Unitymedia VPN-Probleme PPTP / L2TP/IPSec - KBWB - FB6360

[Mike0185]

Guten Morgen,

ich habe einen KabelBW Businessanschluss mit einer FB6360 (diese hat eine statische IP, via Webportal auf die WAN-MAC der FB zugewiesen, bei KBW geht das (noch)) und ist Router und Telefonzentrale. Dahinter läuft ein NAS und ein Windows 2008 R2 Server. Für die jeweiligen Dienste wurden Portfreigaben eingerichtet, diese funktionieren auch soweit. Seit gestern stehe ich allerdings vor einem Problem mit dem Portforwarding an den Win2K8 Server.

Auf dem Server soll die RRAS-Rolle zum Einsatz kommen und VPN-Verbindungen via L2TP/IPSec zur Verfügung stellen. Ich habe die Rolle nach diversen Anleitungen konfiguriert und einige Möglichkeiten durch gespielt. Die PPTP-Einwahl funktioniert testweise via lokalem LAN. Hierzu habe ich in der FB den Port 1723/TCP und das Protokoll 47 GRE auf die LAN-IP des Servers weitergeleitet. Aus der Ferne kein Zugriff (Fehler 806), obwohl GRE offen ist.

Die Einwahl mittels L2TP/IPSec funktioniert auf lokaler LAN-Ebene auch und ohne Probleme, allerdings auch nicht aus der Ferne. Ich habe auf den Server folgende Ports / Protokolle in der FB weitergeleitet: 1701/UDP und 500/UDP und Protokoll 50 ESP, bekomme aber keine Einwahl aus der Ferne hin (Fehler 809). Ebenfalls habe ich es auch über eine komplette Freigabe via "Exposed Host" probiert. Die FW des Servers lässt RRAS-Verbindungen (Privat und Öffentlich) durch.

Ich habe nun in diversen Foren und bei Google gelesen, dass FBoxen wohl kein IPSec hinter NAT unterstützt, da das Protokoll 51 - AH (Authentication Header) nicht zur Verfügung steht, aber auch wiederum dass es ohne Probleme weitergegeben wird und funktionieren soll....

Könnt ihr weiterhelfen? :kafffee:


Danke und Grüße
Mike

 

[heiko3001]

Mhhh, ich habe auch den Business Anschluss mit der statischen IP, allerdings bei Unitymedia in NRW, dahinter hängen auch mehrere Server und eine pfSense Firewall. Also ich nutze IPSec, OPENvpn und PPTP, das klappt einwandfrei, trotz FB6360.

 

[tq1199]

..., das klappt einwandfrei, trotz FB6360.

Bei dir ist die FB6360 transparent, beim ihm hat die FB6360 anders als bei dir, die externe/öffentliche statische IPv4-Adresse. D. h. aber nicht, dass es bei ihm nicht funktionieren kann.

 

[heiko3001]

..., das klappt einwandfrei, trotz FB6360.

Bei dir ist die FB6360 transparent, beim ihm hat die FB6360 anders als bei dir, die externe/öffentliche statische IPv4-Adresse. D. h. aber nicht, dass es bei ihm nicht funktionieren kann.

Ist das der Unterschied zwischen den UM und KBW Business Anschlüssen ?

 

[tq1199]

Ist das der Unterschied zwischen den UM und KBW Business Anschlüssen ?

U. a. wenn die FB-cable die statische externe IPv4-Adresse hat und noch als Router fungiert (... nur KabelBW), ja.

 

[Mike0185]

Sooooo, danke für die Hilfe....

Ich habe glaub die Lösung gefunden und zwar habe ich nun an Server und Client, die beide ja hinter NAT stehen einen Reg.Eintrag lt. Microsoft Support vorgenommen.

https://support.microsoft.com/en-us/kb/926179/en-us


Seit dem und diversen Test-neustarts funktioniert die Einwahl. Ist es möglich dass das die Problemlösung ist?

Habe auf der FB 6360 nun folgendes freigegeben: TCP 1701, UDP 500, UDP 4500 und ESP 50.

 

[Mike0185]

Update: Habe nur noch die Ports UDP 500 und UDP 4500 offen.

Den Reg-Key musste ich bisher an jedem Client setzen, dann funktionierte nach einem reboot auch die Einwahl.
Vom Handy (S5) war es auch kein Problem.

TCP 1701 und ESP habe ich geschlossen. Die Einwahl funktioniert trotzdem sauber.

Vielleicht hilft es dem ein oder anderen....


Bisher geschieht die Einwahl mittels PSK (25 Stellen). Würdet ihr eher zu Zertifikaten raten oder reicht für 4-5 VPN-User die PSK-Variante?


Danke und Gruß
Mike

 

[VPN-noob]

Ich habe glaub die Lösung gefunden und zwar habe ich nun an Server und Client, die beide ja hinter NAT stehen einen Reg.Eintrag lt. Microsoft Support vorgenommen.

https://support.microsoft.com/en-us/kb/926179/en-us

Vielleicht hilft es dem ein oder anderen....

Leider funktioniert der Link nichtmehr :traurig:
Nächstes mal bitte einfach zusätzlich die Artikelüberschrift zitieren, danke!

 

[addicted]

Ich habe glaub die Lösung gefunden und zwar habe ich nun an Server und Client, die beide ja hinter NAT stehen einen Reg.Eintrag lt. Microsoft Support vorgenommen.

https://support.microsoft.com/en-us/kb/926179/en-us

Vielleicht hilft es dem ein oder anderen....

Leider funktioniert der Link nichtmehr :traurig:
Nächstes mal bitte einfach zusätzlich die Artikelüberschrift zitieren, danke!

https://support.microsoft.com/en-us/help/926179/how-to-configure-an-l2tp-ipsec-server-behind-a-nat-t-device-in-windows-vista-and-in-windows-server-2008