Apr 05, 2018

6258

VPN - Fritzbox - Problem bei der DDNS Portweiterleitung - (Raspberrry IP für eine Portweiterleitung)

Hallo,

eine Denkaufgabe des Tages!

Das Netzwerk:

1. FritzBox 7490 -> DSL Anschluss (192.168.10.1) vom öffentlichen Netzwerk (Internet) über XYZ.ddns.org erreichbar.
2. FritzBox 6890 LTE -> LTE Anschluss (192.168.20.1) logischereise NICHT vom öffentlichen Netzwerk (Internet) erreichbar, da LTE

Beide Private Netzwerke SIND über eine VPN-Verbindung verbunden. Aus Netz 1 kommt man Problemlos ins Netz 2.
Logischerweise kann NUR die 2. LTE Fritzbox den VPN Tunnel aufbauen.

Vorhaben/Problem:

Nun möchte ich aus dem Internet auf einen NAS (im 2. Netzwerk 192.168.20.1) zugreifen.
Ich kann aber in der 1. Fritzbox (XYZ.ddns.org / 192.168.10.1) keine Portweiterleitungen einrichten, da der IP-Bereich ja nur 192.168.10.0 ist.

Also:
XYZ.ddns.org:5000 ---> FB1 (192.168.10.1) ---> VPN --> FB2 (192.168.20.1) --> NAS (192.168.20.100)

Wie kann ich eine Portweiterleitung realisieren??? Aus dem 1.Netz kommt man Problemlos an die IP-Adresse des NAS Gerätes. Da die 1. Fritzbox sofort die IP-Adresse erkennt und durch den VPN Tunnel schickt. Aber von Außerhalb (Internet) kann die Fritzbox keine Portweiterleitung ins VPN leiten.

Jetzt habe ich gedacht, ich nehme einen Raspberry PI, der eine Statische (Feste) IP-Adresse im 1. Netz hat. Leite aus der 1. Fritzbox den Port 5000 weiter an den Raspberry PI weiter und der wiederum leitet den Port weiter an die IP-Adresse des NAS Gerätes.

ABER, was genau sollte ich bei dem Raspberry PI verwenden, eine DNS Server, eine Firewall Software?! Oder lediglich einen Eintrag in eine Config Datei?!

Wie würdet Ihr dieses Porblem lösen?!

Please also mark the comments that contributed to the solution of the article

Content-Key: 370053

Url: https://administrator.de/contentid/370053

Printed on: April 25, 2024 at 17:04 o'clock

22 Comments

Latest comment

Zitat von @Hocus-Pocus:

Wie würdet Ihr dieses Porblem lösen?!

viele Wege führen nach Rom. Zwei davon sind z.B.

netcat in xinetd.conf eintragen.
iptables

auf einem Pi auf dem eine Standarddistribution drauf ist.

lks

PS: Meine Lösung wäre, die Fritzbüxen gegen Cisco, Mikrotik oder pfsense zu tauschen.

Hey,
ja, wenn es nach mir gehen würde, dann würde ich natürlich die Router tauschen, aber da auch die Fritz Comfort Funktionen, wie DECT SmartHome Steckdosen genutzt werden, geht das natürlich nicht. Bleiben wir bei der Ausgangssituation.

iptabels schaue ich mir gerade an, aber irgendwie bezweifle ich das dies geht denn, von der FB1 öffentlich kommt ja eine Anfrage mit Port.

XYZ.ddns.org:5000 --> Raspberry PI (192.168.10.4) --> NAS (192.168.20.100:5000)
oder
XYZ.ddns.org:5555 --> Raspberry PI (192.168.10.4) --> TV-REC (192.168.20.100:5555)

Aber wie biege ich die Ports zurecht?! Ein IP Routing alleine wird nicht gehen.
Ich habe hier auch noch einen MikroTik hAP lite (RB941-2nD) rumliegen, ich bin am überlegen ob nicht damit mein Vorhaben funktioniert.

Zitat von @Hocus-Pocus:

Hey,
ja, wenn es nach mir gehen würde, dann würde ich natürlich die Router tauschen, aber da auch die Fritz Comfort Funktionen, wie DECT SmartHome Steckdosen genutzt werden, geht das natürlich nicht. Bleiben wir bei der Ausgangssituation.

