meister00
Goto Top

VPN mit 2 Netgear FVS318

hallo,

ich habe 2 standorte mit stat. ip.
an jedem standort steht ein netgear fvs318.
der vpn zwischen den beiden geräte steht, aber ich kann kein gerät dahinter erreichen-
der ping funktioniert nicht.

bzw. beim standort a, kann ich alle geräte anpingen.
vom standort b aus kann ich nur den netgear am standort a anpingen nicht aber die geräte, was
mache ich falsch.


thx

Content-Key: 171957

Url: https://administrator.de/contentid/171957

Ausgedruckt am: 28.03.2024 um 12:03 Uhr

Mitglied: dog
dog 23.08.2011 um 22:19:24 Uhr
Goto Top
was mache ich falsch.

Nach eingehender Analyse aller vorliegenden Infos komme ich zu folgendem Schluss:
Du machst was falsch.
Mitglied: goscho
goscho 23.08.2011 um 22:53:26 Uhr
Goto Top
Hallo meister00,
was dog dir mit seinem passenden Statement sagen möchte, ist, dass du wichtige Infos unterschlagen hast.
Gib doch mal an, wie die internen IP-Adressen der Router lauten.
Mitglied: meister00
meister00 23.08.2011 um 22:57:53 Uhr
Goto Top
standort a: 192.168.100.xxx
standort b: 192.168.101.xxx
Mitglied: goscho
goscho 23.08.2011 um 23:20:27 Uhr
Goto Top
Firmware der Router aktuell?
Was für BS mit welchen Firewalls?
Sicher, dass das VPN zwischen den beiden FVS richtig steht?
Mitglied: Pjordorf
Pjordorf 23.08.2011 um 23:46:36 Uhr
Goto Top
Hallo goscho,

Du hast einige Fragen vergessen zu stellenface-smile Die hätte meister00 sonst bestimmt beantwortetface-smile

@meister00:
Müßen wir wirklich jede Information aus dir herauspulen? Du bist seit 2005 dabei und hast schon 83 Fragen gestellt. Du solltest doch wissen wie es gehtface-smile

Gruß,
Peter
Mitglied: meister00
meister00 24.08.2011 um 07:08:18 Uhr
Goto Top
sorry.

auf allen die gleiche firmware: v3.0_28
als BS von xp über linux bis win7.

am standort a: sehe ich unter attached devices alle meine endgeräte und kann sie vom netgear aus erreichen.

sicher bin ich mir nicht ober der vpn steht, kann aber vom standort a den standort b erreichen.

log:

2011-08-24 05:59:51] RECEIVED FIRST MESSAGE OF QUICK MODE
[2011-08-24 05:59:51]<POLICY: zentrale> PAYLOADS: HASH,SA,PROP,TRANS,NONCE,ID,ID
[2011-08-24 05:59:51] FOUND IDs,EXTRACT ID INFO
[2011-08-24 05:59:51]<Initiator IPADDR=192.168.100.0 MASK=255.255.255.0>
[2011-08-24 05:59:51]<Responder IPADDR=192.168.101.0 MASK=255.255.255.0>
[2011-08-24 05:59:51] SENT OUT SECOND MESSAGE OF QUICK MODE
[2011-08-24 05:59:51] RECEIVED THIRD MESSAGE OF QUICK MODE
[2011-08-24 05:59:51]<POLICY: zentrale> PAYLOADS: HASH
[2011-08-24 05:59:51] QUICK MODE COMPLETED
[2011-08-24 05:59:51][==== IKE PHASE 2 ESTABLISHED====]
[2011-08-24 05:59:56]DISCARDING RETRANSMITTED PACKET...
[2011-08-24 06:00:01]DISCARDING RETRANSMITTED PACKET...
[2011-08-24 06:00:06]DISCARDING RETRANSMITTED PACKET...
[2011-08-24 06:01:22] RECEIVED INFORMATIONAL EXCHANGE MESSAGE
[2011-08-24 06:01:27]<POLICY: zentrale> PAYLOADS: HASH,DEL
[2011-08-24 06:01:27] SENT OUT INFORMATIONAL EXCHANGE MESSAGE
[2011-08-24 06:01:27]<POLICY: zentrale> PAYLOADS: HASH,DEL
Mitglied: Connor1980
Connor1980 24.08.2011 um 08:30:56 Uhr
Goto Top
Hi,

wenn ich mich Recht entsinne, in der Übersicht der VPNs müsste auch "established" stehen, wenn der Tunnel funktioniert.

Ping auf beide Router-Adresse von jedem Standort funktioniert?
Wichtig ist in der VPN-Konfiguration v.a. die richtigen Subnetzmasken einzustellen. Manchmal hilft es auch beidseitig auf "Aggressive Mode" umzustellen.

Grüße
Mitglied: goscho
goscho 24.08.2011 um 09:19:06 Uhr
Goto Top
Morgen Leute,

@peter,
sorry, dass ich Abends nach 23:00 Uhr nicht an alles gedacht habe. face-big-smile

@Connor1980,
du hast mit an Sicherheit grenzender Wahrscheinlichkeit Recht, dass der Meister00 überhaupt keinen Tunnel aufgebaut hat.

