Quelltext der Seite FritzBox - Site to Site VPN zu pfSense 2.5

[[Kategorie:FritzBox]]
<u>'''Changelog:'''</u><br>
* 06.03.2021 erste Version mit pfSense 2.5 und FritzBox 6591 mit Firmware 7.13 (Kabel Deutschland)
==Vorwort==
Nach dem Upgrade meiner pfSense auf 2.5 funktionierte zunächst alles, nach einem Neustart baute sich aber der IPSec-Tunnel zur FritzBox nicht mehr auf.<br>
Während des Upgrades hatte ich in der Ausgabe gesehen das 3DES demnächst nicht mehr unterstützt werden soll - also Grund genug diesen Artikel zu überarbeiten!<br>
<br>
Die Screenshots der FritzBox sind noch aus der alten Version, bis auf das Design der Buttons ist das aber noch identisch mit heute.<br>
----
==Ausgangslage==
Ich habe folgende "Geräte":<br>
* pfSense 2.5 Firewall als virtuelle Maschine (VM) auf ESXi 6.7
** WAN Schnittstelle hat die feste, öffentliche IP '''198.100.144.136'''
** LAN Schnittstelle hat die private IP '''192.168.200.1'''
* FritzBox 6591 mit Firmware Fritz!OS 7.13
** WAN Schnittstelle hat dynamische, öffentliche IP
** Öffentliche IP wird über DynDNS.org registriert und ist somit über '''testlinz.dyndns.org''' erreichbar
** LAN-Schnittstelle hat die feste IP '''192.168.1.200'''
<br>
Ich will hier also die Netzwerke '''192.168.200.0/24''' und '''192.168.1.0/24''' miteinander verbinden.<br>
 +-----------------------+       +----------------------------------+                      +-------------------------------------+      +-----------------------+
 |  Netzwerk "Irgendwo"  |       |       Firewall pfSense           |                      |         Fritz!Box 7390              |      |   Netzwerk "Daheim"   |
 +-----------------------+       +---------------+------------------+                      +---------------------+---------------+      +-----------------------+
 | IP      192.168.200.0 |       |    Intern     |      Extern      |                      |       Extern        |   Intern      |      | IP      192.168.1.0   |
 | Maske   255.255.255.0 | <-->  | 192.168.200.1 |  198.100.144.136 | <---- Internet ----> | testlinz.dyndns.org | 192.168.1.200 | <--> | Maske   255.255.255.0 |
 | Gateway 192.168.200.1 |       +---------------+------------------+                      +---------------------+---------------+      | Gateway 192.168.1.200 |
 +-----------------------+                                                                                                              +-----------------------+
<br>
<br>
----

==Konfiguration pfSense==
Wir melden und an der pfSense an und gehen auf
 VPN - IPSec
Zunächst erstellen wir eine neue IPSec-Verbindung mit einem Klick auf das {{Key|+ Add P1}} Symbol rechts unten<br>
:[[Datei:ClipCapIt-210306-134627.PNG]]<br>
<br>
Der neue Dialog ist die Konfiguration für die "Phase 1".<br>
<br>
<br>
----
===Phase 1===
Die 3 Abschnitte füllt Ihr wie folgt aus (in Bildern etwas tiefer zu sehen):<br>
<br>
* Genernal Information
**Key Exchange version <code>V1</code>
** Internet Protocol <code>IPv4</code>
** Interface <code>WAN</code>
** Remote gateway <code>DynDNS-Name eurer FritzBox</code>
** Description <code>Beschreibung der Verbindung</code>
<br>
* Phase 1 proposal (Authentication)
** Authentication method <code>Mutal PSK</code>
** Negotiation mode <code>Aggressive</code>
** My identifier <code>My IP address</code>
** Peer identifier <code>Distinguished name</code> --> <code>DynDNS-Name eurer FritzBox</code>
** Pre-Shared Key <code>ein Passwort aus Buchstaben und Zahlen oder klickt auf Generate new Pre-Shared Key</code>
** Encryption algorithm <code>AES</code>
** Key length <code>256 bits</code>
** Hash algorithm <code>SHA512</code>
** DH key group <code>14 (2048 bit)</code>
** Lifetime <code>28800</code>
<br>
* Advanced Options
** NAT TRaversal <code>Auto</code>
** Dead Peer Detection <code>Enable DPD</code>
*** <code>10</code> seconds
*** <code>5</code> retries
<br>
<br>
:[[Datei:ClipCapIt-210306-135239.PNG]]<br>
:[[Datei:ClipCapIt-210306-135304.PNG]]<br>
:[[Datei:ClipCapIt-210306-135329.PNG]]<br>
Im Anschluss einmal unten auf {{key|Save}} und danach oben wieder auf {{key|Apply changes}}<br>
:[[Datei:ClipCapIt-210306-135507.PNG]]<br>
<br>
----

===Phase 2===
Zur Konfiguration der Phase 2 müsst zunächst links unten auf das {{Key|+ Show Phase 2 Entries}} klicken:<br>
:[[Datei:ClipCapIt-210306-135633.PNG]]<br>
und dann auf {{Key|+ Add P2}}:<br>
:[[Datei:ClipCapIt-210306-135735.PNG]]<br>
<br>
Die Abschnitte füllt Ihr wie folgt aus (in Bildern etwas tiefer zu sehen):<br>
<br>
* Tunnels
** Mode <code>Tunnel IPv4</code>
** Local Network 
*** Type: <code>LAN subnet</code>
*** Type: <code>None</code>
** Remote Network
*** Type: <code>Network</code>
*** Address: <code>Internes Netzwerk Fritzbox</code> / <code>24</code>
*** Die 24 steht für eine 24er Maske, also Subnetmask 255.255.255.0
<br>
* Phase 2 proposal (SA/Key Exchange)
** Protocol <code>ESP</code>
** Encryption algorithms
*** <code>AES</code>
*** <code>256 bits</code>
** Hash algorithms
*** <code>SHA512</code>
** PFS key group <code>14 (2048 bit)</code>
** Lifetime <code>3600</code>
<br>
* Advanced Options
** Automatically ping host <code>Interne IP eurer Fritz!Box</code>
<br>
:[[Datei:ClipCapIt-210306-140209.PNG]]<br>
:[[Datei:ClipCapIt-210306-140227.PNG]]<br>
:[[Datei:ClipCapIt-210306-140252.PNG]]
<br>
<br>
Wieder auf {{key|Save}} und danach auf {{key|Apply changes}}<br>
<br>
<br>
----