Doch geht. Einfach die Fritzbox als IP-Client hinter den ordentluchen Router hängen. Abgesehen davon gibt es nich mehr Router due sas und mehr können.

iptabels schaue ich mir gerade an, aber irgendwie bezweifle ich das dies geht denn, von der FB1 öffentlich kommt ja eine Anfrage mit Port.

XYZ.ddns.org:5000 --> Raspberry PI (192.168.10.4) --> NAS (192.168.20.100:5000)
oder
XYZ.ddns.org:5555 --> Raspberry PI (192.168.10.4) --> TV-REC (192.168.20.100:5555)

Aber wie biege ich die Ports zurecht?! Ein IP Routing alleine wird nicht gehen.
Ich habe hier auch noch einen MikroTik hAP lite (RB941-2nD) rumliegen, ich bin am überlegen ob nicht damit mein Vorhaben funktioniert.

Google kaputt? Einfach mal ein Ergebnis herausgegriffen:

http://www.systutorials.com/816/port-forwarding-using-iptables/

lks

logischereise NICHT vom öffentlichen Netzwerk (Internet) erreichbar, da LTE

Wieso "logischereise" ?? Die Aussage ist doch technischer Blödsinn, denn es gibt sehr wohl LTE Provider die kein CGN haben und auch öffentliche IPs nutzen im LTE und damit erreichbar sind.
Also bitte in einem Administrator Forum nicht solche halbgaren Aussagen...! Etwas differenzierter sollte es schon sein.

keine Portweiterleitungen einrichten, da der IP-Bereich ja nur 192.168.10.0 ist.

Auch die Aussage ist wieder Blödsinn !
Warum sollte das nicht gehen ? Jederhat intern ein privates RFC 1918 IP Netz und Port Forwarding funktioniert immer fehlerlos.
Mal ganz abgesehen davon das sowas natürlich tödlich ist ungesichert aus dem Internet so einen Zugriff aufs NAS einzurichten.
Nicht nur die Sicherheit, das du ein Loch in die Firewall bohrst und so jedermann Tür und Tor öffnest zusätzlich fliessen die Daten noch vollkommen ungeschützt durchs Internet.
Sowas machen heutzutage nur noch Dummies oder blutige Laien. Zumal wenn man eine FritzBox sein eigen nennt die VPN supportet !
Ein Client VPN Zugriff wäre hier also auch intelligenter sofern man Wert auf Schutz der Privatshäre und seiner privaten Daten legt.
Die Lösung steht auf der AVM Seite:
https://avm.de/service/vpn/praxis-tipps/mit-fritzfernzugang-auf-mehrere- ...
Client VPN Dialin zusätzlich auf FB1 und dort beide lokalen Netze einmal an FB1 und das von FB2 propagieren, fertisch.
Aber warum einfach und sicher machen wenn es umständlich auch geht.
Man kann natürlich auch einen Raspberry ins LAN packen, sich via Samba dort das NAS auf ein Verzeichnis mounten
Netzwerk Management Server mit Raspberry Pi
und damit dann die wildesten Dinge anstellen mit Port Forwarding oder Open_VPN_Server oder oder oder...

@ aqui (Level 5)

1. wir sind hier in einem Administrator Forum, da muss ich mich nicht beschimpfen lassen.
2. bin ich an einer Lösung Interessiert und nicht an einer Kritik meiner Fragestellung
3. bin ich kein Laie
4. überwiegend haben die Anwender aber LTE Anschlüsse, die keine öffentliche IP-Adresse haben. (Es tut mir für dich leid, dass meine Formulierung nicht NUR an Profis gerichtet war/ist)
5. der NAS ist ein Synology und kein RaspberryPI

Mal ganz abgesehen davon das sowas natürlich tödlich ist ungesichert aus dem Internet so einen Zugriff aufs NAS einzurichten.

6. Unterstellung, keiner spricht hier von einer Unverschlüsselten Weiterleitung. Alle Portweiterleitungen sind bzw. werden SSL verschlüsselt.

Jederhat intern ein privates RFC 1918 IP Netz und Port Forwarding funktioniert immer fehlerlos.