@meister00,
hier ist mal der Auszug eines Logs nach Aufbau des Tunnels zwischen einem FVS336 und einem FVS114, beide mit fester öffentlicher IP:
2011 Aug 24 09:07:46 [FVS336GV2] [IKE] The packet is retransmitted by IP-Adresse Gegenstelle[500]._
2011 Aug 24 09:07:40 [FVS336GV2] [IKE] IPsec-SA established: ESP/Tunnel IP-Adresse Home->IP-Adresse Gegenstelle with spi=
2011 Aug 24 09:07:40 [FVS336GV2] [IKE] IPsec-SA established: ESP/Tunnel IP-Adresse Gegenstelle->IP-Adresse Home with spi=
2011 Aug 24 09:07:38 [FVS336GV2] [IKE] Initiating new phase 2 negotiation: IP-Adresse Home[500]<=>IP-Adresse Gegenstelle_
2011 Aug 24 09:07:38 [FVS336GV2] [IKE] Sending Informational Exchange: notify payload[INITIAL-CONTACT]_
2011 Aug 24 09:07:38 [FVS336GV2] [IKE] ISAKMP-SA established for IP-Adresse Home[500]-IP-Adresse Gegenstelle[500] with spi:
2011 Aug 24 09:07:35 [FVS336GV2] [IKE] Setting DPD Vendor ID_
2011 Aug 24 09:07:35 [FVS336GV2] [IKE] NAT-Traversal is Enabled_
2011 Aug 24 09:07:34 [FVS336GV2] [IKE] Beginning Aggressive mode._
2011 Aug 24 09:07:34 [FVS336GV2] [IKE] Initiating new phase 1 negotiation: IP-Adresse Home[500]<=>IP-Adresse Gegenstelle[500]_
2011 Aug 24 09:07:34 [FVS336GV2] [IKE] Configuration found for IP-Adresse Gegenstelle._
2011 Aug 24 09:07:34 [FVS336GV2] [IKE] accept a request to establish IKE-SA: IP-Adresse Gegenstelle_
Das Log ist in absteigender Reihenfolge (neuester Eintrag ganz oben).
Bitte beachte die Erfolgsmeldung ( IPsec-SA established: ESP/Tunnel IP-Adresse Home->IP-Adresse Gegenstelle with spi=).

So oder ähnlich müsste dein VPN-Log auch aussehen.
Mitglied: meister00
meister00 24.08.2011 um 09:30:27 Uhr
Goto Top
[2011-08-24 08:28:28]<Initiator IPADDR=192.168.101.0 MASK=255.255.255.0>
[2011-08-24 08:28:28]<Responder IPADDR=192.168.100.0 MASK=255.255.255.0>
[2011-08-24 08:28:30] SENT OUT SECOND MESSAGE OF QUICK MODE
[2011-08-24 08:28:31] RECEIVED THIRD MESSAGE OF QUICK MODE
[2011-08-24 08:28:31]<POLICY: standort1> PAYLOADS: HASH
[2011-08-24 08:28:33] QUICK MODE COMPLETED
[2011-08-24 08:28:33][==== IKE PHASE 2 ESTABLISHED====]
[2011-08-24 08:28:33]DISCARDING RETRANSMITTED PACKET...
[2011-08-24 08:28:34]DISCARDING RETRANSMITTED PACKET...
[2011-08-24 08:28:36]DISCARDING RETRANSMITTED PACKET...
[2011-08-24 08:28:38]DISCARDING RETRANSMITTED PACKET...
[2011-08-24 08:28:41]DISCARDING RETRANSMITTED PACKET...


wenn ich den vpn status anschaue, dann steht der tunnel

IPSec Connection Status

  1. Policy Name Endpoint Tx (Bytes) State Action
1 standort1 xxxxxxxxxxxx 1680 Phase 1: M-IDLE / Phase 2: ESTABLISHED DROP


von standort a kann ich den b anpingen und umgekehrt auch.

lg
Mitglied: goscho
goscho 24.08.2011 um 10:12:37 Uhr
Goto Top
Zitat von @meister00:
von standort a kann ich den b anpingen und umgekehrt auch.
Welche IP-Adresse pingst du an, die des öffentliche oder die interne des Routers?

Nutzt du dazu die CMD eines PCs oder die Weboberfläche des Routers?

PS: Entferne mal die öffentliche IP-Adresse aus deinem letzten Beitrag. Muss ja nicht jeder kennen, oder? face-wink
Mitglied: meister00
meister00 24.08.2011 um 10:29:03 Uhr
Goto Top
ich pinge vom router die intere von anderen router.


danke, für die info mit der ipface-smile
Mitglied: goscho
goscho 24.08.2011 um 10:44:52 Uhr
Goto Top
Zitat von @meister00:
ich pinge vom router die intere von anderen router.
Wenn du vom PC aus den anderen Router anpingst, was kommt dann?

Überprüfe bitte die Einstellungen in der VPN-Policy unter 'Traffic-Selector'. Möglicherweise stehen dort nicht die richtigen IP-Adressbereiche/Subnets drinnen.
Hast du mal einen der Router neugestartet, oder auch beide?
Mitglied: aqui
aqui 25.08.2011 um 14:28:03 Uhr
Goto Top
Soviel mal wieder zum Thema VPN und NetGear....da liegt doch das eigentliche Problem.... !
Mitglied: goscho
goscho 25.08.2011 um 14:38:07 Uhr
Goto Top
Mahlzeit,
Zitat von @aqui:
Soviel mal wieder zum Thema VPN und NetGear....da liegt doch das eigentliche Problem.... !
Das hat aber gedauert?
Den Kommentar habe ich von dir schon am Eröffnungsabend dieses Beitrags erwartet. face-big-smile