TwoCom Online-Forum

[no-one]

Konfiguration von IPSec-Einwahl in ein VPN unter Verwendung des VPN-Smart Tools (Firmware 2.2.2 englisch auf Vigor 2300)
Alle Punkte auf die ich hier nicht weiter eingehe, müssen für die Einwahl nicht konfiguriert werden.

Vigor:

(VPN-Einwahl)
-aktivieren von L2TP und IPSec

(PPP Setup)
-Dial In PPP Authentication PAP oder Chap. Username und Password
(wobei mir dieser Menüpunkt nicht klar ist im Zusammenhang mit VPN, da die Einwahl über VPN nicht von PPP-Username und PW abhängig zu sein scheint. Habe einen anderen Usernamen für meinen Dial-In-Provider sowie andere Usernamen fürs VPN)
Evtl. kann mir das Jemand mal näher erklären...
IP habe ich auf 0.0.0.0 gesetzt

(VPN IKE/IP Setup)
Pre-Shared Keys: Hier muss der entsprechende Key eingetragen werden. Die Wahl ist frei. Theoretisch kann hier der Name der Freundin/der Straßenname oder 123... eingetragen werden. Natürlich muss aus Gründen der Sicherheit ein vernünftiger Key gewählt werden. Am Besten ist eine alphanumerische Kombination mit Sonderzeichen. Ein Key könnte so aussehen: Fds?3D§sa-7nD/34e)DF

Dieser Key muss später dann auf den jeweiligen Client-Computer (also der Computer der sich in das VPN einwählen soll) übertragen werden.

(IPSec Methode)
Hier kann zwischen "Mittel" (AH) und "Hoch" (ESP) gewählt werden.
Kreuzt man beide an, funktioniert nichts. Warum Draytek diese Option anbietet ist mir nicht klar. (auch die Einwahl über das VPN-Tool, welches die Funktion 3DES + MD5 gleichzeitg unterstützt, funktioniert nicht)

Welche der beiden Funktionen man nutzt, bleibt jedem selbst überlassen bzw. ist es eine Sicherheitsfrage.
Beide Funktionen (einzeln) funktionieren definitiv!
Bei ESP kann dann zwischen den einzelnen Algorithmen gewählt werden (DES oder 3DES) Da 3DES den höherern Schutz bietet, sollte 3DES gewählt werden.

(Remote-Dial-In-User)
Hier werden die jeweilgen User definiert. L2TP muss aktiviert werden, wahlweise mit oder ohne IPSec. In meinem Falle L2TP + zwingend IPSec notwendig.
Profil aktivieren!!!

Username und PW müssen später identisch auf dem Client-Rechner übernommen werden.

Soweit zu der Konfiguration des Vigor.

Jetzt kommen wir zum Client und ab jetzt wird es etwas undurchsichtig.

Vorab: Eine manuelle Installation vom VPN ging immer mit irgendwelchen dubiosen Fehlermeldungen beim Verbindungsaufbau den Bach runter. ...Modem anwortet nicht...Timeout erreicht...Bei der Aushandlungen der Sicherheitsrichtlinien ist ein Fehler aufgetreten...etc...

Also habe ich notgedrungen das VPN-Tool von Draytek genommen (www.draytek.com.tw)
Doch auch da gibt es noch ein paar Tücken.

1. Tool installieren und den Config-Button drücken, danach PC neu starten.
2. Tool starten und am Besten den DIAL-IN Button zur Einwahl nutzen!
Dieser Punkt ist wichtig, sonst klappt der Verbindungsaufbau erst einmal gar nicht (auch wenn dort steht: if you have allready get a puplic IP, you can skip this step...)
Dazu komme ich gleich noch.

3. Connect-Button drücken und auf zum nächsten Pop-Up Fenster
4. IP des Vigor eintragen, dann Username/Passwort das vorher im Vigor unter "Remote-Dial-In-User" eingetragen wurde, im Tool eintragen.
5. In meinem Fall L2TP over IPSec aktivieren.
6. Chap anklicken. PAP funktionierte bei mir nicht.
7. Jetzt kommt der Haken, warum es bei mir (und vermutlich bei vielen anderen) nicht ging: Wird der Haken "Use default Gateway on Remote Network" nicht aktiviert, klappt keine Verbindung, wenn man sich vorher schon zu seinem Provider eingewählt hat.
Ich will es anders formulieren:
Baue ich per Hand eine DFÜ-Verbindung auf (z.B. T-Online) und starte das Tool, überspringe Schritt 2 (ich habe ja bereits eine öffentliche IP), klappt der Connect zum VPN nur, wenn besagter Haken aktiv ist. Andernfalls folgen die oben genannten Fehlermeldungen.
Aktivere ich diese Option nicht, geht die Einwahl ins VPN nur, wenn der Dial-In-Provider-Username und der Username im VPN-Dial-In-Account auf dem Vigor identisch sind. Gleiches scheint auch auf das PW zuzutreffen.
Warum dies so ist, habe ich bisher nicht rausbekommen.
Nutze ich zur ISP-Einwahl das VPN-Tool, gibt es keine Probleme.
8. Bei My IP trägt sich die dyn. IP des ISP von selbst ein.
9. IP des Vigor eintragen
10. Security-Methode: Hier muss die gleiche Einstellung wie beim Vigor übernommen werden.
In meinem Fall ESP mit 3DES. In dem Pull-Down-Menü kann z.B. auch 3DES + MD5 angewählt werden. Dies funktioniert, wie bereits erwähnt, nicht. Die Einstellung 3DES allein funktioniert einwandfrei.
11. Bei Pre-Shared Key den im Vigor vergebenen Key eintragen.

OK. drücken und hoffen, dass die Verbindung klappt.


Wer möchte, kann jetzt die Einstellungen aus der angelegten VPN-Verbindung für spätere Versuche ohne das Tool übernehmen und testen. Eine Einwahl ohne das Tool ist mir bis jetzt nicht gelungen. Selbst wenn ich direkt auf das von der Software angelegte Verbindungs-Symbol "to Vigor" klicke und die Verbindung damit starte, bekomme ich eine Fehlermeldung. Das ist seltsam, da das Tool ja angeblich nur die Einstellungen richtig vornimmt. Doch wenn die Einstellungen stimmen, wieso geht es dann ohne das Tool über die angelgte Verbindung nicht???

An einer Lösung wäre ich brennend interessiert...

Viel Erfolg!!!

Gruß
no-one

P.S: Sollte etwas unverständlich sein, Mail an mich oder einfach posten.