===Rules===
{{Warnung| Wenn Ihr die Regel so baut wie diese hier Beschrieben ist lasst Ihr den Netzwerkverkehr für '''ALLE''' IPSec-VPN-Tunnel zu, nicht nur für diesen. Wollt Ihr das pro Tunnel verwalten so solltet Ihr bei der Regel als Quelle das Netzwerk der Fritz!Box angeben und als Ziel das lokale Netzwerk der pfSense }}<br>
Geht auf<br>
 Firewall -> Rules -> IPSec
und baut eine neue Regel um den Datenverkehr aus dem Fritz!Box Netzwerk durchzulassen:<br>
:[[Datei:ClipCapIt-210306-140911.PNG]]<br>
<br>
:[[Datei:ClipCapIt-210306-141117.PNG]]<br>
:[[Datei:ClipCapIt-210306-141016.PNG]]<br>
WICHTIG: Erstellt die gleich Regel noch einmal - mit ICMP. Sonst klappt zwar der Zugriff, aber es geht kein Ping durch die Leitung (fand ich sehr nervig!)<br>
:[[Datei:ClipCapIt-210306-140949.PNG]]<br>
:[[Datei:ClipCapIt-210306-141016.PNG]]<br>

<br>

Damit sind wir auf der Seite der pfSense fertig!<br>
<br>
<br>
----

==Fritz!Box==
Zunächst müsst eine neue Textdatei erstellen mit folgendem Inhalt:<br>
<source lang="Bash">
vpncfg {
connections {
  enabled = yes;
  conn_type = conntype_lan;
  name = "VPN nach Irgendwo"; // NAME der Verbindung
  always_renew = yes; // Verbindung immer herstellen
  reject_not_encrypted = no;
  dont_filter_netbios = yes;
  localip = 0.0.0.0;
  local_virtualip = 0.0.0.0;
  remoteip = 198.100.144.136; // Feste oeffentliche IP der pfSense Firewall
  remote_virtualip = 0.0.0.0;
  localid {
    fqdn = "testlinz.dyndns.org"; // dyndns name der FritzBox
    }
  remoteid {
    ipaddr = 198.100.144.136; // Feste oeffentliche IP der pfSense Firewall
    }
  mode = phase1_mode_aggressive;
  phase1ss = "dh14/aes/sha";
  keytype = connkeytype_pre_shared;
  key = "e24556bcfc49bb1129872bd5c3fa6dbb34011b4715320c0a0f88243b"; // Der gleiche wie in der pfSense Phase 1
  cert_do_server_auth = no;
  use_nat_t = no;
  use_xauth = no;
  use_cfgmode = no;
  phase2localid {
    ipnet {
      ipaddr = 192.168.1.0;
      mask = 255.255.255.0;
      }
    }
  phase2remoteid {
    ipnet {
      ipaddr = 192.168.200.0; // Das interne Netzwerk LAN hinter der pfSense
      mask = 255.255.255.0; // inklusive Subnetmask
      }
    }
  phase2ss = "esp-aes256-3des-sha/ah-no/comp-lzs-no/pfs";
  accesslist = "permit ip any 192.168.200.0 255.255.255.0"; // Firewall Einstellungen für pfSense Subnetz
  }
  ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
                      "udp 0.0.0.0:4500 0.0.0.0:4500";
}
</source>
Kopiert euch das obige in eine Textdatei (.txt) und passt die Namen und IP-Adressen an:
* alle <code>198.100.144.136</code> durch die öffentliche IP eurer pfSense
* alle <code>192.168.200.0</code> durch das interne Netzwerk eurer pfSense
* alle <code>192.168.1.0</code> durch das interne Netzwerk eurer Fritz!Box
<br>
<br>
Dann Importiert Ihr die Datei in eure Fritz!Box:<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-012.png]]<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-013.png]]<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-014.png]]<br>
<br>
Dann wird die Datei Importiert und der Tunnel aufgebaut:<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-015.png]]<br>
<br>
:[[Datei:FritzBox-pfSense-Site-to-Site-VPN-IPSec-016.png]]<br>
<br>
<br>
Das war schon alles!<br>
Per Ping können wir nun die Verbindung testen.<br>
<br>
<br>
----

==Fehler mit IPv6 Protokoll==
Falls der Verbindungsaufbau immer mal wieder nicht klappt und Ihr sowohl auf der Fritz!Box als auch auf der pfSense das IPv6 Protokoll aktiv habt schaut doch mal hier:<br>
 [[pfSense - IPSec mit IPv4 Remote IP wird aber IPv6 genommen]]
<br>
<br>
----
==Quellen==
Dieser Artikel basiert auf:<br>
* meine eigenen beiden vorherigen Artikel
* https://schroederdennis.de/tutorial-howto/site-to-site-vpn-ipsec-pfsense-fritzbox/ - da hab ich mir die Nutzung von AES abgeschaut (statt DES)
----
==Kommentare==
<comments />