7. NEIN, die FritzBox lässt nur Portweiterleitungen an IP-Adressen zu, die sie auch kennt, also die 1.Fritzbox kennt nur die Geräte im 192.168.10.0 Netz. Sobald man z.B. eine 192.168.20.10 eingibt, die durch den eigenen bereitgestellten VPN erreichbar ist, kommt eine Fehlermeldung. Die FritzBox kann das also scheinbar nicht. Aus dem internen Netz kennt die FB1 das IP-Netz 192.168.20.X, aus dem öffentlichen Netz aber nicht und ich habe auch kein IP-Gerät zur Auswahl, auf den ich weiterleiten kann, denn die FB1 selber macht ja die VPN ins nächste Netz.

Auf deinen Link (AVM):
https://avm.de/service/vpn/praxis-tipps/mit-fritzfernzugang-auf-mehrere- ...

wird lediglich erläutert, wenn eine zweite FritzBox im gleichen Netz mit hängt (IP-Client), ja dann hätte ich auch ein auszuwählendes Gerät in der Portweiterleitungsliste. Ja in meinem Fall ist das aber nicht so.

Ach und zwei neue Router vor den Fritz Boxen ist meiner Meinung nach Blödsinn, denn die eine Box ist eine LTE Box und zudem müsste man für die MyFritz App wieder alles biegen und brechen. Möchte ich nicht.

Also, ich brauche ein Gerät im Netzwerk 192.168.10.0, das meine Portweiterleitung von der FB1 (5000 (https)) an den Port 5000 an 192.168.20.100 weiterleitet. >>>> das Netz 192.168.20.0 kennt die FB1.

Ich glaube mit dem Thema IP-Tables komme ich zum gewünschten Ziel. Hat noch wer eine Idee? Die zur lösung beiträgt?

Mit dem manuellen Editieren, der Fritzbox VPN config, das muss ich mir auch nochmal anschauen? Hat schon jemand erfahrung damit? Geht das?
Denn: Wenn ich jetzt einen VPN-Benutzer anlege, und mich einwähle, dann kann ich auch durch Ihn nicht ins 192.168.20.0er Netz zugreifen.

Moin,

wir sind hier in einem Administrator Forum, da muss ich mich nicht beschimpfen lassen

musst Du offenbar doch ...

Nimm es als so ein Art Administratorwährung, mit der Du für Hilfestellung zahlst, wenn Du rumzickst.

überwiegend haben die Anwender aber LTE Anschlüsse, die keine öffentliche IP-Adresse haben.

Wenn die einen LTE-Anschluss haben, haben die zumindest bei den Telekomikern alle öffentliche IPv4-Adressen

. Was anderes ist das bei Mobilfunk-SIMs

LG, Thomas

Ok,Ok,
kommen wir mal wieder zurück zum Problem, die Armen anderen User die hier unser Gestreite lesen müssen.

Bei uns hier, in der Region, haben fast alle, da der DSL Breitbandausbau stockt, Vodafone LTE und hat eben keine eigene öffentliche IPv4-Adresse

Dann nehme ich meine bekannte Ausdrucksweise von oben, im ersten Post, durch meine Kundenerfahrungen zurück und streiche hiermit das Wort "logischerweise".
Die wenigsten Häuslebauer haben Telekom Anschlüsse. Entweder Vodafone oder 1und1.

Neue Erkenntnis:
Die manuelle Änderung der FritzBox config, egal ob LAN-LAN Koppelung oder User-LAN Koppelung, bringt beides kein Erfolg.
Denn auch dann, habe ich keine Verbindung ins 2. Netz hinter dem VPN.

Hauptsächlich geht es mir um folgende zwei Dinge:
- 2-3 Smartphones die Apps besitzen, die eine Verbindung ins 2. Netz (LTE) benötigen.
- 2 Benutzer die von außerhalb mittels VPN Ihr Notebook ins heimische Netz bringen wollen, um auf Geräte zugreifen zu können.

Verbindungen auf Geräte an FB1 (192.168.10.0) geht, auf Geräte an FB2 hinter VPN (192.168.20.0) geht nicht.
FB1 und FB2 sind mit VPN erfolgreich verbunden und können gegenseitig die Geräte des jeweilig anderen Netzes erreichen.

Ich habe einiges schon Probiert, hänge aber noch immer bei der Umsetzung, bzw. fällt mir noch keine Lösung ein. Aus diesem Grund, bin ich hier im Forum und frage euch anderen PROs.

Meiner Meinung, bleibt dann nur ein RaspberryPI PI mit IP-Tables oder betrachte ich das noch immer falsch?! Gibt es andere Lösungsvorschläge?!
Die Preislich natürlich auf Haushaltsneveau bleiben?!

