Quelltext der Seite FritzBox - Site to Site VPN zu pfSense 2.1.5


[[Kategorie:FritzBox]]
Als Grundlage habe ich diesen Artikel hier genommen: http://www.networkmonkey.de/ipsec-vpn-zwischen-pfsense-20-und-avm-routern/<br>
Aber wie schon so oft passte es mal wieder nicht ganz genau, ich hatte eine neuere pfSense Version usw.<br>
Hat einige Versuche gebraucht - doch nun läuft der Tunnel Stabil - auch nach einer Zwangstrennung etc.<br>
<br>
<br>
<big>'''Es gibt eine aktuellere Anleitung: [[FritzBox - Site to Site VPN zu pfSense 2.5]]'''</big>
<br>
<br><br>
<br><br>
<br><br>
<br><br>

==Ausgangslage==
Ich habe folgende "Geräte":<br>
* pfSense 2.1.5 Firewall als virtuelle Maschine (VM) auf ESXi 5.5
** WAN Schnittstelle hat die feste, öffentliche IP '''198.100.144.136'''
** LAN Schnittstelle hat die private IP '''192.168.200.1'''
* FritzBox 7390 mit Firmware Fritz!OS 6.20
** WAN Schnittstelle hat dynamische, öffentliche IP
** Öffentliche IP wird über DynDNS.org registriert und ist somit über '''testlinz.dyndns.org''' erreichbar
** LAN-Schnittstelle hat die feste IP '''192.168.1.1'''
<br>
Ich will hier also die Netzwerke '''192.168.200.0/24''' und '''192.168.1.0/24''' miteinander verbinden.<br>
 +-----------------------+       +----------------------------------+                      +-----------------------------------+      +-----------------------+
 |  Netzwerk "Irgendwo"  |       |       Firewall pfSense           |                      |         Fritz!Box 7390            |      |   Netzwerk "Daheim"   |
 +-----------------------+       +---------------+------------------+                      +---------------------+-------------+      +-----------------------+
 | IP      192.168.200.0 |       |    Intern     |      Extern      |                      |       Extern        |   Intern    |      | IP      192.168.1.0   |
 | Maske   255.255.255.0 | <-->  | 192.168.200.1 |  198.100.144.136 | <---- Internet ----> | testlinz.dyndns.org | 192.168.1.1 | <--> | Maske   255.255.255.0 |
 | Gateway 192.168.200.1 |       +---------------+------------------+                      +---------------------+-------------+      | Gateway 192.168.1.1   |
 +-----------------------+                                                                                                            +-----------------------+
<br>
<br>
----
==Konfiguration pfSense==
Wir melden und an der pfSense an und gehen auf
 VPN - IPSec
Zunächst setzen wir oben den Haken bei {{key|Enable IPSec}} und klicken danach auf {{key|'''Save'''}}<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-001.png]]<br>
<br>
Danach erstellen wir eine neue IPSec-Verbindung mit einem Klick auf das "+" Symbol rechts<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-002.png]]<br>
<br>
Der neue Dialog ist die Konfiguration für die "Phase 1".<br>
<br>
<br>
----
===Phase 1===
Die 3 Abschnitte füllt Ihr wie folgt aus (in Bildern etwas tiefer zu sehen):<br>
<br>
* Genernal Information
** Internet Protocol <code>IPv4</code>
** Interface <code>WAN</code>
** Remote gateway <code>DynDNS-Name eurer FritzBox</code>
** Description <code>Beschreibung der Verbindung</code>
<br>
* Phase 1 proposal (Authentication)
** Authentication method <code>Mutal PSK</code>
** Negotiation mode <code>aggressive</code>
** My identifier <code>My IP address</code>
** Peer identifier <code>Distinguished name</code> --> <code>DynDNS-Name eurer FritzBox</code>
** Pre-Shared Key <code>ein Passwort aus Buchstaben und Zahlen</code>
** Policy Generation <code>Default</code>
** Proposal Checking <code>Default</code>
** Encryption algorithm <code>3DES</code>
** Hash algorithm <code>SHA1</code>
** DH key group <code>1 (768 bit)</code> '''<- WICHTIG!!!'''
** Lifetime <code>28800</code>
<br>
* Advanced Options
** NAT TRaversal <code>Enable</code> '''<- WICHTIG!!!'''
** Dead Peer Detection <code>Enable DPD</code>
*** <code>10</code> seconds
*** <code>5</code> retries
<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-003.png]]<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-004.png]]<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-005.png]]<br>
<br>
<br>
Im Anschluss einmal unten auf {{key|Save}} und danach oben wieder auf {{key|Apply changes}}<br>
<br>
<br>
----
===Phase 2===
Zur Konfiguration der Phase 2 müsst zunächst links unten auf das "+" klicken:<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-006.png]]<br>
und im Anschluss einen neuen Einrag mit dem "+" in der Mitte hinzufügen:<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-007.png]]<br>
<br>
Die 3 Abschnitte füllt Ihr wie folgt aus (in Bildern etwas tiefer zu sehen):<br>
<br>
* Tunnels
** Mode <code>Tunnel IPv4</code>
** Local Network 
*** Type: <code>LAN subnet</code>
*** Type: <code>None</code>
** Remote Network
*** Type: <code>Network</code>
*** Address: <code>Internes Netzwerk Fritzbox</code> / <code>24</code>
*** Die 24 steht für eine 24er Maske, also Subnetmask 255.255.255.0
<br>
* Phase 2 proposal (SA/Key Exchange)
** Protocol <code>ESP</code>
** Encryption algorithms
*** <code>AES</code> -> <code>auto</code>
*** <code>3DES</code>
** Hash algorithms
*** <code>MD5</code>
*** <code>SHA1</code>
** PFS key group <code>1 (768 bit)</code>
** Lifetime <code>3600</code>
<br>
* Advanced Options
** Automatically ping host <code>Interne IP eurer Fritz!Box</code>
<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-008.png]]<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-009.png]]<br>
<br>
<br>
Wieder auf {{key|Save}} und danach auf {{key|Apply changes}}<br>
<br>
<br>
----

