VPN mit USG 3P nicht möglich

Es gibt 12 Antworten in diesem Thema, welches 6.781 mal aufgerufen wurde. Der letzte Beitrag () ist von TheSephe.

    Guten Tag,


    ich bin neu hier und möchte mich Eurer Fangemeinde gerne anschließen. Ich habe mittlerweile durch den Hausumbau komplett auf Unifi umgestellt und sowohl Netzwerk als auch Project-Komponenten verbaut. Ich bin auch soweit sehr zufrieden, aber habe nun das erste größere Problem, welches ich nicht alleine gelöst bekomme. Daher hoffe ich auf Hilfe hier.


    Ich versuche eine VPN-Verbindung im USG 3p herzustellen. Erfolglos!

    Ich habe divsere Einstellungen und Anleitungen probiert.

    Aktuell ist folgendes eingestellt:

    Radius-Server aktiviert


    Radius Benutzer:


    VPN-Netzwerk eingerichtet:

    Nun versuche ich aus dem lokalen Netzwerk heraus eine VPN-Verbindung herzustellen:

    Ich habe bei Radius-Server Passwort, sowie beim pre-shared-Key als auch beim Radius-Benutzer immer das selbe Passwort vergeben.

    Dennoch bekomme ich keine Verbindung hin.

    Ich bin dann via Console auf das USG gegangen und habe mit diesem Command mal den Anmeldeprozess aus dem LAN mitgeschnitten:



    Ich komme einfach nicht weiter!


    Kann mir jemand das log-File erklären oder mir einen Tipp für die Fehlersuche geben?



    Danke im Voraus.


    Gruß Micha

    Moin zusammen,


    kannst du die Einwahl von extern versuchen ?


    Ich meine das USG erwartet den VPN Aufbau über den WAN port daher wird das über den LAN nicht funktionieren.


    Also am besten einmal über Mobilfunk oder so.


    Wenn du noch keine DynDNS eingerichtet hast kannst du deinen IP auch erstmal per Hand eintragen für den Test

    Mein Projekt

    Deine Radius Benutzereinstellungen sind falsch.

    MS-Chap noch setzen und von extern versuchen. Intern geht nicht wie schon geschrieben.


    Im iPhone natürlich auch noch Passwort und Shared Secret setzen.

    • Offizieller Beitrag

    Ich habe unter RE: VPN-Ports von USG-Pro-4 auf Fritzbox weiterleiten beschrieben, wie es bei mir funktioniert.


    Vielleicht hilft Dir das.

    Hallo Zusammen,


    danke für die vielen Rückmeldungen und Hinweise. Ich habe alle befolgt und kann wie folgt melden:


    S3N0C Ich habe de Haken bei MS-CHAPv2 gesetzt. Leider keine Verbesserung. Ich glaube der war auch eher für Windows-Maschinen interessant. Ich greife mit IOS-Produkten drauf zu. Ich habe es aber auch mit einer Windowsmaschine zur Sicherheit über Kabelverbindung (LAN-Kabel) versucht. Keine Änderung.


    amaskus

    Ich habe auch die externe Einwahl versucht. Direkt mit der öffentlichen IP. Hier sehe ich das gleiche Bild wie oben. Nur statt der lokalen eben die öffentliche IP. Es sei dazu gesagt, dass ein Kollege exakt die selbe Konfiguration hat (USG 3p, Vigor 165-Modem und Telekom-Provider) Bei Ihm geht die VPN-Verbindung extern aber auch Lokal!


    jkasten: Auch deinen Vorschlag habe ich dankend angenommen und getestet. Der Effekt ist der gleiche. Kein VPN möglich. Siehe auch Log. Auch der MS-Chap hat die Sache nicht verbessert. Und ebenfalls noch der Hinweis von oben. Bei meinem Arbeitskollegen funktioniert der Zugriff des VPN's auch im lokalem Netz mit der gleichen Konfiguration und Firmware! Ich habe auch bei all meinen Einstellungen immer auf die Durchführung der Provisionierung geachtet.


    razor: Deine Anleitung werde ich noch ausprobieren und melde mich wieder!


    Kann jemand das Log interpretieren?


    Vielen Dank im Voraus.

    Naja zumindest baut er kurzfristig eine Verbindung auf


    Code
    15[IKE] IKE_SA remote-access[14] established between 192.168.1.1[192.168.1.1]...192.168.1.200[192.168.1.200]

    Das du hier den Shared Secret (Pre Shared Kex) auch eingetragen hast, davon gehe ich aus?

