Hast Du die Möglichkeit zusätzlich auf dem Handy eine VPN Verbindung einzurichten um zu schauen ob das funktioniert.
Internet-Box 2, 3 und 4 erlauben drei gleichzeitige Verbindungen. Dafür müssen drei VPN-Benutzer erstellt werden. Pro Benutzer ist nur eine Verbindung erlaubt.
Installationen, Netzwerk, Internet, Computertechnik, OS Windows, Apple und Linux.
Vom Handy aus funktioniert es.
Ich versuche nochmals die Einrichtung mit L2TP Protokoll.
Ihr hört wieder von mir.
LG Pat
Du hast ja beim Windows 11 sicher die neusten Update drauf den es gab früher mal Probleme mit VPN.
https://de.minitool.com/nachrichten/microsoft-behebt-windows-update-vpn-problem.html
Installationen, Netzwerk, Internet, Computertechnik, OS Windows, Apple und Linux.
Ich habe das gleiche Problem, 9 von 10 Mal geht es nicht. Mit einem Windows 10 Gerät oder MacOS geht es ohne Probleme. Ich empfehle dir eine kleine Firewall hinter die IB zu stellen und über diese die VPN Verbindung herzustellen.
Danke für den Tipp mit der zusätzlichen Firewall. Das möchte ich lieber vermeiden, falls es auch ohne geht.
Ich habe auch L2TP vergebens versucht. Ich vermute, es liegt an der Kombination "Windows 11 mit der Internet-Box 2 (IB2).
Weiss jemand, ob es eine VPN-Client Software gibt, die mit der IB2 funktioniert?
Kann/Müsste ich auf Seite IB2 eine solche VPN-Server App installieren? Geht das überhaupt?
BG Pat
Abgesehen von Deinen aktuellen Problemen ist L2TP eigentlich bereits veraltet und hat auch Security-mässig nicht mehr den besten Ruf, weshalb es von den neueren Androidversionen auch schon gar nicht mehr unterstützt wird.
State-of the-Art VPN-Server für den Privatgebrauch sind aktuell Open VPN Server und WireGuard.
Beides wird bis jetzt von den Swisscom Internetboxen leider noch nicht unterstützt. Ob da mal noch was kommt, weiss man nicht.
Die allermeisten, welche VPN-Verbindungen ins Heimnetz öfters benutzen haben sich deshalb bereits ohne den VPN-Server der Internetbox selbstständig organisiert.
Dafür gibt es mehrere Möglichkeiten und Konzepte:
- VPN-Paket auf einem NAS, z. B. Open VPN Server auf einem Synology NAS
- kaskadierter zusätzlicher eigener Router mit eigenem Netz hinter der Internetbox, welcher Open VPN-Server und/oder WireGuard bereits von “Hause auf” beherrscht
- Rasperry PI als zusätzlicher Mini-PC im Netzwerk mit dem da drauf installierten Paket PIVPN (Open VPN Server und WireGuard)
- andere Zusatzgeräte im Netzwerk, wie z.B. Brume 2 und ähnliche, welche VPN-Server-Fähigkeiten bereits vorinstalliert mitbringen (Open VPN Server und WireGuard)
Alle Alternativen zum aktuellen VPN Server der Internetboxen sind nicht nur flexibler in der Verwendung, sondern funktionieren erfahrungsgemäss auch weitaus stabiler und performanter.
Hobby-Nerd ohne wirtschaftliche Abhängigkeiten zur Swisscom
Hallo Werner
Herzlich danke für Deine klare Antwort.
Mein eigentliches Ziel ist es, auf via VPN auf das Laufwerk des QNAP NAS zuzugreifen.
Als erstes versuche ich also, eine VPN App von QNAP zu finden und anzuwenden.
Ich bin gespannt, ob mir das gelingt und melde mich wieder.
LG
Pat
Dafür musst du den Port 1194 (UDP) auf der IB2 zum NAS weiterleiten (Portweiterleitung).
Allerdings ist diese Methode nicht sehr sicher, aber immer noch besser, als das QNAP direkt ins Internet zu hängen.
@Sc00by schrieb:
Dafür musst du den Port 1194 (UDP) auf der IB2 zum NAS weiterleiten (Portweiterleitung).
