VPN Problem: Nach Beschränkung der accesslist kein Zugriff auf andere Geräte

[martin_1]

Hallo,

ich habe eine Frage zum Fritzbox-VPN, vielleicht kann mir dazu jemand weiterhelfen:

Ich möchte den Zugang von Fritzbox B (192.168.0.1) auf Fritzbox A (192.168.1.1) auf eine IP (192.168.1.10) beschränken. Umgekehrt soll jedoch ein Vollzugriff erlaubt sein.

Dazu sieht die Accesslist der A-Box so aus:

accesslist = "permit ip 192.168.1.10 255.255.255.255 192.168.0.0 255.255.255.0";

B-Box:

accesslist = "permit ip any 192.168.100.0 255.255.255.0";

Das klappt auch wunderbar. Aus Netzwerk B kann man nur auf die IP 192.168.1.10 zugreifen. Was ich jedoch jetzt feststelle: Ich kann keinen weiteren Netzwerkzugriff untereinander erreichen! Also alle anderen Anfragen werden blockiert, sei es von A nach B, oder von B nach A! Ich kann nicht einmal die Oberflächen der Fritzbox aufrufen (jeweils 192.168.x.1, also aus dem jeweils anderen Netz).

Habe ich etwas übersehen?

Selbst zusätzliche IP-Bereiche in den Accesslisten bringen keine Besserung:

A-Box:

accesslist = "permit ip any 192.168.1.0 255.255.255.0",
"permit ip 192.168.0.0 255.255.255.0 192.168.1.1 255.255.255.255";

oder:

accesslist = "permit ip any 192.168.1.0 255.255.255.0",
"permit ip 192.168.0.1 255.255.255.255 192.168.1.1 255.255.255.255";

Hat jemand einen Tipp?

Hat keiner eine Idee?

 

[Gismotro]

AW: VPN Problem: Nach Beschränkung der accesslist kein Zugriff auf andere Geräte

So wie es aussieht nicht.

 

[surfen01]

AW: VPN Problem: Nach Beschränkung der accesslist kein Zugriff auf andere Geräte

Spoiler

Hallo,

ich habe eine Frage zum Fritzbox-VPN, vielleicht kann mir dazu jemand weiterhelfen:

Ich möchte den Zugang von Fritzbox B (192.168.0.1) auf Fritzbox A (192.168.1.1) auf eine IP (192.168.1.10) beschränken. Umgekehrt soll jedoch ein Vollzugriff erlaubt sein.

Dazu sieht die Accesslist der A-Box so aus:

accesslist = "permit ip 192.168.1.10 255.255.255.255 192.168.0.0 255.255.255.0";

B-Box:

accesslist = "permit ip any 192.168.100.0 255.255.255.0";

Das klappt auch wunderbar. Aus Netzwerk B kann man nur auf die IP 192.168.1.10 zugreifen. Was ich jedoch jetzt feststelle: Ich kann keinen weiteren Netzwerkzugriff untereinander erreichen! Also alle anderen Anfragen werden blockiert, sei es von A nach B, oder von B nach A! Ich kann nicht einmal die Oberflächen der Fritzbox aufrufen (jeweils 192.168.x.1, also aus dem jeweils anderen Netz).

Habe ich etwas übersehen?

Selbst zusätzliche IP-Bereiche in den Accesslisten bringen keine Besserung:

A-Box:

accesslist = "permit ip any 192.168.1.0 255.255.255.0",
"permit ip 192.168.0.0 255.255.255.0 192.168.1.1 255.255.255.255";

oder:

accesslist = "permit ip any 192.168.1.0 255.255.255.0",
"permit ip 192.168.0.1 255.255.255.255 192.168.1.1 255.255.255.255";

Hat jemand einen Tipp?

Hat keiner eine Idee?

Du kannst über eine Subnetzmaske den Zugriff einschränken.
Z.Bsp 255.255.255.252 auf die ersten zwei IP-Nummern.
Einzelne Geräte wird schwierig, aber du kannst auch mehrere IP-Netze incl. Subnetzmasken mit "," getrennt eintragen.
In der Box A werden alle IP-Nummernkreise, welche Zugriff auf die Box A haben sollen eingetragen und umgekehrt.
Auf welche IP-Nummernkreise der Box A die fremde Box Zugriff haben soll wird in der phase2localid eingetragen.

(

Sie müssen registriert sein, um Links zu sehen.

)

 

[martin_1]

AW: VPN Problem: Nach Beschränkung der accesslist kein Zugriff auf andere Geräte

Vielen Dank. Ich hoffe du gestattest mir einige Ergänzungsfragen:

Kannst du mir erklären, warum es mit einzelnen Geräten schwierig wird? Ich dachte, es sei möglich auch gezielte IPs anzusprechen (192.168.x.x 255.255.255.255)

In der Box A werden alle IP-Nummernkreise, welche Zugriff auf die Box A haben sollen eingetragen und umgekehrt.

Ok, danke. Aber ist es nicht genau das: accesslist = "permit ip any 192.168.100.0 255.255.255.0"; ?

Auf welche IP-Nummernkreise der Box A die fremde Box Zugriff haben soll wird in der phase2localid eingetragen.

Wie unterscheidet sich dieser von der accesslist? Bisher sieht dieser Bereich bei mir so aus:

phase2localid {
ipnet {
ipaddr = 192.168.1.0;
mask = 255.255.255.0;
}

Wie sollte dieser angepasst werden?

Danke!

 

[surfen01]

AW: VPN Problem: Nach Beschränkung der accesslist kein Zugriff auf andere Geräte

phase2localid {
ipnet {
ipaddr = 192.168.1.0;
mask = 255.255.255.224;
}
}
phase2remoteid {
ipnet {
ipaddr = 192.168.2.0;
mask = 255.255.255.252;
}
}
phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any 192.168.2.0 255.255.255.252,
"permit ip any 192.168.6.0 255.255.255.0",
"permit ip any 192.168.7.0 255.255.255.0";




Hier haben vom 2er netz 2 Geräte auf die ersten 32 IP-Nummern des 1 er Netz zugriff.
Zusätzlich haben alle IPs de 6er und 7 netzes Zugriff. Diese 2 netze werden über das 2 er Netz geroutet. Ich hab noch nicht getestet ob es mit einzelnen IP Nummern funktioniert.
Wichtig ist es auf jedenfall, dass in der anderen Konfiguration die Definitionen dazupassen.


Vielleicht hilft das.

Die accesslist ist nur für die Einschränkung der entfernten IP's so viel ich weiß. Phase2localid müsste steuern auf was man zugreifen kann. Die local muss jedoch zur remote der anderen Fritzbox passen und umgekehrt.

 

[martin_1]

AW: VPN Problem: Nach Beschränkung der accesslist kein Zugriff auf andere Geräte

Das probiere ich aus, vielen Dank!

 

[martin_1]

AW: VPN Problem: Nach Beschränkung der accesslist kein Zugriff auf andere Geräte

Kannst du mir diese beiden Zeilen noch kurz erläutern? Wozu sind diese da?

"permit ip any 192.168.6.0 255.255.255.0",
"permit ip any 192.168.7.0 255.255.255.0";

Ich habe ja eigentlich keine Nezte mit "192.168.6.0" und "192.168.7.0". Ich habe ja nur "192.168.1.0" und "192.168.2.0", um bei deinem Beispiel zu bleiben.

 

[surfen01]

AW: VPN Problem: Nach Beschränkung der accesslist kein Zugriff auf andere Geräte

Das war nur ein Beispiel, falls noch weitere Netze zugreifen sollen. In diesem Fall dann nicht relevant.