Quelltext der Seite FritzBox - Site to Site VPN zu pfSense 2.2

<br>
<br>
<big>'''Es gibt eine aktuellere Anleitung: [[FritzBox - Site to Site VPN zu pfSense 2.5]]'''</big>
<br>
<br><br>
----
[[Kategorie:FritzBox]]
Ich hatte ja schon einen Artikel über die Verbindung von pfSense  2.1.5 zur Fritz!Box geschrieben: [[FritzBox - Site to Site VPN zu pfSense 2.1.5]]<br>
Nach dem Update auf pfSense 2.2, Fritz!OS 6.23 und einer Email von Herrn Hoffmann mit den Hinweis auf überflüssige Einstellungen war ein neuerer Artikel dann gerechtfertigt.<br>
Insbesondere hatte ich nach dem Update Probleme mit dem Tunnelaufbau nach der nächtlichen Zwangstrennung der Fritz!Box - was eine Umstellung des Modus von "Agressiv" auf "Main" scheinbar behoben hat.<br>
<br>
{{Warnung| Achtung: Nach Update auf pfSense Version 2.2.3 ist keine Verbindung zur Fritz!Box möglich! Der Fehler ist in pfSense Version 2.2.4 wieder behoben! Diese Version ist aber noch nicht veröffentlicht und gibt es nur als Beta: https://snapshots.pfsense.org/ Alternativ müsst Ihr in der 2.2.3 die Datei <code>/etc/inc/vpn.inc</code> gegen die Version vom GitHub austauschen ( https://github.com/pfsense/pfsense/blob/master/etc/inc/vpn.inc ) austauschen.<br>Bei allen nachfolgenden Versionen bis zur 2.2.3 hatte ich das Problem nicht mehr}}<br>
----
==Ausgangslage==
Ich habe folgende "Geräte":<br>
* pfSense 2.2 Firewall als virtuelle Maschine (VM) auf ESXi 5.5
** WAN Schnittstelle hat die feste, öffentliche IP '''198.100.144.136'''
** LAN Schnittstelle hat die private IP '''192.168.200.1'''
* FritzBox 7390 mit Firmware Fritz!OS 6.23
** WAN Schnittstelle hat dynamische, öffentliche IP
** Öffentliche IP wird über DynDNS.org registriert und ist somit über '''testlinz.dyndns.org''' erreichbar
** LAN-Schnittstelle hat die feste IP '''192.168.1.200'''
<br>
Ich will hier also die Netzwerke '''192.168.200.0/24''' und '''192.168.1.0/24''' miteinander verbinden.<br>
 +-----------------------+       +----------------------------------+                      +-------------------------------------+      +-----------------------+
 |  Netzwerk "Irgendwo"  |       |       Firewall pfSense           |                      |         Fritz!Box 7390              |      |   Netzwerk "Daheim"   |
 +-----------------------+       +---------------+------------------+                      +---------------------+---------------+      +-----------------------+
 | IP      192.168.200.0 |       |    Intern     |      Extern      |                      |       Extern        |   Intern      |      | IP      192.168.1.0   |
 | Maske   255.255.255.0 | <-->  | 192.168.200.1 |  198.100.144.136 | <---- Internet ----> | testlinz.dyndns.org | 192.168.1.200 | <--> | Maske   255.255.255.0 |
 | Gateway 192.168.200.1 |       +---------------+------------------+                      +---------------------+---------------+      | Gateway 192.168.1.200 |
 +-----------------------+                                                                                                              +-----------------------+
<br>
<br>
----

==Konfiguration pfSense==
Wir melden und an der pfSense an und gehen auf
 VPN - IPSec
Zunächst setzen wir oben den Haken bei {{key|Enable IPSec}} und klicken danach auf {{key|'''Save'''}}<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-001.png]]<br>
<br>
Danach erstellen wir eine neue IPSec-Verbindung mit einem Klick auf das "+" Symbol rechts<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-002.png]]<br>
<br>
Der neue Dialog ist die Konfiguration für die "Phase 1".<br>
<br>
<br>
----
===Phase 1===
Die 3 Abschnitte füllt Ihr wie folgt aus (in Bildern etwas tiefer zu sehen):<br>
<br>
* Genernal Information
**Key Exchange version <code>V1</code>
** Internet Protocol <code>IPv4</code>
** Interface <code>WAN</code>
** Remote gateway <code>DynDNS-Name eurer FritzBox</code>
** Description <code>Beschreibung der Verbindung</code>
<br>
* Phase 1 proposal (Authentication)
** Authentication method <code>Mutal PSK</code>
** Negotiation mode <code>Main</code>
** My identifier <code>My IP address</code>
** Peer identifier <code>Distinguished name</code> --> <code>DynDNS-Name eurer FritzBox</code>
** Pre-Shared Key <code>ein Passwort aus Buchstaben und Zahlen</code>
** Policy Generation <code>Default</code>
** Proposal Checking <code>Default</code>
** Encryption algorithm <code>3DES</code>
** Hash algorithm <code>SHA1</code>
** DH key group <code>1 (768 bit)</code> '''<- WICHTIG!!!'''
** Lifetime <code>28800</code>
<br>
* Advanced Options
** NAT TRaversal <code>Auto</code>
** Dead Peer Detection <code>Enable DPD</code>
*** <code>10</code> seconds
*** <code>5</code> retries
<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-003.png]]<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-004-neu.png]]<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-005-neu.png]]<br>
<br>
<br>
Im Anschluss einmal unten auf {{key|Save}} und danach oben wieder auf {{key|Apply changes}}<br>
<br>
<br>
----