Allerdings ist diese Methode nicht sehr sicher,……
Darüber kann man diskutieren, ob das “unsicher” ist - was ist denn DIE sichere Alternative?
Ein VPN-Server LAN-seitig der Internetbox MUSS ja per Portforwarding erreichbar sein, da hat man afaik keine andere Möglichkeit, sofern man eine Internetbox als alleiniges CPE verwenden möchte
….keep on rockin' 🤘🏼🤘🏼🤘🏼
Auf Open VPN Servern ist der Port im Regelfall frei wählbar und dann ist es eben genau nicht empfehlenswert den Default-Port UDP 1194 zu benutzen.
Entscheidet man sich z.B. für so etwas wie UDP 55123 befindet man sich damit erstens nicht mehr Standard-Port-Scanning-Bereich der Internet-Bots und zusätzlich ist von aussen auch nicht mehr an der Portnummer erkennbar, dass dahinter spezifisch ein Open VPN Server steckt, welchen man dann bewusst auf eventuelle Schwachstellen im dabei verwendeten Kommunikationsprotokoll “abklopfen” könnte.
Gegenüber dem Internet möglichst wenig von seinem eigenen Netz bekannt zu geben ist eigentlich immer eine gute Idee 
Hobby-Nerd ohne wirtschaftliche Abhängigkeiten zur Swisscom
Das ist richtig, meine Angaben waren für den Standard-Port, welcher natürlich angepasst werden kann und auch sollte. Ging vorallem um die Portweiterleitung, welche auf der IB2 eingerichtet werden muss.
Guter Tipp @Werner
@POGO 1104 aus meiner Sicht eine richtige Firewall wo ich nicht das ganze interne Netzwerk offen habe und mit Firewall Regeln nur die Systeme mit entsprechendem Port öffne und ein richtiges Logging habe. Country Blocking ist auch etwas, worauf ich nicht mehr verzichten möchte, 99,9% der Attacken kommen nicht aus der CH
@Sc00by schrieb:
@POGO 1104 aus meiner Sicht eine richtige Firewall wo ich nicht das ganze interne Netzwerk offen habe und mit Firewall Regeln nur die Systeme mit entsprechendem Port öffne und ein richtiges Logging habe. Country Blocking ist auch etwas, worauf ich nicht mehr verzichten möchte, 99,9% der Attacken kommen nicht aus der CH
Klar, gibts diverse Möglichkeiten….
Aber irgendwie muss man als Privatanwender auch mal “die Kirche im Dorf” lassen….
Jeder so wie er kann znd möchte…..
….keep on rockin' 🤘🏼🤘🏼🤘🏼
@Werner schrieb:
Abgesehen von Deinen aktuellen Problemen ist L2TP eigentlich bereits veraltet und hat auch Security-mässig nicht mehr den besten Ruf
L2TP in Kombination mit IPSEC ist heute bei korrekter Implementierung und Konfiguration eine sichere Lösung für einen VPN-Tunnel auf OSI-Schicht 2.
https://www.elektronik-kompendium.de/sites/net/1410061.htm
https://www.heise.de/hintergrund/VPN-Knigge-270796.html?seite=all
L2TP ohne IPSEC ist eine unsichere VPN-Tunnellösung.
https://www.elektronik-kompendium.de/sites/net/0906131.htm
Wenn es eine herstellerunabhängige und zukunftssichere VPN-Tunnellösung auf OSI-Schicht 3 sein soll, dann ist heute der Einsatz von IKE Version 2 in Kombination mit IPSEC angebracht (IKEv2/IPSEC). Hilfestellung dazu:
https://www.lancom-forum.de/fragen-zum-thema-vpn-f14/vpn-via-android-client-t17229.html#p97795
Wenn kein dringender Bedarf an die Übertragung von Datenpakete von Netzwerkprotokollen der OSI-Schicht 2 vorhanden ist (z.B. ARP), sollte die Problematik von OSI Schicht 2-Tunnellösungen vermieden werden und eine VPN-Tunnellösung auf OSI-Schicht 3 realisiert werden. => Nur IP-Datenpakete werden getunnelt und von den Routern weitergeleitet.
Irgendwo habe ich mal gelesen, dass Mobilfunknetzwerkbetreibern wie Swisscom gerne L2TP/IPSEC für die Anbindung der Mobilfunkantennen über unsichere Netzwerkverbindungen an das Kernnetzwerk des Mobilfunks verwenden.
