Zwei IPSec VPN Server hinter einer IP

[Draco (Gast)]

Ich habe da ein eigenwillige Problem:

Ich habe über eine Fritzbox eine IPSec VPN Verbindung zu meinem internen 
LAN. Nun möchte ich jedoch für jemand Außenstehendes eine IPSec 
Verbindung zu einem Subnetz in meinem LAN einrichten.

Beide VPN Verbindungen funktionieren tadellos. Die mit der Fritzbox 
sowieso. Die VPN Verbindung zu dem Subnetz ist unter Debian 11 
realisiert.

Nun jedoch mein Problem: Um die VPN Verbindung über den Debian Server 
sicherzustellen, müsste ich ja die Ports von der Fritzbox an den Server 
weiterleiten. Da würde ja die VPN Verbindung mit der Fritzbox 
zusammenbrechen da diese ja sicherlich die selben Ports nutzt.

Die einzigste Möglichkeit (andere Ports) wären dann PPTP (Was ich 
wirklich vermeiden will) oder eben OpenVPN, was ich ebenfalls vermeiden 
möchte - da diese einen separaten Clienten benötigt.

Hat jemand eine Idee?

[San Miguel de Joker (Gast)]

Draco schrieb:
> PPTP (Was ich wirklich vermeiden will) oder eben OpenVPN

PPTP ist doch Schrott.

Allein schon das in Erwägung zu ziehen...

Nimm Wireguard und fertig aus. IPsec gehört auch ins Altersheim...

[Hannes J. (Firma: _⌨_) (pnuebergang)]

Die FritzBox kann mehrere IPSec VPNs gleichzeitig bedienen:

https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7590/117_Maximale-Anzahl-gleichzeitiger-VPN-Verbindungen-zur-FRITZ-Box/

Für Zugriff auf ein Subnet hinter einem weiteren Router muss man an 
einer Konfigurations-Datei rumeditieren:

https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7590/229_Mit-FRITZ-Fernzugang-auf-mehrere-IP-Netzwerke-hinter-der-FRITZ-Box-zugreifen/

Alternativ: Statt beide VPNs über die FB abzuwickeln beide über den 
Debian-Rechner abwickeln:

https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7590/169_VPN-Losung-eines-anderen-Herstellers-im-Heimnetz-einsetzen/

[Kevin M. (arduinolover)]

Benutz WireGuard...

[Draco (Gast)]

Ich werde wohl die Wireguard Alternative in Betracht ziehen.

Ich wollte nun eigentlich beide VPN Verbindungen über den Server laufen 
lassen, dies geht aber hinter einer Fritzbox gar nicht. Da die Fritzbox 
die Ports 500 und 4500 garnicht zu lässt zum forwarden. Selbst dann 
nicht, wenn IPSec VPN ausgeschaltet ist. Vielleicht ist Fritzbox doch 
nicht so das ware vom Ei. 🤷‍♂️

[Empfänger (Gast)]

Draco schrieb:
> Ich werde wohl die Wireguard Alternative in Betracht ziehen.
>
> Ich wollte nun eigentlich beide VPN Verbindungen über den Server laufen
> lassen, dies geht aber hinter einer Fritzbox gar nicht. Da die Fritzbox
> die Ports 500 und 4500 garnicht zu lässt zum forwarden. Selbst dann
> nicht, wenn IPSec VPN ausgeschaltet ist. Vielleicht ist Fritzbox doch
> nicht so das ware vom Ei. 🤷‍♂️

IPSEC ist speziell: 
http://www.internet-computer-security.com/VPN-Guide/NAT-T.html

[Rüdiger B. (rbruns)]

Hannes J. schrieb:
> Alternativ: Statt beide VPNs über die FB abzuwickeln beide über den
> Debian-Rechner abwickeln:
>
> 
https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7590/169_VPN-Losung-eines-anderen-Herstellers-im-Heimnetz-einsetzen/

Schon probiert?

[Guest (Gast)]

Draco schrieb:
> Vielleicht ist Fritzbox doch
> nicht so das ware vom Ei. 🤷‍♂️

Da hast du vollkommen recht, die Funktionen die sie als Firewall bietet 
sind doch sehr eingeschränkt. Alles schön und gut für den geneigten 
Anwender, der sie einstecken will und sonst nichts, sobald es aber mal 
um etwas mehr geht, geht ihr sehr schnell die Puste aus. Zum Glück lässt 
sie sich mittlerweile brauchbar als Modem nutzen, dann kann man eine 
brauchbare Firewall nachschalten.

[Draco (Gast)]

Rüdiger B. schrieb:
> Hannes J. schrieb:
>
>> Alternativ: Statt beide VPNs über die FB abzuwickeln beide über den
>> Debian-Rechner abwickeln:
>>
> 
https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7590/169_VPN-Losung-eines-anderen-Herstellers-im-Heimnetz-einsetzen/
>
> Schon probiert?

Ja brauche ich garnicht, da hinter der Fritzbox nur EINE VPN Verbindung 
zu einem Server hergestellt werden kann.

[(prx) A. K. (prx)]

Hast du eine echte IPv4 Adresse, egal ob statisch oder wechselnd, oder 
nur Dual Stack lite? Letzteres erlaubt überhaupt kein eingehendes IPsec 
über IPv4.

Du kannst nicht gleichzeitig auf der FB und intern die Ports nach aussen 
öffnen, sondern nur entweder oder.

Aber weshalb es nicht möglich sein sollte, einen einzelnen internen 
Router für mehrere IPsecs zu verschiedenen Peers zu verwenden, leuchtet 
mir gerade nicht ein.

[Andre (Gast)]

Empfänger schrieb:
> Vielleicht ist Fritzbox doch nicht so das ware vom Ei.

Die Fritzbox ist für simple Endanwender toll. Aber du merkst wie schnell 
man an den Grenzen der eingebauten Möglichkeiten ist, wenn es etwas 
komplizierter werden soll.
Wenn du da noch deutlich mehr machen willst, kann ich dir Software 
Router wie OpenWRT, pfSense, IPFire, anstelle der Fritzbox, empfehlen!

[Gerd E. (robberknight)]

Draco schrieb:
> Ich wollte nun eigentlich beide VPN Verbindungen über den Server laufen
> lassen, dies geht aber hinter einer Fritzbox gar nicht. Da die Fritzbox
> die Ports 500 und 4500 garnicht zu lässt zum forwarden. Selbst dann
> nicht, wenn IPSec VPN ausgeschaltet ist.

Doch, das geht wenn Du das IPSec der Fritzbox ausschaltest. Bei manchen 
Fritzbox-Modellen musst Du allerdings nach dem Ausschalten des IPSec 
erst einen Reboot machen bevor das Portforwarding für UDP 500 und 4500 
funktioniert.