===Rules===
Geht auf<br>
 Firewall -> Rules -> IPSec
und baut eine neue Regel um den Datenverkehr durchzulassen, das hier ist eine Regel die in beide Richtungen alles zulässt:<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-010.png]]<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-011.png]]<br>
<br>
Damit sind wir auf der Seite der pfSense fertig!<br>
<br>
<br>
----
==Fritz!Box==
Zunächst müsst eine neue Textdatei erstellen mit folgendem Inhalt:<br>
<source lang="Bash">
vpncfg {
connections {
  enabled = yes;
  conn_type = conntype_lan;
  name = "VPN nach Irgendwo"; // NAME der Verbindung
  always_renew = yes; // Verbindung immer herstellen
  reject_not_encrypted = no;
  dont_filter_netbios = yes;
  localip = 0.0.0.0;
  local_virtualip = 0.0.0.0;
  remoteip = 198.100.144.136; // Feste oeffentliche IP der pfSense Firewall
  remote_virtualip = 0.0.0.0;
  localid {
    fqdn = "testlinz.dyndns.org"; // dyndns name der FritzBox
    }
  remoteid {
    ipaddr = 198.100.144.136; // Feste oeffentliche IP der pfSense Firewall
    }
  mode = phase1_mode_aggressive;
  phase1ss = "def/3des/sha";
  keytype = connkeytype_pre_shared;
  key = "einelangebuchstabenund1234567890";
  cert_do_server_auth = no;
  use_nat_t = no;
  use_xauth = no;
  use_cfgmode = no;
  phase2localid {
    ipnet {
      ipaddr = 192.168.1.0;
      mask = 255.255.255.0;
      }
    }
  phase2remoteid {
    ipnet {
      ipaddr = 192.168.200.0; // Das interne Netzwerk LAN hinter der pfSense
      mask = 255.255.255.0; // inklusive Subnetmask
      }
    }
  phase2ss = "esp-3des-sha/ah-no/comp-no/pfs"; // wichtig, da sonst kein Datenaustausch
  accesslist = "permit ip any 192.168.200.0 255.255.255.0"; // Firewall Einstellungen für pfSense Subnetz
  }
  ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
                      "udp 0.0.0.0:4500 0.0.0.0:4500";
}
</source>
Kopiert euch das obige in eine Textdatei (.txt) und passt die Namen und IP-Adressen an:
* alle <code>198.100.144.136</code> durch die öffentliche IP eurer pfSense
* alle <code>192.168.200.0</code> durch das interne Netzwerk eurer pfSense
* alle <code>192.168.1.0</code> durch das interne Netzwerk eurer Fritz!Box
<br>
<br>
Dann Importiert Ihr die Datei in eure Fritz!Box:<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-012.png]]<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-013.png]]<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-014.png]]<br>
<br>
Dann wird die Datei Importiert und der Tunnel aufgebaut:<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-015.png]]<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-016.png]]<br>
<br>
<br>
Das war schon alles!<br>
Per Ping können wir nun die Verbindung testen:<br>