VPN L2TP over IPSec von außen nicht möglich

**Jonas** · 7. Februar 2023

Hallo

ich komme hier einfach nicht weiter und habe nun nach Stunden erfolgloser Fehlersuche beschlossen, mich an euch zu wenden.

Ich haben einen neuen Internet Provider und mit einem Vigor als Modem nun alles (PPOE etc.) in der Unifi Umgebung eingerichtet.

Nun komme ich leider beim Thema VPN nicht weiter.

Als DynDNS Service nutze ich NOIP und auf noip.com sehe ich auch die Adresse, welche mir vom ISP zugewiesen wurde und somit auch im Unifi-Internet-Setup steht - womich ich einen Fehler hier mal ausgeschlossen hätte.

Wenn ich als Server auf dem iPhone testweise im WLAN die IP vom USG hart rein schreibe funktioniert es, wenn ich es über LTE probiere nicht.

Pre-Shared Key, Nutzer und Nutzer-PW habe ich schon doppelt gecheckt. Auch den Dienst habe ich schon gelöscht und neu angelegt.

Liegt es vielleicht an einer fehlerhaften Firewall-Konfiguration?

Ich dachte das USG erstellt die Regeln beim Anlegen eines VPN selbst …

Ich hoffe, ihr habt noch eine Idee und könnt mir helfen.

Danke!

EDIT: Der DNS #1 ist mein PiHole Server.

**defcon** · 7. Februar 2023

Kannst du beim anlegen vom VPN Server nicht "Auto Defined" WAN1 auswählen?

Ich habe kein USG mehr, deswegen weiß ich nicht, in wie weit sich die Settings vom UXG zum USG hier unterscheiden.

**Jonas** · 7. Februar 2023

Hallo

leider nicht. Da steht fix die IP Adresse drin.

**defcon** · 7. Februar 2023

Also ich hatte problemlos Jahre lang nen L2TP VPN mit DynDNS auf dem USG laufen...

Vielleicht kann razor mal seine Settings posten, er hat glaube ich auch ein USG und VPN am laufen.

**Jonas** · 7. Februar 2023

Ich ja davor auch. und da hing noch ein telekom router vor meinem LAN. (portfreigaben nötig). nun da das setup vermeintlich einfacher ist funktioniert es nicht mehr - und ich habe keinen dunst wieso. Ist ja keine Raketenwissenschaft, den VPN anzulegen …

**defcon** · 7. Februar 2023

hast du mal versucht die Dyn DNS Adresse bei Server einzuragen?

**Jonas** · 7. Februar 2023

Hallo

ich kann beim Server gar nichts eintragen. Vermutlich weil ich bei der WAN Verbindung schon den DynDNS Dienst eingegeben habe und er die deshalb automatisch übernimmt …

Danke

**razor** · 7. Februar 2023

Zitat von defcon

Also ich hatte problemlos Jahre lang nen L2TP VPN mit DynDNS auf dem USG laufen...
Vielleicht kann razor mal seine Settings posten, er hat glaube ich auch ein USG und VPN am laufen.

Ich hatte damals nur OpenVPN mit DynDNS zum Laufen bekommen, nachdem auch ich an IPSec mit DynDNS gescheitert bin. Aktuell habe ich bei Site-2-Site nur noch WireGuard im Einsatz - nix anderes mehr. Allerdings konnte ich eine Verbindung zu AVM mit öffentlich verfügbarer Firmware noch nicht erfolgreich herstellen, da mein "Partner" nicht genug Geduld aufbringen wollte - und immer gegen meinen UniFi-Scheiß schießt.

**Jonas** · 8. Februar 2023

Also ich glaube ich weiß nun wo das Problem liegt aber ich habe keinen Dunst, wie ich es beheben kann.

Die IP Adresse, welche ich am USG angezeigt bekomme stimmt nicht mit der IP Adresse vom DynDNS Dienst überein …

Ich habe eben noch einmal gecheckt, dass das Vigor 166 auch nur im Bridge Mode steht - ds ist der Fall. DHCP ist auch aus, weshalb ich mir die Diskrepanz hier absolut nicht erklären kann.

Ich habe mal Draytek angeschrieben. Wenn ich hier nicht weiter komme muss ich direkt auf meinen Internetanbieter zugehen ...

