VPN-Anbindung eines Ubuntu an eine FRITZ!Box

Einige Fritzboxen können IPSec. Um dies für den Fernzugriff auf das Netzwerk hinter der Fritzbox nutzen zu können bietet AVM sogar einen einfach zu handhabenden IPSec-Client an. Diesen gibt es aber leider bis jetzt nur für Windows. Natürlich kann man auch von Ubuntu eine IPSec Verbindung zu einer Fritzbox aufbauen. Dazu benötigt man aber einen IPSec-Client. Am einfachsten ist es, wenn man hierzu den „Shrew Soft VPN Client“ verwendet, da dieser bei Ubuntu bereits als Paket im universe-Netzwerk bereit steht und einfach mit apt-get install ike installiert werden kann.

Eine sehr genaue Anleitung für die Konfiguration der Fritzbox und die Konfiguration des Clients findet man auf der Webseite von AVM.

Bei mir funktionierte die VPN-Verbindung allerdings erst, nachdem ich den rp-filter ausgeschaltet hatte. Dies erreicht man bei Ubuntu, indem man in den Dateien /etc/sysctl.conf und /etc/sysctl.d/10-network-security.conf die Zeilen rp_filter=1 in rp_filter=0 ändert und das System neu startet.

Weitere Informationen findet man im Wiki der Ubuntu-User unter: http://wiki.ubuntuusers.de/FritzBox_VPN

IPSec VPN zwischen FRITZ!Box und Securepoint V2007nx Firewall

Bei einer FRITZ!Box wird das VPN mit einer Konfigurationsdatei eingerichtet, die über das Webinterface eingespielt wird (Achtung das einspielen löst einen Neustart der FRITZ!Box aus). Nähere Informationen zu dem Thema FRITZ!Box und VPN können im AVM VPN Service-Portal gefunden werden.

Das Windows Programm zum erstellen der Konfigurationsdatei ist sehr puritanisch und lässt eine Einrichtung er VPN-Verbindung zu einer Securepoint V2007nx Firewall leider nicht zu. Allerdings kann man die Konfigurationsdatei hinterher mit einem Editor bearbeiten und es gibt im AVM VPN Service-Portal einige Beispielkonfigurationen. Leider hat in meinem Fall aber keine dieser Beispielkonfigurationen funktioniert. Also habe ich die Einstellungen der unterschiedlichen Beispielkonfigurationen mit einander kombiniert und schließlich die folgende Konfigurationsdatei mit einer Securepoint V2007nx Firewall (3DES/SHA in beiden Phasen und PFS) zum laufen bekommen:

/*
 
 * C:\Dokumente und Einstellungen\kristian\Anwendungsdaten\AVM\FRITZ!Fernzugang\hostname_dnsalias_net\fritzbox_hostname_dnsalias_net.cfg
 * Wed Apr 29 13:05:41 2009
 */
 
vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_lan;
                name = "Name der VPN-Verbindung";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 123.123.123.123;
                remote_virtualip = 0.0.0.0;
                localid {
                        fqdn = "hostname.dnsalias.net";
                }
                remoteid {
                        ipadr = 123.123.123.123;
                }
                mode = phase1_mode_idp;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "geheim";
                cert_do_server_auth = no;
                use_nat_t = no;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.31.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipnet {
                                ipaddr = 192.168.1.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2ss = "esp-3des-sha/ah-no/comp-no/pfs";
                accesslist = "permit ip any 192.168.1.0 255.255.255.0";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}
 
 
// EOF

Der Vollständigkeit halber hier die Konfiguration der beiden IPSec Phasen auf der Securepoint V2007nx Firewall:

IPSec Phase 1
IPSec Phase 1

IPSec Phase 2
IPSec Phase 2