Grüße Roberto

Vodafone LTE und hat eben keine eigene öffentliche IPv4-Adresse

Deren eigene Schuld !
Mit Telekom / T-Mobile LTE wäre das NICHT passiert. Mal vorher nachdenken lohnt sich also wenn man sowas nutzen will !

Die wenigsten Häuslebauer haben Telekom Anschlüsse. Entweder Vodafone oder 1und1.

Auch das wieder Unsinn !
Vodafone ist Vodafone mit eigener Infrastruktur. Nur 1&1 nutz teilweise das Telekom Netz.
Der Satz in sich ist auch unlogisch. Telekom ist ein unabhängiger Provider, Vodafone auch nur 1&1 ist Telekom Wiederverkäufer...wenigstens teilweise.
Scheinbar hast du generell ein Problem mit Providerverständnis und Arbeitsweise ?!

Denn auch dann, habe ich keine Verbindung ins 2. Netz hinter dem VPN.

AVM zeigt dir oben ja das Gegenteil ! Die selber propagieren eine Konfig die das löst. Dann muss man schlussfolgern, das du einen Konfig Fehler im VPN gemacht hast !

Geräte an FB2 hinter VPN (192.168.20.0) geht nicht.

Isdt ja klar. Dialin scheitert da wegen CGN und RFC 1918 Adressierung.
Das (VPN) Tor für ALLE ist FB1, denn nur da können sich die Clients einwählen.
Diese FB muss auch die Route ins .20.0er Netz an die Clients propagieren damit auch Traffic für das .20.0er Netz ins VPN zur FB1 geroutet wird. Diese wiederum routet diese Pakete dann in den Site2Site Tunnel auf FB2.
Eigentlich doch ganz logisch.

bleibt dann nur ein RaspberryPI PI mit IP-Tables

Nein, man bekommt das auch mit normalen IPsec Bordmitteln hin. Und mit RasPi braucht man dann keinerlei IP Tables das ist Unsinn.

@ aqui (Level 5)

Jetzt ist aber Schluss!

Vodafone LTE und hat eben keine eigene öffentliche IPv4-Adresse

Brauch ich nicht weiter erläutern. In unserer Region Deutschlandes hier herrscht Vodafone Überschuss, bei Smartphone Verträgen, sowie LTE Verträgen. DSL mitunter auch, aber da ist meist 1und1 vertreten. Auch viele Gewerbe wie Bäcker, Taxiunternehmen, GmbHs nuten 1und1. Kein Telekom.

Mit "Häuslebauern" ist ebenfalls meine Region hier gemeint. Resultierend meines Kundenstammes kann ich dies daraus ableiten.

Die wenigsten Häuslebauer haben Telekom Anschlüsse. Entweder Vodafone oder 1und1.

Auch das wieder Unsinn !

Du wohnst sicherlich nicht hier, demzufolge höre auf so etwas zu behaupten. Danke!

Vodafone ist Vodafone mit eigener Infrastruktur. Nur 1&1 nutz teilweise das Telekom Netz.
Der Satz in sich ist auch unlogisch. Telekom ist ein unabhängiger Provider, Vodafone auch nur 1&1 ist Telekom Wiederverkäufer...wenigstens teilweise.

Das ist Korrekt. Juhu mal eine Gescheite Aussage von dir!

Scheinbar hast du generell ein Problem mit Providerverständnis und Arbeitsweise ?!

Und jetzt wirst du wieder Frech, mich zu kennen und über mich Urteilen zu können. Gib mal lieber einem „Administrator Forum User“ Hilfreiche Tipps. Damit wäre jedem Gast hier mehr geholfen. Danke

AVM zeigt dir oben ja das Gegenteil ! Die selber propagieren eine Konfig die das löst. Dann muss man schlussfolgern, das du einen Konfig Fehler im VPN gemacht hast !

OK, ziehe ich in Betracht, vielleicht einen Fehler gemacht zu haben. Keiner ist Fehlerlos, logisch!
Ich werde morgen mal mit der AVM Händlerhotline telefonieren, vielleicht haben die intern einen Techniker sitzen, der mir auf die Schnelle weiterhelfen kann. Denn sicherlich sollte ein AVM FritzBox- Benutzer, rein durch das Webinterface zum Ziel kommen können und nicht noch über Umwege configs anpassen müssen, zudem eine Portweiterleitung dann dennoch nicht funktioniert. (technisches Verständnis = Webinterface AVM FritzBox) Damit meine Aussage keiner Falsch versteht!

