vpnc und Fritzbox: Keine Route

[Zaalberg]

Hallo zusammen,

nach tagelangem googlen (schwöre!) muss ich mich doch hier melden:

Ich habe

• Samsung Galaxy Note
• Stock ICS 4.0.4
• CWM gerooted
• vpnc Widget

Entsprechend der AVM Anleitung für das IPhone kommt auch eine VPN Verbindung zu Stande, sowohl Phone als auch FB melden eine erfolgeiche Verbindung. Das Phone hat die korrekte IP-Adresse 192.168.178.201

Allerdings ist kein keinerlei Traffic vom Phone zum restlichen Netzwerk und umgekehrt möglich. Kein Ping, http, sonstwas.

ip route zeigt nur Routen ins umts Netz:
default via x.x.x.1 dev rmnet0
x.x.x.0/24 dev rmnet0 src x.x.x.77
x.x.x.1 dev rmnet0

Ich habe das vpnc Widget auf debug gestellt, in den logs (aLogCat) finden sich schön alle Ausgaben zum pre-init und connect step, aber keinerlei Ausgaben, die auf Anpassung des Routings hindeuten. Im vpnc-script sollte eigentlich eine Menge zum Thema Routing ablaufen.

Kann bitte jemand Licht ins Dunkel bringen?

[chats]

1. Welchen Mobilfunkanbieter hast Du?
2. Kannst Du mal Deine config Datei für die FritzBox posten

[Zaalberg]

Mobilfunkanbieter ist Congstar.

cfg Datei (genau so, wie sie das AVM Utility erstellt hat, UserIDs und Passworte sind natürlich geändert)

vpncfg {
connections {
enabled = yes;
conn_type = conntype_user;
name = "user@mydomain.de";
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 192.168.178.201;
remoteid {
key_id = "user@mydomain.de";
}
mode = phase1_mode_aggressive;
phase1ss = "all/all/all";
keytype = connkeytype_pre_shared;
key = "VerySercet1111";
cert_do_server_auth = no;
use_nat_t = yes;
use_xauth = yes;
xauth {
valid = yes;
username = "user@mydomain.de";
passwd = "VerySercet2222";
}
use_cfgmode = yes;
phase2localid {
ipnet {
ipaddr = 0.0.0.0;
mask = 0.0.0.0;
}
}
phase2remoteid {
ipaddr = 192.168.178.201;
}
phase2ss = "esp-all-all/ah-none/comp-all/no-pfs";
accesslist =
"permit ip 192.168.178.0 255.255.255.0 192.168.178.201 255.255.255.255";
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

[chats]

Füge bitte mal unter der Zeile use_xauth = yes;
diese Zeile hier ein - use_cfgmode = no;

Und dann nimm mal bitte als Usernamen keine eMail Adresse sondern einfach nur z. Bsp. zaalberg



vpncfg {
connections {
enabled = yes;
conn_type = conntype_user;
name = "123@abc.de";
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 192.168.178.201;
remoteid {
key_id = "123@abc.de";
}
mode = phase1_mode_aggressive;
phase1ss = "all/all/all";
keytype = connkeytype_pre_shared;
key = "der_ist_geheim";
cert_do_server_auth = no;
use_nat_t = yes;
use_xauth = yes;
use_cfgmode = no;
xauth {
valid = yes;
username = "zaalberg";
passwd = "geheim";
}
phase2localid {
ipnet {
ipaddr = 0.0.0.0;
mask = 0.0.0.0;
}
}
phase2remoteid {
ipaddr = 192.168.178.201;
}
phase2ss = "esp-all-all/ah-none/comp-all/no-pfs";
accesslist = "permit ip 0.0.0.0 0.0.0.0 192.168.178.201 255.255.255.255";
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}
// EOF

[Zaalberg]

Nein, geht auch nicht, identisches Verhalten. VPN wird aufgebaut, keine Routen vorhanden, kein Netzwerkverkehr möglich.

Interessant dabei: Seit 4.0.4 scheint das Android eigene VPN mit der Fritzbox zu können, ein IPSec Xauth mit PSK VPN kommt zustande, beide Systeme melden Verbindung, aber auch hier ist kein Netzwerkverkehr möglich. Hier wird aber eine Route auf 192.168.178.0/24 via tun0 gesetzt.

Was kann das sein?

[chats]

Ich empfehle Dir mal eine andere SIM - Karte von einem anderen Provider. Freunde helfen bei sowas meistens gerne aus.

Dann habe ich noch eine Frage... Dein Handy ist doch gerrotet, oder?

Ich liste Dir nochmal meine Einstellungen von VPN-Widget:

IPSecGateway: Dein DynDNS Name (z.B. 123abc.dyndns.org)

IPSecId: die email Adresse aus Deiner CFG-Datei

IPSec Group Password: der Eintrag "key" aus Deiner CFG-Datei

XAuthUsername: der xauth username aus Deiner CFG-Datei

XAuthPasswort: das xauth passwort aus Deiner CFG-Datei

other Vpnc Options: leer lassen

[Zaalberg]

So, jetzt gehts.

Die Ursache war, dass anscheinend mit FritzOS 5.22 die Config Datei etwas anders aussehen muss, der "accesslist" Eintrag muss erweitert werden:

accesslist =
"permit ip 192.168.178.0 255.255.255.0 192.168.178.202 255.255.255.255",
"permit ip any 192.168.178.202 255.255.255.255";

Diese accesslist wird erzeugt, wenn der Haken "Alle Daten über den VPN Tunnel senden" gesetzt wird.

Die funktionierende cfg wurde mit "Fritz Fernzugang einrichten" V1.0.3.0 erstellt und muss nicht angepasst werden! Einfach die Informationen in die vpn Clients eintragen.

Die Config funktioniert unverändert mit

- vpnc Widget
- vpnCilla

Das ics eigene VPN (IPSec XAuth psk) baut ebenfals erfolgreich ein vpn zur FB auf, das erste Nutzpaket zerlegt allerdings das System so brutal, dass das Phone neu startet! Das scheint mir noch ein Bugerchen zu sein,....

Viele Grüße,

Z