VPN (L2TP over IPSec) mit Zyxel USG40 und FritzBox 7590

Hallo,

Welche IP hat denn deine Zywall - die hat doch 2 oder?

Macht nur IPSec oder PPTP Passthrough. https://avm.de/service/fritzbox/fritzbox-7490/wissensdatenbank/publicati ...

Gruß,
Peter

Hallo,

Eingehend oder ausgehend das ist hier die Frage. Passthrough kann beides bedeuten. Eingehend kann die Fritte kein L2TP, ausgehend hindert die aber nicht.....
Und die Fritte kennt nur ihr (AVM) IPSec (Eingehend).

Wird Passthru oder Passthrough oder Pass Thru genannt.

Da kennt die nur ihr IPSec und dann geht auch ihr Passthrough nicht mehr.

Gruß,
Peter

Phase 1 und 2 müssen auch nicht die selben Settings haben, sondern die beiden VPN-Peers (hier USG und Client) müssen sich in beiden Phasen jeweils auf einen kleinsten gemeinsamen Nenner der jeweils unterstützten Settings einigen. Du musst die USG also so konfigurieren, dass das es einen solchen gemeinsamen Nenner gibt. Dies setzt natürlich voraus, dass Du weisst, was clientseitig unterstützt wird. Unter Umständen ist man hier möglicherweise auch gezwungen zu entscheiden, ob man aus Sicherheitsgründen technisch veraltete Clients ausschließt oder ob man auf dem VPN-Server auch Verschlüsselungs- und Hashing-Verfahren anbietet, die nicht mehr als sicher gelten. Das ist aber nicht Dein entscheidendes Problem.

Ich könnte jetzt einfach mit Verweis auf das Handbuch der USG den von mir vermuteten Konfigfehler direkt benennen, aber zur Selbstkontrolle meines eigenen Sachverstandes versuche ich mal, den technischen Hintergrund ein wenig zu beleuchten. Auch auf die Gefahr hin, mir evtl. eine Blöße zu geben und hier "geschlachtet" zu werden - aber gerade das schult ja ungemein... Ein paar Vereinfachungen sind zudem der Lesbarkeit und meiner Zeitökonomie geschuldet.

Ein Element der in Phase 2 zwischen den VPN-Peers ausgehandelten Sicherheitsvereinbarung ist, welcher Traffic verschlüsselt über die IPSec-Verbindung übertragen wird.
Bei einem Site-to-Site-Tunnel sind dies die jeweils auf beiden Seiten beteiligten IP-Netze. Diese sind deshalb in der Phase2-Konfiguration eines Site-to-Site-Tunnels normalerweise anzugeben. Gemäß grundlegendem IPSec-Standard wird beiderseits nur solcher Traffic verschlüsselt und durch den Tunnel geschickt, der diese Bedingungen erfüllt. Wenn es mehrere Kombinationen lokaler und entfernter Netze gibt, werden mehrere Phase2-SAs mit der selben Phase1-SA assoziiert (Soweit das ursprüngliche Grundprinzip - da dies freilich nicht sonderlich gut skaliert, bieten mittlerweile alle Hersteller die Möglichkeit, Traffic in den IPSec-Tunnel zu routen, obwohl er gar nicht in der Phase2-SA vereinbart ist. Bei der USG geht das auch. Ob dies allerdings [später] RFC-konform [wurde] oder einfach eine proprietäre aber industrietypische Implementierung ist, vermag ich nicht zu sagen).
Bei einem Client-to-Site-Tunnel ist die IP-Adresse des Clients häufig vorab nicht bekannt. Aus diesem Grunde wird diese in der Phase2-Konfiguration des VPN-Servers idR nicht fest hinterlegt, sondern erst bei der Einwahl dynamisch zwischen Server und Client vereinbart.
Den vorgenannten Szenarien Site-to-Site und Client-to-Site ist gemein, dass es nicht nur um die direkte Kopplung zweier Hosts geht, sondern sich zumindest auf einer Seite mehrere Hosts hinter dem eigentlichen Tunnelendpunkt befinden. Aus diesem Grunde werden komplette IP-Pakete (also Payload und IP-Header) verschlüsselt und als Payload in ein komplett neues IP-Paket (mit abweichenden Quell- und Ziel-IPs) eingepackt und dieses dann mittels weiterer kryptographischer Verfahren gegen Manipulation abgesichert. Je nach gewähltem Protokoll (ESP vs. AH) variiert der Umfang des Manipulationsschutzes.
Auch L2TPoverIPSec ermöglicht im Endergebnis ein Client-to-Site-Szenario. Das Element "Site-Zugriff" wird hier aber bei genauer Betrachtung nicht über den IPSec-Tunnel realisiert, sondern nachgelagert mittels L2TP. IPSec dient hier lediglich dazu, die L2TP Verbindung zwischen zwischen dem VPN-Gateway und dem Client zusätzlich abzusichern. Die IPSec-Verbindung ist also eine reine Host-zu-Host-Kommunikation. Anders als bei den o.g. Szenarien sind (ausschließlich) beide Endpunkte selbst Quelle und Ziel der kryptografisch gesicherten Kommunikation. Bei der Konfiguration des IPSec-Tunnels macht sich dies insofern bemerkt, als dass in Phase2 nicht mehr der Tunnel-Modus, sondern der Transport-Modus zu wählen und das IPSec-Gateway selbst mit seiner Outside-IP als "local IP" zu definieren ist, denn der L2TPoverIPSec-Client wird ebenfalls diesen Modus wählen und erwarten, dass er bei der Aushandlung der Phase2-Parameter von der Gegenstelle diese IP-Adresse als Vorschlag präsentiert bekommt - schließlich ist diese das gewünschte Ziel seiner (verschlüsselten) Kommunikation.