Isdt ja klar. Dialin scheitert da wegen CGN und RFC 1918 Adressierung.
Das (VPN) Tor für ALLE ist FB1, denn nur da können sich die Clients einwählen.
Diese FB muss auch die Route ins .20.0er Netz an die Clients propagieren damit auch Traffic für das .20.0er Netz ins VPN zur FB1 geroutet wird. > Diese wiederum routet diese Pakete dann in den Site2Site Tunnel auf FB2.
Eigentlich doch ganz logisch.

Perfekt! Genau richtig. Aber:

Greift man aus dem lokalen Netzwerk 192.168.10.0 aufs 192.168.20.0 Netz zu, dann kennt die FritzBox FB1 den Weg durchs VPN. Funktioniert.

Greift man vom öffentlichen Netz, mittels einem DDNS Anbieter aufs 192.168.10.0 Netz zu, dann geht das auch. Wenn natürlich eine Portweiterleitung in der FB1 zum Zielgerät gesetzt ist.

Aber man kann keine Portweiterleitungen ins 2. DHCP Netz, hinter der VPN in die FB1 eintragen.

Aus diesem Grund meine Umständliche Denkweise den Traffic einfach, mittels RaspPI, übers Eck zu spielen. Der RaspPI ist eh im 1. Netzwerk und übernimmt zurzeit WOL über Webinterface und SSTP Server.

bleibt dann nur ein RaspberryPI PI mit IP-Tables

Nein, man bekommt das auch mit normalen IPsec Bordmitteln hin. Und mit RasPi braucht man dann keinerlei IP Tables das ist Unsinn.

Perfekt, würde mir einiges an arbeit abnehmen. Aber Wie?

Hallo,
so die Geschichte geht weiter.... Was ist bislang geschehen:

Mit dem Tipp von "aqui (Level 5)"

Die Lösung steht auf der AVM Seite:
https://avm.de/service/vpn/praxis-tipps/mit-fritzfernzugang-auf-mehrere- ...
Client VPN Dialin zusätzlich auf FB1 und dort beide lokalen Netze einmal an FB1 und das von FB2 propagieren, fertisch.
Aber warum einfach und sicher machen wenn es umständlich auch geht.

Das hat natürlich nicht ganz das Problem geklärt. Erklärung:
Nach mühselig, manueller Anpassung der FB Config-Datei, ok, das Wort „mühselig“ mal in Klammern gesetzt, von 7 Client VPNs und 1er VPN LAN-LAN Koppelung. Kann man jetzt mit dem FritzBox Fernzugang Tool die FB1, die FB2 und die FB3 erreichen. Dazu sei gesagt, FB3 ist eine hinter einem UMTS Stick an einer FritzBox die eine IP-CAM verwaltet. Ja bei uns gibt es Grundstücke, bzw. mehrere Standorte. Aber das ist jetzt mal nicht das Thema.

über VPN User (Client-LAN) = Alle VPNs problemlos erreichbar. -> Toll
aus Netz FB1 = Alle VPN Netze erreichbar. -> Ach Toll
aus Netz FB2 = ist FB3 nicht erreichbar. Der Weg wäre: FB2 -> VPN -> FB1 -> VPN- > FB3 anders geht das nicht, da FB2 und FB3 sich nicht kennen können, keine öffentliche IP, da einmal UMTS und einmal LTE.

Ja und das eigentliche Problem ist noch immer ungeklärt. Denn der Synology NAS im 2. Netz (FB2) benötigt eine Portweiterleitung! Und? Wie sieht es mit VOIP aus? In FB1 keine Weiterleitung an FB2 durchs VPN möglich. Klagloses Scheitern auf allen Wegen.
Jetzt muss doch ein Raspberry ran mit Asterisk oder wie?! Ich glaub mein Gedanke mit übers Eck spielen, durch IP-Tables, einem zusätzlichen DNS war doch nicht so der verkehrte Gedanke. Wie sieht Ihr das? Habt Ihr Ideen?!

Ach und, wenn eine VPN Verbindung (Client-LAN) in einem Android Tablet eingetragen ist, und aktiv ist, dann Funktioniert das Netzwerk, aber das Internet für die anderen Apps ist TOT.

