen Fritz!Box von Bekannten aufgebaut, das funktioniert ebenfalls super.

Das gilt auch für die LTE- und DSL-Fritz!Boxen von AVM, die funktionieren genau so klasse.

Ich kann dir nur dazu raten, auf eine Fritz!Box umzusteigen, weil man erstens solch böse Überraschungen nicht hat und man zweitens dadurch mit dem Anschluss viel mehr machen kann (auch wenn man die Firmware nicht selber aktualisieren kann, das ist nun mal bei Kabel-Boxen so).

Übrigens haben wir einige Kunden, die eine Kabel-Fritz!Box entweder mit statischer IPv4 als Exposed Host (Unitymedia Business) oder als Standard konfiguriert mit dynamischer IPv4-Adresse (Kabel Deutschland/Vodafone Business) bekommen haben und ihre Cisco ASA oder WatchGuard XTM Firewall hintendran haben.

Dort wählen sich die Mitarbeiter auch per SSL-VPN, PPTP-VPN und IPSec-VPN ein, ohne Probleme.

Die einzigen Probleme die jemals in dem Thema aufgetreten sind, waren letztes Jahr als Apple Endgeräte mit iOS 9 und Mac OS 10.11 (El Capitan) keine IPSec-Verbindungen mehr zu Anschlüssen bei Unitymedia-Kunden aufbauen konnten.

Es hatte sich herausgestellt, dass Apple etwas gegenüber der vorigen Betriebssystemversion an der Paketbehandlung bei IPSec-VPN geändert hat und dass bei Unitymedia IPSec-Pakete nicht 100% regelkonform über deren Netze geschickt wurden, was dann zu diesem GAU führte

Damals hatten sich beide Parteien aufeinander zubewegt, nicht zuletzt der hervorragenden Arbeit einiger Mitglieder aus diesem Forum geschuldet.

Seitdem gibt es in dieser Hinsicht keine Probleme mehr - und noch mal tausend Dank an die beteiligten Forenmitglieder.

Unterm Strich wird sich die Fritz!Box auf jeden Fall lohnen.

Ich nutze z. B. gerne die Funktion, dass ich mich mit dem iPhone von unterwegs mit IPSec-VPN einwühle und dann mittels Fritz!Fon App von unterwegs mit meiner Festnetznummer telefonieren kann.

Das geht auch vom Ausland über WLAN / 3G / LTE.

Zudem habe ich auf meiner Box auch noch eine VoIP-Nummer eines anderen Anbieters hinterlegt.

Mittels automatischer Wahlregel kann ich so über diese Nummer billiger ins Ausland telefonieren.

Zudem nutze ich auch ein Feature, das mir erlaubt bestimmte Anrufer auszusperren.

Anrufer mit einer Nummer auf der Sperrliste rufen mich nie wieder auf dem Festnetz an.

Zu meiner Person:

Ich arbeite zwar bei einem großen IT-Dienstleister, aber weder bei Unitymedia, noch bei AVM.

Es soll hier also keinesfalls Werbung für AVM oder Unitymedia sein, es spiegelt lediglich meine persönlichen Erfahrungen in diesem Umfeld wider.

Ich hoffe dir etwas bei der Entscheidungsfindung geholfen zu haben.

Grüße

Thomas.

 

[ul_ka]

Guten Tag zusammen,

ich habe auch ein Problem mit der VPN-Verbindung und habe die Beiträge hier gelesen; bin aber eher "technischer Fußgänger", fällt mir also schwer, das in konkrete Einstellungen an der Box zu "übersetzen". Vielleicht kann mir jemand dabei helfen?

Ich arbeite hin und wieder von zu Hause aus, wir greifen mit einem Bintec-Client (Version 3.04) auf den Firmenserver zu. Unsere Box zu Hause ist eine Technicolor TC7200.U. Das hat alles ganz gut funktioniert bis einschließlich 20. April. Seit dem 21. April streikt diese Verbindung, der Bintec kann sich nicht mehr verbinden und gibt folgende Fehlermeldung aus: "VPN-Fehler IKE(phase2) - Warten auf Msg 2".
Von einem Telekomanschluss (Speedport) aus funktioniert die VPN-Verbindung nach wie vor noch!
Weiß jemand, ob zu diesem Zeitpunkt irgendetwas umgestellt wurde? Bzw. welche Einstellungen ich an der Box vornehmen muss, um das wieder zum Laufen zu bekommen? Bin für jeden Hinweis dankbar.

Viele Grüße,
ul_ka