Kein Zugriff auf das Internetbox3 GUI wenn per VPN verbunden

Millhaus

Hallo zusammen

Ich habe es geschafft, den VPN-Zugang zu meiner Internetbox 3 einzurichten per IKEv2. Zwei Clients sind bereits eingerichtet (1x Android und 1x Ubuntu) und können sich problemlos verbinden (ok, zugegeben, auf Ubuntu war es ein ziemliches Gefrickel).

Damit komme ich auf alle Geräte in meinem Heimnetz, ausser kurioserweise die Internetbox selbst. Pingen kann ich sie, nur das Web-GUI lädt nicht.

Die Firewall der IB3 habe ich mal deaktiviert, machte keinen Unterschied.

Liegt es evtl an meiner Non-Custom Adresse der IB3? Ich verwende ein 10.0.x.x Netz anstatt des 192.168.1.x

Die VPN-Clients erhalten jeweils eine IP aus dem DHCP Bereich, Applikations-IP ist auf automatisch gesetzt.

Noch jemand eine Idee?

Werner

Millhaus

Das Du der IB selbst ein Netz mit 10.0…. gegeben hast könnte schon zu einem Problem mit VPN-Verbindungen führen, denn VPN-Verbindungen bauen ihre Verbindungen innerhalb des Stamm-IP Netzes sehr häufig über ein zusätzliches virtuelles Netz auf, welches ebenfalls im Bereich 10.0… liegt.

Als Benutzer hat man auf der IB keine Möglichkeit die konkreten Routingtabellen der Internetbox nachzuschauen, und somit dann auch den für die VPN-Verbindung spezifisch konkret verwendeten IP-Bereich zu erkennen.

Als Beispiel, wie so etwas aussieht, aber nachstehend mal die IPv4-Routingtabelle meines Merlin-Routers mit einem VPN-Tunnel, welcher auf dem Defaultnetz einer Open VPN Server-Verbindung des tun21 landet (4.Zeile der Tabelle):

Als Test würde ich der IB also einfach mal einen anderen 10er-IP-Bereich geben, oder falls Du ganz sicher gehen willst, auf einen IP-Bereich im 172er oder im 192er Bereich ausweichen.

Ein detaillierte Erklärung der zur Verfügung stehenden privaten IP-Bereiche findet man auch hier:

https://de.wikipedia.org/wiki/Private_IP-Adresse

POGO 1104

Normalerweise sollte der Zugriff auf 192.168.1.1 gehen per VPN ohne besondere Vorkehrungen....

Lokaler Zugriff geht problemlos? Weil da gibts bei einigen Kunden ein generelles Problem.....

WalterB

@Millhaus

Hast Du es nach den Vorgaben unten beim Link eingerichtet?

https://www.swisscom.ch/de/privatkunden/hilfe/internet/vpn-server.html

Millhaus

Ja, anhand der Anleitung. Drei Benutzer, einen Pre-Shared Key, IKEv2, Adresse per DynDNS blabla.internet-box.ch

Mein IB3 hat die IP `10.0.0.1/19`, nicht `192.168.1.1/24`, darum dachte ich es liegt vlt daran, dass die Standard-IP irgendwie intern fest verdrahtet ist in der Firewall und der Zugriff vom VPN-Client (mit der IP 10.0.10.99) als Zugriff von extern betrachtet wird, obwohl er sich ja im Heimnetz befindet.

Anderer Gedanke, der mir kam, ist ob das evtl ein Sicherheits Feature ist, also dass man die IB grundsätzlich nicht per VPN-CLient verwalten kann, sondern lokal ans Netz gehängt sein muss? Aber wenn es bei euch klappt wenn eure IB die 192.168.1.1 hat, dann liegts wohl nicht daran.

POGO 1104

Meine IB4 hat die IP 192.168.11.1 und ich komme aufs GUI der IB per VPN.

Nutze aber einen Wireguard Server auf einem Raspi 4, nutze nicht den VPN der IBx

Millhaus

Merci Werner, ja das könnte natürlich überlappen!

War glaubs hier aber kein Problem, bin nämlich schon einen Schritt weiter gekommen:

Auf dem Android Client hab ich bemerkt, dass der Aufruf von "10.0.0.1" nach ein paar Minuten übergeht in "internetbox.swisscom.ch konnte keine Verbindung herstellen..."