Da der Einrichtungsassistent der USG sowie die meisten Konfigurationsanleitungen davon ausgehen, dass die USG mit ihrem WAN-Interface direkt im Internet steht, sehen diese als "local IP" in den Phase2-Settings die IP des WAN-Interfaces vor. Diese ist in Deinem Szenario jedoch eine aus dem Internet nicht erreichbare private IP-Adresse. Die öffentliche IP-Adresse hat in Deinem Fall die Fritzbox. Demzufolge müsstest Du in den Phase2-Settings der USG die WAN-IP-Adresse der Fritzbox angeben. Ich nehme an, dass Du dies nicht beachtet hast (die Information hast Du leider ausgespart oder ich habs übersehen).
Dies steht auch so im Handbich der USG: https://www.manualslib.com/manual/961698/Zyxel-Communications-Zywall-110 ...
In einem erst kürzlich erschienenen Anleitungsvideo werden zudem eine zusätzliche NAT- und eine korrespondierende Firewallregel eingerichtet: https://www.youtube.com/watch?v=vfbPFaifpbY
Das Ziel dahinter erschließt sich mir noch nicht so ganz. Das macht eigentlich nur dann Sinn, wenn auch bei IPSec-Traffic im Transportmodus im verschlüsselten Payload nochmal der ursprüngliche (dann nicht von der Fritzbox genattete) IP-Header steckt und dieser von der USG nach der Entschlüsselung beachtet wird. Dass dies so ist, legt diese Lektüre nahe: https://howdoesinternetwork.com/2014/ipsec-tunnel-transport-mode
Bislang bin ich jedoch immer davon ausgegangen, dass im Transport-Mode nur der eigentliche Payload der Verbindung verschlüsselt wird. So wird es jedenfalls an vielen Stellen erläutert. Siehe z.B. https://security.stackexchange.com/questions/76308/when-do-i-use-ipsec-t ...

Wie auch immer - am Ende des Tages sehe ich ein Problem: Egal welche Anleitung letztlich funktioniert, sofern Du an der Fritzbox eine wechselnde öffentliche IP-Adresse haben solltest, erscheint das Ganze unpraktikabel, weil die WAN-IP der Fritzbox auf der USG fest hinterlegt wird und die USG keinen Mechanismus kennt, der diese Konfigurationseinstellung erforderlichenfalls automatisch anpasst. Hier müsste man auf einem Device hinter der USG einen Cronjob laufen lassen, der dies per CLI oder SNMP automatisiert.

Gruß
sk