Site-to-Site-VPN zwischen USG und USG‑PRO‑4 mit dyn. IP

Das bedeutet, dass die Verbindung statt im main mode (verschlüsselter handshake) im aggressive mode aufgebaut wird.

Im aggressive mode wird im handshake auch unverschlüsselt (s. https://community.cisco.com/t5…ressive-mode/ta-p/3123382) gesendet.

Damit ist es im Prinzip möglich den PSK per brute force zu errechnen. Wenn man allerdings einen sehr guten psk verwendet halte ich das Risiko für eine private VPN Verbindung für vertretbar. Es gibt schlicht keine Alternative für s2s mit Fritzbox und unifi, bei Verwendung dynamischer IPs.

Zitat von TSchabba

Wenn du statt des IPSec ein OpenVPN-Site-to-Site VPN nimmst, funktioniert es auch mit Hostnamen (habe ich soeben erfolgreich eingerichtet). Wie es sich bei der Neuvergabe der IP verhält, habe ich bisher noch nicht erlebt, ich bin aber voller Hoffnung

Viele Grüße,

Timo

Hi Timo, ich versuche nun seit Tagen zwei USG mit dynamischer IP per VPN zu verbinden. Kannst du mir in 3 Worten oder Bildern kurz die Einstellungen verraten, die bei dir zum Erfolg geführt haben?

Werde die configs morgen im Laufe des Tages posten.

Zitat von razor

Wenn Du beide USGs in einem Controller verwaltest, dann geht es recht einfach über die entsprechend eingebaute Funktion.

Wenn nciht, dann bleibt Dir per GUI nur OpenVPN - per Config-File auch IPSec --> genau mein Thema / meine Frage an ede_kowalski , der es ja gelöst hat, wenn ich sein Posting oben richtig verstanden habe.

Und genau an dem Punkt OpenVPN scheitere ich. Es klappt einfach nicht. Die Verbindung zwischen zwei Sites auf einem Controller scheitert bisher aber leider auch. Vermutlich aber weil eine USG hinter einem NAT sitzt. Ich hätte eigentlich erwartet, dass ich per Open beliebige USGs vernetzen kann. Bei IPSec scheitert dies ja an den nicht immer vorhandenen festen IPs

Hier die config auf meiner usg pro:

PSK, eigene dyndns und remote dyndns müssen natürlich angepasst werden.

"vpn": {
        "ipsec": {
            "esp-group": {
                "ESP-FritzBox": {
                    "compression": "disable",
                    "lifetime": "3600",
                    "mode": "tunnel",
                    "pfs": "enable",
                    "proposal": {
                        "1": {
                            "encryption": "aes256",
                            "hash": "sha1"
                        }
                    }
                }
            },
            "ike-group": {
                "IKE-FritzBox": {
                    "lifetime": "3600",
                    "key-exchange": "ikev1",
                    "proposal": {
                        "1": {
                            "dh-group": "2",
                            "encryption": "aes256",
                            "hash": "sha1"
                        }
                    }
                }
            },
            "auto-firewall-nat-exclude": "enable",
            "auto-update": "60",
            "ipsec-interfaces": {
                "interface": [
                    "eth2"
                ]
            },
            "nat-networks": {
                "allowed-network": {
                    "0.0.0.0/0": "''"
                }
            },
            "nat-traversal": "enable",
            "site-to-site": {
                "peer": {
                    "REMOTE_DYNDNS": {
                        "authentication": {
                            "id": "EIGENE_DYNDNS",
                            "mode": "pre-shared-secret",
                            "pre-shared-secret": "PSK",
                            "remote-id": "REMOTE_DYNDNS"
                        },
                        "connection-type": "initiate",
                        "ike-group": "IKE-FritzBox",
                        "ikev2-reauth": "inherit",
                        "local-address": "any",
                        "tunnel": {
                            "1": {
                                "esp-group": "ESP-FritzBox",
                                "local": {
                                    "prefix": "192.168.160.0/24"
                                },
                                "remote": {
                                    "prefix": "192.168.200.0/24"
                                }
                            }
                        }
                    }
                }
            }

Auf der fritzbox bin ich mir gerade unsicher ob ich hier die aktuelle config habe.

Kann ich die irgendwie exportieren?

Gruß,

Ede

Zitat von razor

Das schaue ich mir nachher an.

Ich muss nur die Zeilen, 47, 49 & 50 und den Tunnel unten anpassen, korrekt?
Export als Teil eines Backups sollte gehen. Musst Dir den Export dann in einem ordentlichen Editor ansehen, dann solltest Du das Gesuchte finden.

Das hast Du bei Dir auch wie genannt konfiguriert? Nur zur Bestätigung.