===Phase 2===
Zur Konfiguration der Phase 2 müsst zunächst links unten auf das "+" klicken:<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-006.png]]<br>
und im Anschluss einen neuen Einrag mit dem "+" in der Mitte hinzufügen:<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-007.png]]<br>
<br>
Die 3 Abschnitte füllt Ihr wie folgt aus (in Bildern etwas tiefer zu sehen):<br>
<br>
* Tunnels
** Mode <code>Tunnel IPv4</code>
** Local Network 
*** Type: <code>LAN subnet</code>
*** Type: <code>None</code>
** Remote Network
*** Type: <code>Network</code>
*** Address: <code>Internes Netzwerk Fritzbox</code> / <code>24</code>
*** Die 24 steht für eine 24er Maske, also Subnetmask 255.255.255.0
<br>
* Phase 2 proposal (SA/Key Exchange)
** Protocol <code>ESP</code>
** Encryption algorithms
*** <code>3DES</code>
** Hash algorithms
*** <code>SHA1</code>
** PFS key group <code>1 (768 bit)</code>
** Lifetime <code>3600</code>
<br>
* Advanced Options
** Automatically ping host <code>Interne IP eurer Fritz!Box</code>
<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-008-neu.png]]<br>
<br>
<br>
Wieder auf {{key|Save}} und danach auf {{key|Apply changes}}<br>
<br>
<br>
----

===Rules===
{{Warnung| Wenn Ihr die Regel so baut wie diese hier Beschrieben ist lasst Ihr den Netzwerkverkehr für '''ALLE''' IPSec-VPN-Tunnel zu, nicht nur für diesen. Wollt Ihr das pro Tunnel verwalten so solltet Ihr bei der Regel als Quelle das Netzwerk der Fritz!Box angeben und als Ziel das lokale Netzwerk der pfSense }}<br>
Geht auf<br>
 Firewall -> Rules -> IPSec
und baut eine neue Regel um den Datenverkehr aus dem Fritz!Box Netzwerk durchzulassen:<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-010.png]]<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-011.png]]<br>
<br>
WICHTIG: Erstellt die gleich Regel noch einmal - mit ICMP. Sonst klappt zwar der Zugriff, aber es geht kein Ping durch die Leitung (fand ich sehr nervig!)<br>
<br>

Damit sind wir auf der Seite der pfSense fertig!<br>
<br>
<br>
----

==Fritz!Box==
Zunächst müsst eine neue Textdatei erstellen mit folgendem Inhalt:<br>
<source lang="Bash">
vpncfg {
connections {
  enabled = yes;
  conn_type = conntype_lan;
  name = "VPN nach Irgendwo"; // NAME der Verbindung
  always_renew = yes; // Verbindung immer herstellen
  reject_not_encrypted = no;
  dont_filter_netbios = yes;
  localip = 0.0.0.0;
  local_virtualip = 0.0.0.0;
  remoteip = 198.100.144.136; // Feste oeffentliche IP der pfSense Firewall
  remote_virtualip = 0.0.0.0;
  localid {
    fqdn = "testlinz.dyndns.org"; // dyndns name der FritzBox
    }
  remoteid {
    ipaddr = 198.100.144.136; // Feste oeffentliche IP der pfSense Firewall
    }
  // mode = phase1_mode_aggressive; Alt, machte Probleme mit pfSense 2.2
  mode = phase1_mode_idp;
  phase1ss = "def/3des/sha";
  keytype = connkeytype_pre_shared;
  key = "einelangebuchstabenund1234567890";
  cert_do_server_auth = no;
  use_nat_t = no;
  use_xauth = no;
  use_cfgmode = no;
  phase2localid {
    ipnet {
      ipaddr = 192.168.1.0;
      mask = 255.255.255.0;
      }
    }
  phase2remoteid {
    ipnet {
      ipaddr = 192.168.200.0; // Das interne Netzwerk LAN hinter der pfSense
      mask = 255.255.255.0; // inklusive Subnetmask
      }
    }
  phase2ss = "esp-3des-sha/ah-no/comp-no/pfs"; // wichtig, da sonst kein Datenaustausch
  accesslist = "permit ip any 192.168.200.0 255.255.255.0"; // Firewall Einstellungen für pfSense Subnetz
  }
  ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
                      "udp 0.0.0.0:4500 0.0.0.0:4500";
}
</source>
Kopiert euch das obige in eine Textdatei (.txt) und passt die Namen und IP-Adressen an:
* alle <code>198.100.144.136</code> durch die öffentliche IP eurer pfSense
* alle <code>192.168.200.0</code> durch das interne Netzwerk eurer pfSense
* alle <code>192.168.1.0</code> durch das interne Netzwerk eurer Fritz!Box
<br>
<br>
Dann Importiert Ihr die Datei in eure Fritz!Box:<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-012.png]]<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-013.png]]<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-014.png]]<br>
<br>
Dann wird die Datei Importiert und der Tunnel aufgebaut:<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-015.png]]<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-016.png]]<br>
<br>
<br>
Das war schon alles!<br>
Per Ping können wir nun die Verbindung testen.<br>
<br>
<br>
----
==Fehler mit IPv6 Protokoll==
Falls der Verbindungsaufbau immer mal wieder nicht klappt und Ihr sowohl auf der Fritz!Box als auch auf der pfSense das IPv6 Protokoll aktiv habt schaut doch mal hier:<br>
 [[pfSense - IPSec mit IPv4 Remote IP wird aber IPv6 genommen]]
<br>
<br>
----
==Kommentare==
<comments />