Und noch besser! Ein Smart- Home- Wand- Tablet mit Displaysperre, Hust -> SUUUUPER Lösung eh. Nee, danke.
Klar ist das auch umgeh bar, aber wir befinden uns hier auf Bastelwegen…

Zitat von "aqui (Level 5)"

Aber warum einfach und sicher machen wenn es umständlich auch geht.

Sorry, ni böse gemeint, aber das ist nicht der richtige Weg zur Ziellinie.

Ach und Bitte Bitte nicht Port 80 Let’s Encrypt hinter FB2 Vergessen. Thema Portweiterleitung!

Wie schon oben immer und immer gesagt. Ich suche den optimalen Gedanken, was würdet Ihr machen, wie würdet Ihr das Problem umsetzten?!
Liebe Grüße

Zitat von @Hocus-Pocus:

Ach und Bitte Bitte nicht Port 80 Let’s Encrypt hinter FB2 Vergessen. Thema Portweiterleitung!

Wie schon oben immer und immer gesagt. Ich suche den optimalen Gedanken, was würdet Ihr machen, wie würdet Ihr das Problem umsetzten?!
Liebe Grüße

proxy in Netz 1 z.b. mit raspi. hatte ich aber oben schon vorgeschlagen.

lks

@ Lochkartenstanzer (Level 5)

danke für Hinweis, Squid? mit webUI? wäre mir der Übersicht zu liebe sehr Hilfreich.

Oben erklärt? Naja egal..

Zitat von @Hocus-Pocus:

@ Lochkartenstanzer (Level 5)

danke für Hinweis, Squid? mit webUI? wäre mir der Übersicht zu liebe sehr Hilfreich.

z.b. squid oder irgendeinen abderen proxy.

Oben erklärt?

netcat in kombination mit (x)inetd ist nichts anderes wie ein äußerst primitiver proxy.

lks

netcat in kombination mit (x)inetd ist nichts anderes wie ein äußerst primitiver proxy.

Oh entschuldige, ja aber netcat kam mir nicht in den Sinn.

Am liebsten wäre mir pfsense. Aber naja, habe noch einen Mikrotik hier rum liegen, muss mal schauen ob dieser mir meine Portweiterleitungen machen lässt. Mikrotik ist für mich noch etwas neu. der sollte ja dann nur mit im Netz hängen. Muss ich mir überlegen, wie ich diesen Richtig konfiguriere.

pfsense auf Raspi und alles wäre schick

Oder dann eben Raspi mit Squid und Webmin. (Zur Regeldarstellung Webmin)

So, durch FritzBox Config anpassungen, an ALLEN VPNs funktioniert es jetzt.
Alle IP-Netze sind erreichbar.

ABER, jetzt geht es mir noch um eine Portweiterleitung an 2 Geräten im FB2 Netz.

Dafür hatte ich an IP-Tables bzw. Squid gedacht. Kann mir jemad eine Configzeile (Kleine Hilfe) geben?
Also ich lese mich schon ein, aber manchmal ist es auch nicht schlecht wenn jemand einen kleinen Denkanstoß gibt.
Ich wäre auch echt Dankbar.

FritzBox1---------------------->-->--Rapi------------------------------->-->--Gerät
xzy.spdns.org:9999-->-->-->--192.168.10.55:9999-->-->-->--192.168.20.11:9999

Keiner eine Idee?
Ich kann auch auf Sqiud verzichten, wenn einer von euch eine andere Idee hat, um diese Problematik umzusetzen.

Hallo,
und jetzt meine Lösung:

Problemschilderung:
Mehrere FritzBoxen (DSL/LTE und UMTS) sind alle mittels FritzVPN verbunden. Nun möchte ich von dem DSL-Router (Netz1) mittels DDNS eine weiteres mobiles VPN aufbauen. Das geht auch Problemlos. ABER, ich erreiche nur den 1. IP-Bereich, und nicht die anderen hinter den weiteren VPNs.
Also (Handy --> VPN1--> Router1 --> VPN2 --> Router2 --> Client im IP-Netz2)
Die FritzBox 1 kennt die 2 anderen VPN IP-Netze, aber kann nur aus dem lokalen Netz IP-Clients aus den anderen Bereichen erreichen.
Meine Lösung:
Was habe ich gemacht? Einen RaspberryPI ins 1. IP-Netz hinter dem DSL-Router (FritzBox), der auch das VPN Management übernimmt. Auf dem RaspberryPI mittels "iptables", die https Weiterleitungen zur Ziel IP-Adresse verbogen. Puff ... Passt. Ziel erreicht. Alles Läuft, seit mittlerweile Monaten.