Du hast Zeile 45 vergessen, die muss auch angepasst werden.

Wenn du andere Netzwerke verwendest natürlich auch die Netzwerk ranges und wenn es keine usg pro ist auch den ethernet port.

Export muss ich mir dann mal anschauen, die fbox steht bei meinen Eltern, sollte aber ja remote gehen.

Ja, das läuft soweit sehr gut, nur ist das schon was her mit der Einrichtung.

Sorry aber nochmals die Frage: Hat jemand zwei USG, die nicht über eine Site laufen per OpenVPN mit "dynamischen" Adressen am laufen?

Zitat von razor

Me.

Okay, ich werte das als Ja. Geht es über die Gui, oder nur per Config? Ich stehe echt auf dem Schlauch und würde mich sehr für eine Lösung interessieren. Was muss ich tun, damit es läuft?

Hi Razor,

ich bin wohl zu dumm mir einen 512er Key auszudenken.... was auch immer ich eingebe - unifi sagt _____ in rot "nö

Zitat von razor

• Name: up to you
• Purpose: Site-to-Site VPN
• VPN Type: OpenVPN
• Enabled: true
• Remote Subnets: alle Netze, die sich hinter dem jeweiligen Partner befinden und die erreicht werden soll. Netze, die hier nicht auftauchen, werden nicht hinter dem Remote-Gateway gesucht.
• Route Distance: 30
• Remote Host: DNS des Partners (auch dynDNS möglich!)
• Remote Address und Local Address müssen jeweils gegenseitig konfiguriert werden. Bei uns sieht das so aus:
  • Me:
    • Remote Address: 10.66.123.10, Port: 1321
    • Local Address: 10.66.123.11, Port: 1321
  • Partner:
    • Remote Address: 10.66.123.11, Port: 1321
    • Local Address: 10.66.123.10, Port: 1321
• Shared Secret Key: https://help.ui.com/hc/en-us/a…1F6HS63YDTM7H62SYX2BND8PN
  • Kurz: auf der Console des USGs einloggen, generate vpn openvpn-key /tmp/ovpn und sudo cat /tmp/ovpn ausführen und auf beiden Seiten einfügen

Und schon geht's.

Hoffentlich jetzt auch bei Dir.

Hi Razor - Danke! jetzt konnte ich es mir mal in Ruhe ansehen und was soll ich sagen. Läuft

Following.

Steige gerade so ein wenig in die Unfi Welt ein.

Finde ich doch recht schwach das IPsec beim S2S VPN mit dynIP nicht funktioniert.

Zitat von razor

• Name: up to you
• Purpose: Site-to-Site VPN
• VPN Type: OpenVPN
• Enabled: true
• Remote Subnets: alle Netze, die sich hinter dem jeweiligen Partner befinden und die erreicht werden soll. Netze, die hier nicht auftauchen, werden nicht hinter dem Remote-Gateway gesucht.
• Route Distance: 30
• Remote Host: DNS des Partners (auch dynDNS möglich!)
• Remote Address und Local Address müssen jeweils gegenseitig konfiguriert werden. Bei uns sieht das so aus:
  • Me:
    • Remote Address: 10.66.123.10, Port: 1321
    • Local Address: 10.66.123.11, Port: 1321
  • Partner:
    • Remote Address: 10.66.123.11, Port: 1321
    • Local Address: 10.66.123.10, Port: 1321
• Shared Secret Key: https://help.ui.com/hc/en-us/a…1F6HS63YDTM7H62SYX2BND8PN
  • Kurz: auf der Console des USGs einloggen, generate vpn openvpn-key /tmp/ovpn und sudo cat /tmp/ovpn ausführen und auf beiden Seiten einfügen

Und schon geht's.

Hoffentlich jetzt auch bei Dir.

Könntest du mir helfen?

bei mir übernimmt er die einstellungen leider nicht, also ich kann es nicht speichern.

Er zeigt mir auch leider kein Fehler an.

hattest du schon mal sowas?

die gegenstelle hat das subnetzt 192.168.1.0/24

lokal habe ich 192.168.10.0/24

Okay, Fehler gefunden

im Key war ein leer Zeichen noch

Was muss man noch an Netzen da eintragen damit die verschiedenen Netze erreichbar sind ?

Im Feld Remote Subnetze

einfache mehre Eintragen

Tipp: erstelle für VPN einfach ein separates Netz und erstelle Firewall regeln. Dadurch hast du viel mehr spiel

und es ist strukturierter

Zum besseren Verständnis die IP Adressen ist ein Virtueller PC der einfach zwei LAN Anschlüsse hat.

jeder LAN hat eben sein eigene IP Adresse.

Ich hoffe es hilft um die Firewall besser einzustellen