Zitat

Your UniFi Gateway Does Not Have a Public IP Address (Double NAT)

This typically occurs if your UniFi gateway is located behind another router/modem that uses Network Address Translation (NAT). You are likely affected if your UniFi gateway has a WAN IP address in one of the following ranges:
10.0.0.0/8 (10.0.0.0 - 10.255.255.255)
172.16.0.0/12 (172.16.0.0 - 172.31.255.255)
192.168.0.0/16 (192.168.0.0 - 192.168.255.255)
100.64.0.0/10 (100.64.0.0 - 100.127.255.255)

Genau das trifft bei mir zu. Das USG zeigt eine IP im Bereich 100.XXXX … Der DynDNS Dienst 93.XX - ich verstehe das nicht.

**defcon** · 8. Februar 2023

Draytek kann ja nix für deine WAN IP

Machst du die Einwahl mit PPPoE oder wie läuft es bei dir?

Wenn du deine IP auf einschlägigen Seiten prüfst, wird denn auch dort die 100er IP angezeigt?

**Jonas** · 8. Februar 2023

PPPoE, ja.
wieistmeineip liefert auch das gleiche wie dyndns … also 93.xx. nur im Unifi USG steht die fest zugewiesene 100.xx ip:

**defcon** · 8. Februar 2023

Das ist ja spannend :O

Halt uns auf dem laufenden

**Jonas** · 8. Februar 2023

Mache ich Der Mist hat mich schon zu viel Zeit gekostet - aber man ist's ja gewohnt …

Kurios.

Wenn ich die IP des USG (100.XXX) in den Browser eingebe kommt folgedes Anmeldefenster:

Allerdings kann ich mich hier nicht mit meinen Daten anmelden …

Auch die Oberfläche sieht anders aus … Ist das vielleicht ein USG von meinem Provider?

Das mit der Versionsnummer ist mein Standard-Anmeldebildschirm

**razor** · 8. Februar 2023

Zitat von Jonas

Kurios.
Wenn ich die IP des USG (100.XXX) in den Browser eingebe kommt folgedes Anmeldefenster:

Allerdings kann ich mich hier nicht mit meinen Daten anmelden …
Auch die Oberfläche sieht anders aus … Ist das vielleicht ein USG von meinem Provider?

Das mit der Versionsnummer ist mein Standard-Anmeldebildschirm

Alles anzeigen

Ist das die "öffentliche" IP Deines USGs?

Kannst Du Dich mal per shh auf dem USG anmelden (siehe wiki) und die Ausgabe des folgenden Befahls posten:

ip a - gern als Code-Block einfügen (oben </>)

Danke Dir.

EDIT: Ja, isse, wie ich eben noch einmal gelesen habe. Das ist einfach die GUI vom USG, welches auch eine eigene hat.

**Jonas** · 8. Februar 2023

Hallo

ja aber muss die nicht mit der mir zugewiesenen IP vom Provider übereinstimmen?!

Code

link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP
link/ether 74:ac:b9:46:f5:e1 brd ff:ff:ff:ff:ff:ff
inet6 fe80::76ac:b9ff:fe46:f5e1/64 scope link
valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UNKNOWN
link/ether 74:ac:b9:46:f5:e2 brd ff:ff:ff:ff:ff:ff
inet 192.168.1.1/24 brd 192.168.1.255 scope global eth1
valid_lft forever preferred_lft forever
inet6 fe80::76ac:b9ff:fe46:f5e2/64 scope link
valid_lft forever preferred_lft forever
4: eth2: <BROADCAST,MULTICAST> mtu 1500 qdisc noqueue state DOWN
link/ether 74:ac:b9:46:f5:e3 brd ff:ff:ff:ff:ff:ff
5: imq0: <NOARP,UP,LOWER_UP> mtu 16000 qdisc pfifo_fast state UNKNOWN qlen 11000
link/void
18: pppoe0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1492 qdisc htb state UNKNOWN qlen 100
link/ppp
inet XXX.XXX.XX.XX peer 185.61.120.13/32 scope global pppoe0
valid_lft forever preferred_lft forever
19: ifb_pppoe0: <BROADCAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc htb state UNKNOWN qlen 32
link/ether 66:ef:b5:1f:2b:13 brd ff:ff:ff:ff:ff:ff
inet6 fe80::64ef:b5ff:fe1f:2b13/64 scope link
valid_lft forever preferred_lft forever