    Guten Morgen,


    ja habe ich. Ich habe auch extra für den Per-Shared-Key, für das Kennwort des Rades-Servers und das Kennwort des Radius-Benutzers ein und das selbe Passwort genommen, um Verwechselungen auszuschließen.


    razor : Deine Anleitung habe ich befolgt, aber ebenfalls ohne Ergebnis. Ich finde aber den Hinweis zu den Firewallregeln sehr interessant. Welche müssen für VPN denn eingetragen sein? Die aus der Anleitung sind drin. Aber müssen im Reiter "LAN Lokal" auch Einträge vorhanden sein?


    Danke im Voraus.

    • Offizieller Beitrag

    Nein, da habe ich keine Regeln stehen und es funktioniert dennoch.


    Mit meiner Config sieht das Log (sudo swanctl --log auf der USG-Console) so aus:

    Danke. Ich lass mal n Abo da, habe das selbe Problem mit der Pro-4


    Ich hab zwar kein log mitlaufen lassen, aber das Resultat ist das selbe..

    Mir egal, wer Dein Vater ist! Wenn ich hier angel`, wird nicht übers Wasser gelaufen!!

    Hallo,


    mit Hilfe des Supportes von Unifi und des Forums konnte ich das Problem lösen!!!!


    Vorweg:

    Im Rahmen meiner weiteren Fehlersuche per Telnet/Konsole auf dem USG (und nur hier macht es Sinn, weil man Details sieht) konnte ich folgende Fehlermeldung ausmachen:



    Diese Meldung kann man sehen, wenn man folgenden Befehl eingibt:


    Code
    sudo freeradius -fX



    oder



    Code
    sudo cat /var/log/freeradius/radius.log



    Nach einigen Emails mit dem Support, der wirklich sehr freundlich und konstruktiv war, kam heraus, dass dieser Fehler dann entsteht, wenn man den VPN unter dem neuen Benutzerinterface einrichtet. Also nicht die klassische Ansicht! Das hatte ich getan und das war der Fehler! Denn dann werden bestimmte Einstellungen nicht aktiviert und nicht in die clients.conf geschrieben. Selbst nach dem Wechsel auf die klassische Ansicht können die Einstellungen nicht geändert werden. Ich rede hier konkret von der Einstellung zu den Endgeräten unter „Dienste >> Radius >> Server“ und dann der Punkt „Endgeräte:“ Hier muss der Haken stehen für „Der Abschnitt Endgeräte gilt für das gesamte Netzwerk“. In meinem Fall war die Schaltfläche deaktiviert und ich konnte Sie nicht anhaken. Dieser Fehler ist bekannt und den Entwicklern von Unifi gemeldet, lt. Support!


    Wegen diesem Fehler wurde der VPN bei mir nicht vollständig aufgebaut!



    Nun zur Lösung:


    Es gibt zwei Lösungswege.


    Lösungsweg 1:


    USG auf Werkseinstellungen zurücksetzen. Und alles in der klassischen Ansicht neu aufsetzen. Ober der Controller ebenfalls neu aufgesetzt werden muss, weiß ich nicht! Habe ich nicht gemacht!



    Lösungsweg 2:


    Der ist etwas komplizierter aber machbar und diesen habe ich gewählt.

    • Windowsmaschine mit Chrome Browser nehmen. Hier benötigt man die Developing Tools des Browsers (sind immer dabei)
    • Dann auf die Seite „Dienste >> Radius >> Server“ gehen.
    • Mit der Maus über den Text „Der Abschnitt Endgeräte gilt für das gesamte Netzwerk“ gehen und dann die rechte Maustaste drücken. Im Kontextmenu den Punkt „Untersuchen“ auswählen. Dann öffnet sich an die rechte Browserhälfte dem HTML-Code und es wird die entsprechende Codezeile markiert.
    • Mit der Pfeiltaste „rauf“ ein Element höher navigieren. Dann sieht man gleichzeitig, das auf der Webseite nun die Checkbox markiert wird.


    • Nun im Browser auf der rechten Bildhälfte die Console (oben neben Elements) öffnen und folgendes eingeben: $0.disabled = false
    • Dadurch wird die Zeile auf der Weboberfläche für Endgeräte nun wieder aktiv.
    • Erst jetzt kann man den Haken in der Checkbox setzen
    • Wichtig: Änderungen Übernehmen drücken!
    • Noch wichtiger!!!! Spätestens jetzt sollte die Erkenntnis kommen, dass man ohne Community und Support nie an diesem Punkt angelangt wäre und es stellt sich das Gefühl von Dankbarkeit ein! Denn das war alles!!! :winking_face: Deshalb soll man sein Wissen teilen!!!