FritzBox1---------------------->-->--Rapi------------------------------->-->--Gerät
xzy.spdns.org:9999-->-->-->--192.168.10.55:9999-->-->-->--192.168.20.11:9999

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 9999 -j DNAT --to-destination 192.168.20.11:9999
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Die Komplette Einrichtung jetzt zu schildern wäre zu komplex, aber ich habe hilfreiche Links:

http://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-sg-de-4/s1-firewall-ipt-fwd. ...
https://www.foxplex.com/sites/ubuntu-als-router-mit-masquerading-einrich ...
https://linuxwiki.de/HenrykGerlach/MeinNatRouter
https://www.thomas-krenn.com/de/wiki/Iptables_Firewall_Regeln_dauerhaft_ ...
https://www.karlrupp.net/de/computer/nat_tutorial
https://wiki.debian.org/de/Portweiterleitung
http://www.netzmafia.de/skripten/hardware/RasPi/security.html
https://blog.doenselmann.com/firewall-fuer-raspberry-pi-und-banana-pi/
https://raspberry.tips/raspberrypi-einsteiger/raspberry-pi-im-internet-a ...

So, ich hoffe, ich konnte jetzt dieses Thema abschießen und auch anderen damit helfen.
Wo ein Wille da auch ein Weg, hihi

ABER, ich erreiche nur den 1. IP-Bereich, und nicht die anderen hinter den weiteren VPNs.

Ist ja auch klar, denn das musst du über die Phase 2 (SA) Konfig im FritzBox Setup ja auch konfigurioeren, das diese IP Netze an den VPN Client propagiert werden und der diese somit in den Tunnel routet.
AVM hat das alles dokumentiert:
https://avm.de/service/vpn/praxis-tipps/mit-fritzfernzugang-auf-mehrere- ...
Lesen und verstehen, dann klappt das auch !
Es geht auch mit einer Summary Route und entsprechend großer Subnetzmaske wenn deine lokalen LAN IP Netze clever adressiert wurden beim VPN Design:
Merkwürdig: VPN-Zugriff Iphone auf Gateway möglich, mit Mac nicht

Was habe ich gemacht?

Sinnfreier und überflüssiger Overkill vermutlich aus Unkenntniss der IPsec VPN Funktion

Zitat von @aqui:

ABER, ich erreiche nur den 1. IP-Bereich, und nicht die anderen hinter den weiteren VPNs.

Na ne Klar, wer richtig lesen kann, ist klar im Vorteil. AVM hat diese Problematik eben nicht erklärt. Um vom VPN Netz A ins VPN Netz B zu kommen, ja das geht nach dieser Anleitung auch. Aber eben keine Portweiterleitung ins VPN Netz. Dies lässt sich nicht konfigurieren. Jedenfalls nicht über die AVM - GUI. (da der Router die hinter dem VPN Netz liegenden IP-Adressen nicht kennt)

Es geht auch mit einer Summary Route und entsprechend großer Subnetzmaske wenn deine lokalen LAN IP Netze clever adressiert wurden beim VPN Design:
Merkwürdig: VPN-Zugriff Iphone auf Gateway möglich, mit Mac nicht

Was habe ich gemacht?

Sinnfreier und überflüssiger Overkill vermutlich aus Unkenntniss der IPsec VPN Funktion

Echte Frechheit mich hier beschimpfen lassen zu müssen. Zumal ich ganz nett und freundlich nach Lösungsansetze gefragt habe. Ein Forum macht mit solch forschen Antworten / Vorurteilen sehr wenig Sinn. Mal ehrlich... Nicht jeder User hier im Forum ist auch gleich ein Anfänger! Mal etwas mehr Respekt und auch gegenseitige Rücksichtnahme bitte!

Für mich war es bis jetzt nicht möglich, mein Problem mit (NUR) der FritzBox zu klären. Da die WebUI diverse Einstellmöglichkeiten einfach nicht hergibt. und auch mittels Ihrer geposteten AVM Anleitung nicht geht. Lediglich VPN, aber keine Portweiterleitung ins VPN Netz. Und ja, ich bin auch nicht "Fehlerlos" habe aber eine brauchbare Lösung gefunden, die ich auch öffentlich für andere User als Lösung beitragen kann.