Alles anzeigen

**razor** · 8. Februar 2023

So sieht es bei "meinem" USG-3 aus, mit ich ich vorher auch ein OpenVPN hatte - hinter einer FRITZ!Box:

Code

# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP
    link/ether e0:63:da:26:08:41 brd ff:ff:ff:ff:ff:ff
    inet 192.168.178.10/24 brd 192.168.178.255 scope global eth0
       valid_lft forever preferred_lft forever
    inet6 fe80::e263:daff:fe26:841/64 scope link
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP
    link/ether e0:63:da:26:08:42 brd ff:ff:ff:ff:ff:ff
    inet 192.168.2.1/24 brd 192.168.2.255 scope global eth1
       valid_lft forever preferred_lft forever
    inet6 fe80::e263:daff:fe26:842/64 scope link
       valid_lft forever preferred_lft forever
4: eth2: <BROADCAST,MULTICAST> mtu 1500 qdisc noqueue state DOWN
    link/ether e0:63:da:26:08:43 brd ff:ff:ff:ff:ff:ff
5: imq0: <NOARP,UP,LOWER_UP> mtu 16000 qdisc pfifo_fast state UNKNOWN qlen 11000
    link/void
6: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1500 qdisc noqueue state UNKNOWN
    link/none
    inet 192.168.179.6/30 brd 192.168.179.7 scope global wg0
       valid_lft forever preferred_lft forever

Alles anzeigen

eth0: WAN

Jetzt machen wir das per WireGuard (deswegen wg0).

Ich meine, dass er in der FRITZ!Box Port-Forwarding konfiguriert hat. Das kann ich aber aktuell nicht einsehen.

Ja, die WAN-IP sollte, wenn Dein USG die Einwahl via PPPoE vornimmt, am USG "anliegen".

**Jonas** · 8. Februar 2023

Also am Vigor liegt's schon mal nicht … ich werde ihn wohl als Router einrichten und die VPN Ports an das USG weiterleiten. Aber es juckt mich schon den Grund für das hier rauszufinden …

**Jonas** · 8. Februar 2023

Also ich weiß nun was los ist:

Sehr ärgerlich … 5 € im Monat für eine Grundfunktion ist schon frech.

Ich schaue mal ob ich Tailscale nutzen kann. Auf der Synology konnte ich es schon installieren und Zugriff vom iPhone aus klappt auch aber die Frage ist, wie ich auf die anderen Geräte in meinem Netzwerk komme (ich habe viele kleine Gateways, die ich gerne erreichen würde, die eine eigene IP Adresse haben) … Wenigstens komme ich mit Tailscale schon mal auf die ganzen Docker Container auf der Synology …

**razor** · 8. Februar 2023

Zitat von Jonas

Also ich weiß nun was los ist:

Sehr ärgerlich … 5 € im Monat für eine Grundfunktion ist schon frech.
Ich schaue mal ob ich Tailscale nutzen kann. Auf der Synology konnte ich es schon installieren und Zugriff vom iPhone aus klappt auch aber die Frage ist, wie ich auf die anderen Geräte in meinem Netzwerk komme (ich habe viele kleine Gateways, die ich gerne erreichen würde, die eine eigene IP Adresse haben) … Wenigstens komme ich mit Tailscale schon mal auf die ganzen Docker Container auf der Synology …

Alles anzeigen

Nette Antwort vom Support - welcher denn?:

Zitat

das haben Sie vollkommen richtig recherchiert.

What the heck?! Aber jetzt haste Deine Antwort ja - die Du sicher nicht wolltest / erwartet hast.

Die sollen einfach den gewünschten Port auf Deine WAN-IP weiterleiten. Dann sparste die €5 / Monat.

**Jonas** · 8. Februar 2023

Ist ein lokaler Anbieter. Hat auch kurz danach angerufen und es mir noch mal erklärt - also die Sache mit der "mangelware - ip adresse" …

Naja. Warten auf IPv6

Willkommen! Melden Sie sich an oder registrieren Sie sich.

VPN L2TP over IPSec von außen nicht möglich

Tags

3 Benutzer haben hier geschrieben

Wer ist war online

Benutzer online 91

Wer war online 270