L2TP-VPN: Probleme beim Einrichten

FB?

Ich mal wieder...

Ich versuche mich nun auch im Thema VPN-User mit der UDM Pro. Nachdem ich ja nun die Einwahl mit der UDM Pro mache und somit die Fritzbox durch den Vigor 165 ersetzt habe, dachte ich, es kann ja nicht so schwer sein einen VPN Zugang für einzelne User anzulegen. Ich habe mir dazu jetzt 3 verschiedene Videos auf deutsch, schweizer-deutsch und US-amerikanisch angesehen. Alle haben die gleichen Schritte gezeigt und alle diese Schritte habe ich mehrfach kontrolliert. Ich bekomme aber weder mit dem iPhone noch mit dem Android-Handy eine Verbindung aufgebaut.

Hier meine Konfig:

Und jedes Mal kommt im Handy, dass die Verbindung fehlschlägt. Im iPhone steht, dass der VPN-Server nicht antwortet und bei Android kommt einfach nur Verbindung fehlgeschlagen.

Ich habe es über das alte und neue Interface versucht. Beim neuen ist mir allerdings was aufgefallen.

Wenn ich auf "WAN" klicke als Schnittstelle, steht unten im Feld meine "ehemalige feste WAN IP" als ich noch die Fritzbox habe einwählen lassen und kann auch nur aus dem Dropdown Feld diese IP Adresse auswählen. Klicke ich auf WAN2, dann kommt dort als Standard-Wert "any" als editierbares Textfeld.

Kann es sein, dass die UDM Pro noch nicht verinnerlicht hat, dass sie selbst die Internetverbindung aufbaut und eine öffentliche IP bekommt? Oder habt ihr noch eine Idee, was ich machen könnte?

Hi EJHome!

Habe ich tatsächlich schon gemacht. Ich habe auch meine aktuelle IP mit der DynDNS IP vergleichen und habe im Handy an Stelle der DynDNS Adresse auch mal die IP eingegeben. Immer mit dem gleichen Ergebnis...

Hi!

Du wolltest sicher "anpingen" schreiben oder was meinst du mit aneignen?

Ja, die DDNS Andresse verweist auf meine IP. Wie gesagt, auch wenn ich meine öffneltiche IP direkt im Handy eintrage, bekomme ich keine Verbindung zu Stande. Daher vermute ich noch einen Fehler in der UDMP.

Denn ich hatte früher mit der FritzBox das VPN aufgebaut, das ging super einfach und war immer zuverlässig.

Da diese aber nur noch als Client im Netzwerk hängt, gibt es dort keine Einstellung mehr zu VPN. Ist ja auch technisch nicht möglich, da diese ja keine IP Adresse mehr vergibt und nicht mehr als Router läuft.

Zwei Dinge fallen mir auf bei deiner Konfig:

Radius Nutzer ist keinem VLAN zugewiesen

und beim MS Chap-V2 ist ein Haken drin

... warum?

MSChap V2 habe ich auch, da ich zB Win Rechner nutze und damit geht es.

Weiterhin habe ich als

tunneltyp 13 VLAN

und als

tunnelmedium 6 802 enthält alle 802 Medien.....

so steht es bei mir und klappt super, der tunneltyp steht auf 13 da ich die User auch für WPA Enterprise nehme und dann mit VLAN ID direkt in des Netzwerk befördert werde.

Läuft bei mir mit unterschiedlichen IOS / MACOS Clients

Ich kann schon einen Teilerfolg melden! Das iPhone7 hat jetzt die Verbindung aufgebaut. Ich hatte nochmal alles komplett in der UDMP gelöscht, diese neu gestartet und dann in der alten Oberfläche mit dem Radius Server angefangen, dann Radius User eingerichtet und zum Schluss das VPN Netzwerk. Ursprünglich hatte ich das mit der neuen Oberfläche eingerichtet, aber da wollte ja gar nicht mit funktionieren.

Jetzt kann das iPhone nach nur 2-3 Sek eine Verbindung herstellen.

Aber warum bekomme ich vom Android keine Verbindung zustande? Wähle ich dort L2TP oder L2TP mit PSK? Ich verwende Android 10 auf meinem Honor 10. Da das mein Haupttelefon ist, wäre mir das natürlich viel lieber, wenn es damit klappt, statt iPhone.