Wenn Sie wissen, wie es mittels der FritzBoxen geht, immer zu, erklären Sie es uns, hauen Sie in die Tasten ....

Aber eben keine Portweiterleitung ins VPN Netz.

Ist ja auch völliger Quatsch, denn mit einem VPN braucht man ja generell keinerlei Port Weiterleitung mehr.
Logisch und klar, denn mit dem VPN ist man ja genau so im Netz wie ein lokaler Client. Da ist eine (unsichere) Port Weiterleitung dann ja auch vollkommen überflüssig. Der tiefere Sinn eines VPNs !
Und...du solltest etwas gelassener sein. Mit gefährlichem Halbwissen sich in ein Administrator Forum zu wagen ist immer eine Herausforderung. Da sollte man auch etwas Rückgrat mitbringen und nicht gleich wie eine weinerliche Mimose umkippen oder verbal aggresiv werden.
Und schon gar nicht muss man in so einem Forum in siezen verfallen...aber egal.
Letztlich hast du Recht. Der Erfolg zählt. Wenn nun für dich alles klappt wie es soll, ist das ja Bestätigung genug. Egal ob das nun mit falscher Frickelei oder wie auch immer zustande gekommen ist.
Case closed !

Zitat von @aqui:

Aber eben keine Portweiterleitung ins VPN Netz.

Oh je, ist doch alles weiter oben schon Erklärt. Es wird ein VPN benötigt (Smartphones, Tablets, Notebooks) UND das Thema Portweiterleitung (Spezielle Hardware), die externe Hardware (SIM-UMTS) kann nur auf ein DDNS zugreifen und selber keine VPNs aufbauen. Dies gibt es Firmwareseitig einfach nicht.

Und...du solltest etwas gelassener sein. Mit gefährlichem Halbwissen sich in ein Administrator Forum zu wagen ist immer eine Herausforderung. Da sollte man auch etwas Rückgrat mitbringen und nicht gleich wie eine weinerliche Mimose umkippen oder verbal aggresiv werden.

Hust, aber Klar,
hier im Forum sind natürlich ausschließlich Administratoren und die, Wissen einfach alles. Alle haben überhaupt keine Wissenslücken. Sorry, das kann ich nicht bestätigen. Wie gesagt, ich bin auch einer vom Fach und übe dies täglich Beruflich aus, meine Schwerpunkte sind eben nur andere. Das ist nun mal so, ein Webendwickler kann auch nicht gleich nebenbei mal eine Brandmeldeanlage Montieren und Konfigurieren. Natürlich gibt es immer Ausnahmen. Fakt ist, nicht immer gleich alle über einen Kamm zu scheren, nur wenn einer mal einen Haufen Fachbegriffe bündelt. Für einige eben nicht verständlich, für andere hingegen, eine riesengroße, zusammengefasste Baustelle, an Aufgaben

Letztlich hast du Recht. Der Erfolg zählt. Wenn nun für dich alles klappt wie es soll, ist das ja Bestätigung genug. Egal ob das nun mit falscher Frickelei oder wie auch immer zustande gekommen ist.
Case closed !

Richtig, ist natürlich nicht leicht,
wenn man mal schnell eine Lösung benötigt und einfach mal andere, schlaue ITer um Hilfe fragt, aber letzten Endes, nur zu hören bekommt, wie es nicht geht bzw. was man nicht machen sollte. Sorry, Ich möchte jetzt keine Namen nennen, ein WWS-Softwareentwickler verlangt diese Portweiterleitung nun mal und ich möchte für die Außendienstler diese VPN- Anbindung. Demzufolge MÜSSEN beide Varianten realisiert werden, egal ob man das nun nicht darf, nicht sollte, What ever. Zusammengefasst ergibt dies dann so eine Konstellation. Immerhin besser als „nicht hinbekommen“
VPN-Anbindung, SSL Portweiterleitung, Preisgünstig (vorhandene FritzBoxen (LTE,DSL)), alles erfüllt.

PS: Der Raspi musste mittlerweile einer Debian Hyper-V Instanz, den Weg räumen..

German solved Question Routers, Routing Networks

Hotly discussed

Check of ZFW Firewallgleixnerd - 5 Comments