ERLEUCHTUNG -> ich habe ja auch noch 2 eigene DNS (PiHoles) anstatt der Swisscom Nameserver, klar dass der das dann nicht finden kann, ich Wurst 🙈

Ich hab nun den PiHoles im local DNS der Domain "internetbox.swisscom.ch" die 10.0.0.1 zugewiesen, Client Lease erneuert, und BING, es funktioniert 🍾

Nur auf dem Ubuntu klappts noch nicht, aber das ist eh ein Gewurste mit dem Strongswan/charon/NetworkManager Zeugs 😵

Walter_Wp

Vielleicht funktioniert es via My Swisscom?

>Ihre Produkte >Internet >Ihr Router

Dann in der Kachel "Weitere Internet-Box Funktionen":
>Zu den Router Einstellungen

Laut Info-Tag soll der Zugriff nur im Heimnetz möglich sein, könnte aber auch via VPN funktionieren...

Walter

Millhaus

Merci Pogo, yep, das wäre mein Workaround gewesen, wenn ich es per eingebauten IB VPN nciht hinbekäme.. dann halt eigenen VPN-Server auf zB den Raspi oder eine der VMs.. mach ich vlt trotzdem noch, falls ich den Client aufm Ubuntu nicht mehr hinbekomme 🙂

r00t

Hi @Millhaus

mach ich vlt trotzdem noch, falls ich den Client aufm Ubuntu nicht mehr hinbekomme 🙂

Ich würde mir das nur schon aus Performancegründen mal überlegen 😉.

r00t

Millhaus

hab das mal probiert per myswisscom:

Es sucht dann vergeblich nach "internetbox.swisscom.ch", trotz der lokalen DNS EInträge, ich vermute mal das ist in der IB auf Standard IP verdrahtet ohne die konfigurierten DNS zu konsultieren?

Sollte aber tatsächlich bei normalen Setup auch per VPN gehen, auf dieser Seite steht ja "nur im Heimnetz möglich" und da zähle ich VPN Clients mal dazu 😉

Millhaus

Nochmal herzlichen Dank euch allen für's Mitdenken 😊

Zugriff per Android Client auf die Box klappt, genügt mir für den Notfall um mal etwas an Portweiterleitungen zu schrauben von extern. Für den Rest werde ich wohl noch eigenen VPN-Server einbauen... flutscht wohl auch schneller wie @r00t schon anmerkte 😉

Werner

@Millhaus

Das Thema Swisscom VPN Server mit IKEv2 ist auf den Internetboxen auch noch nicht wirklich finalisiert.

Was man bis jetzt mit Sicherheit weiss:

- iOS-Clients und Anroid-Clients funktionieren

- Windows-Clients funktionieren sicher nicht

Was zumindest ich noch nicht weiss:

- Mac-Clients?

- Linux-Clients?

Selbst betreibe ich VPN-Server, falls möglich immer als Open VPN Server, stabil, schnell, flexibel, gut dokumentiert, gut kontrollierbar.

Einen zusätzlichen WireGuard-Server auf einem Raspi betreibe ich zwar auch noch, aber so richtig warm geworden bin ich mit den Einschränkungen, welche es bei WireGuard noch haufenweise gibt (z.B. keine Benutzerverwaltung, kein vernünftiges Loging, keinen Status zur Verbindungskontrolle, etc.) noch nicht.

Ist halt einfach eher ein statusloses P2P-Netzwerk für Ad-Hoc-VPN-Verbindungen. 🙂

r00t

Hi @Werner

- Mac-Clients?

Hat zumindest bei meinen Tests immer auf Anhieb geklappt 😃 (Mit IPSec)

Einen zusätzlichen WireGuard-Server auf einem Raspi betreibe ich zwar auch noch, aber so richtig warm geworden bin ich mit den Einschränkungen, welche es bei WireGuard noch haufenweise gibt (z.B. keine Benutzerverwaltung, kein vernünftiges Loging, keinen Status zur Verbindungskontrolle, etc.) noch nicht.

Ist halt einfach eher ein statusloses P2P-Netzwerk für Ad-Hoc-VPN-Verbindungen. 🙂

Yep, ist ja auch noch "relativ" neu. Dafür nutzt es moderne crypto und ist (auch weil es so schlank ist blazing-fast 😉.)

Ich habe das Gefühl, dass WG nie alle Features von OpenVPN übernehmen wird, sondern die "fehlenden" Features um den Tunnel herum entwickelt werden. Gibt bereits einige Projekte wie z.B. Firezone. Bleiben wir gespannt, was noch kommt. Fürs Homelab reicht es mir auf jeden Fall schon.

r00t