Ich habe noch das eine oder andere Mobilgerät hier liegen, ich versuche es jetzt nochmal mit einem Chromebook und einem Android Tablet (mit Android 8).

Samhain : Ja die Kollegen haben recht, dass es in diversen Tutorials so gezeigt wurde und ich ggf. auch mal mit einem Win10 PC auf mein Netzwerk zugreifen muss. Dann brauche ich CHAP v2.

VLAN wollte ich erst angehen, wenn es überhaupt mal läuft.

Bei Android 11

Typ L2TP/IPSec PSK

L2TP Schlüssel: nicht verwendet

IPSec ID : nicht verwendet

Vorinstallierter IPSec Schlüssel: dein Passwort PreShared

Nutzer Name und Passwort wie im User

Habs jetzt mit zwei anderen Androiden mit Android 10 auch hinbekommen. Allerdings nur L2TP.

Typ: L2TP

Server: meine DynDNS

L2TP-Schlüssel: nicht verwendet

komisch... sind nur diese drei Felder. Und trotzdem hat es jetzt erst beim 10. Versuch geklappt.

BlackSpy Ich habs jetzt mit deinen Einstellungen auch mal getestet. Geht auch mit Pre Shared Key.

Zitat von Launi

Habs jetzt mit zwei anderen Androiden mit Android 10 auch hinbekommen. Allerdings nur L2TP.

Typ: L2TP

Server: meine DynDNS

L2TP-Schlüssel: nicht verwendet

komisch... sind nur diese drei Felder. Und trotzdem hat es jetzt erst beim 10. Versuch geklappt.

BlackSpy Ich habs jetzt mit deinen Einstellungen auch mal getestet. Geht auch mit Pre Shared Key.

Alles anzeigen

das finde ich sehr erschreckend das die UDM SHA1 und L2TP ohne IPsec ermöglicht und man dies nicht in der GUI ändern kann.
Security würde ich das nicht nennen, in einem Firmennetz wäre das untragbar. Wenn ich ein PSK/Secret im Netzwerk anlegen muss sollte das auch zwingend notwendig sein um die Verbindung aufzubauen. Wenn ein User sein Kennwort schlecht wählt ist es vorbei mit der Netzwerksicherheit deswegen gibt es ja den PSK/secret

auch mag die UDM nicht mit dem Linux Standard strongswan arbeiten und im offiziellen Forum steht dann man solle es durch openswan ersetzen.

AES128-sha1 war das sicherste was sich konfigurieren ließ in den IPsec Einstellungen.

Trauriges Fazit für die UDM das es nicht möglich ist ein DDNS mit doppelten NAT einzurichten und ein VPN nicht mit sicheren (aktuellen) Protokollen und Verschlüsselungen nutzen kann.

So,

heute melde ich mich mit selbigem VPN-Problem.

Server, Benutzer, Netzwerk... Alles eingetragen

Hab testweise sogar den preshared key & das Radius secret identisch gemacht, beides nur Kleinbuchstaben.

Zuletzt beides auf 112233445566778899

Meinen VPN User auf 3355881144

Also so simpel, dass ich mich nicht vertippen kann.

Mit nur Zahlen kommt zumindest, dass die Authentifizierung fehlgeschlagen ist.

WLAN ist aus, ich teste per LTE.

DYNDns funktioniert, hab testweise kurz rdp freigegeben...

Alles nochmals gelöscht und erst Radius, dann USer, dann Netzwerk. Nüscht...

Firewall ist unangetastet (außer rdp testweise).

Getestet via iOS

Der einzige Unterschied zu den Screenshots hier ist, dass ich keine Schnittstelle auswählen kann...

Aber das kann aufgrund FW-Stand sein. Ich bin aktuell (cloud key gestern aufgesetzt).

Hie mal meine Einstellungen - läuft bei mir auf einem iPhone und iPad ohne Störungen.

Was mir gestern abend noch aufgefallen ist:

local WAN IP

Hier wird immer die xxx.xxx.xxx.250 aus meinem Netz genommen.

Nicht aus dem neuen VPN Netz.

Aber die local WAN IP ist doch eigentlich, wie der Name sagt, WAN...?

Hier gibts kein dropdown Menü oder ähnliches...

Unter netzwerke-VPN, Schalt mal MS-Chapv2 ab...

Hatte ich auch schon getestet.

Kein unterschied.