Eine Argumentation gegen den Einsatz von OpenVPN oder Wireguard findet man unter:
https://www.lancom-forum.de/lancom-feature-wuensche-f22/wireguard-t18159.html#p103229
von einem Softwareentwickler/Programmierer. Aber ja, leider ist die grosse Mehrheit der Privatkunden mit der Konfiguration eines VPN-Tunnels per IKEv2/IPSEC schlicht überfordert…
Auf dem Raspberry Pi kann StrongSwan verwendet werden. StrongSwan ist ein mit Schweizer Steuergeldern finanzierte Open Source-VPN-Lösung für IKEv2/IPSEC.
https://de.wikipedia.org/wiki/StrongSwan
Einen Einstieg zum Thema “StrongSwan als VPN-Server auf dem Raspberry Pi” bietet:
Beim Einsatz von StrongSwan kann das besonders schützenswerte Maschinenzertifikat in einem HSM gelagert werden. Siehe dazu:
https://www.lancom-forum.de/fragen-zum-thema-vpn-f14/adv-vpn-client-und-mfa-t20326.html
Konfigurationsempfehlungen für den Einsatz von IKEv2/IPSEC bietet BSI TR-02102-3:
Konfigurationsempfehlungen für den Einsatz eines SSL-VPN (https://de.wikipedia.org/wiki/SSL-VPN) bietet BSI TR-02102-2:
https://openvpn.net/vpn-server-resources/change-encryption-cipher-in-access-server/
Klar sollte sein, dass sich jeder VPN-Endpunkt vollständig unter eigener Kontrolle befinden muss. Ein Kabelmodem (hier: Internet Box) ist dank dem Fernkonfigurationsprotokoll TR-069 und den automatischen Firmware-Updates vom Internetanschlussanbieter (ISP) NIE vollständig unter der Kontrolle des Privat- oder Geschäftskunden. Siehe dazu:
https://community.swisscom.ch/t5/Mobile/SIM-SWAP-maximaler-Schutz/m-p/810037#M14267
https://de.wikipedia.org/wiki/TR-069
Sinnvoller als die Verschleierung des vom VPN-Server verwendeten TCP- oder UDP-Ports wäre die Implementierung eines wirkungsvollen Schutzes vor DDoS-Angriffen. Siehe dazu:
- SSL-VPN => TCP SYN floods protection
https://openvpn.net/blog/vpn-prevent-ddos/
- IKEv2 => Session Cookie (Cookie-Austausch)
https://www.heise.de/hintergrund/Einfacher-VPN-Tunnelbau-dank-IKEv2-270056.html?seite=all
https://www.lancom-forum.de/viewtopic.php?p=114107
Und ja, bei VPN-Produkten sind alle Sicherheitsupdates immer so schnell wie möglich zu installieren. Einige Firmen sind mit ihren SSL-VPN-Produkten beim Einspielen von Sicherheitsupdates sehr lasch unterwegs:
Oder die von den Firmen und Behörden eingesetzten SSL-VPN-Produkte von zahlreichen, namhaften Herstellern sind schlicht “per Design” unsicher:
Hallo Zusammen
Ich danke herzlich für Eure Beiträge.
Mein VPN- und Netzwerk-Wissen ist noch relativ schmal. Zur Zeit fühle ich mich mit der Unsetzung überfordert.
Ich denke, die beste Lösung ist es, nach der IB2 eine VPN-Firewall einzurichten. Da gibt es z.B. Produkte von Zyxel, die mir dafür geeignet scheinen. Die Firewall würde ich dann direkt zwischen der IB2 und dem Heimnetz schalten. So könnte ich dann bei Bedarf mittels WireGuard von meinen Road Warriors aus eine VPN Verbindung aktivieren und z.B. mit dem Windows11-Explorer das NAS Netzlaufwerk einbinden.
Momentan kommen wir von aussen via Browser auf das NAS File-Manager-App und können situativ Dateien runterladen, bearbeiten und hochladen. Ist zwar noch umständlich, doch kann man arbeiten.
Somit schliesse ich diesen Beitrag als gelöst und wende mich zu gegebener Zeit der Umsetzung der komfortableren Lösung zu.
Beste Grüsse und nochmals vielen Dank Euch allen.
Pat