    Ich konnte danach von allen Endgeräte den VPN sofort aufbauen. Übrigens auch aus dem lokalen Netz!


    Danke für alle Tipps und Hinweise. Danke an den Support! Nach stundenlanger Fehlersuche und unzähligen Foreneinträgen hat sich die Lösung ergeben!


    Ich hoffe mein Post hilft und der Bug wird bald gefixt! Mein Tipp: Lasst die Finger vom neuem Benutzerinterface-Design!


    Gruß Micha


    kleinp Viel Erfolg, ich hoffe es hilft Dir weiter!

    Hallo,


    ich habe mich nun extra wegen dieses Problems angemeldet.

    Letzte Woche wurde mir das Update 4.4.55 für die USG-3P angeboten.


    Das Gerät hat bis dato tadellos mit der 4.4.52 funktioniert, und auch die Nutzung von L2TP per IPSEC am Telekom Business-Anschluss hat funktioniert.


    Seit dem Update auf die 4.4.55 hat L2TP nur noch sporadisch funktioniert, und nun leider gar nicht mehr.


    > show vpn log tail

    Code
    Nov  8 18:57:19 01[IKE] <9> 109.40.3.XXX is initiating a Main Mode IKE_SA
Nov  8 18:57:21 11[IKE] <remote-access|9> IKE_SA remote-access[9] established between 217.91.21.XXX[217.91.21.XXX]...109.40.3.XXX[100.79.80.XXX]
Nov  8 18:57:21 03[IKE] <remote-access|9> CHILD_SA remote-access{9} established with SPIs c293f80c_i 026e0816_o and TS 217.91.21.XXX/32[udp/l2f] === 109.40.3.XXX/32[udp/62021]
Nov  8 18:57:52 09[IKE] <remote-access|9> closing CHILD_SA remote-access{9} with SPIs c293f80c_i (704 bytes) 026e0816_o (228 bytes) and TS 217.91.21.XXX/32[udp/l2f] === 109.40.3.XXX/32[udp/62021]
Nov  8 18:57:52 03[IKE] <remote-access|9> deleting IKE_SA remote-access[9] between 217.91.21.XXX[217.91.21.XXX]...109.40.3.XXX[100.79.80.XXX]
Nov  8 18:57:58 14[KNL] interface ppp1 deleted

    > cat /var/log/freeradius/radius.log

    Code
    Mon Nov  8 18:55:33 2021 : Info: Loaded virtual server <default>
Mon Nov  8 18:55:33 2021 : Info: Loaded virtual server inner-tunnel
Mon Nov  8 18:55:33 2021 : Info:  ... adding new socket proxy address * port 43278
Mon Nov  8 18:55:33 2021 : Info: Ready to process requests.

    > tail /var/log/messages

    Code
    Nov  8 18:57:22 Gateway xl2tpd[15280]: Connection established to 109.40.3.XXX, 62021.  Local: 39758, Remote: 18 (ref=0/0).  LNS session is 'default'
Nov  8 18:57:22 Gateway xl2tpd[15280]: Call established with 109.40.3.XXX, PID: 24088, Local: 59735, Remote: 7163, Serial: 1
Nov  8 18:57:22 Gateway pppd[24088]: pppd 2.4.4 started by root, uid 0
Nov  8 18:57:22 Gateway pppd[24088]: Connect: ppp1 <-->
Nov  8 18:57:22 Gateway zebra[759]: interface ppp1 index 23 <POINTOPOINT,NOARP,MULTICAST> added.
Nov  8 18:57:58 Gateway pppd[24088]: Connection terminated: no multilink.
Nov  8 18:57:58 Gateway zebra[759]: interface ppp1 index 23 deleted.
Nov  8 18:57:58 Gateway pppd[24088]: Modem hangup


    > swanctl --log


    Ich bin aktuell ziemlich ratlos.

    Laut freeradius gibt es gar keinen Query bzgl. l2tp.

    Der Haken "Configure clients section for whole network" ist bei mir aktiv. (Ich hatte ihn auch deaktiviert und Radius deaktiviert, neu einerichtet etc.)


    UPDATE: Ein Downgrade auf die 4.4.52 und es läuft alles wieder. Idee, was da los sein könnte?
    UPDATE2: Es hat 2x vom iPhone 13 Pro funktioniert. Danach wieder exakt das gleiche Verhalten.

    2 Mal editiert, zuletzt von TheSephe ()