Blog

• Betrifft: Site-2-Site VPN Verbindung mittels IPSec
• System: AVM FRITZ!Box Fon WLAN 7390 und Microsoft ISA Server 2006

Mittlerweile habe ich ebenso eine stabile VPN Verbindung zwischen der AVM FRITZ!Box Fon WLAN 7390 und dem Microsoft ISA Server 2006 hergestellt. Hierzu gibt es im Internet eine andere Quelle, wo eine Verbindung mit dem Nachfolgeprodukt Microsoft TMG 2010 durchgeführt wurde: Site to Site VPN mit der AVM Fritzbox 7390 und Microsoft TMG. Die dort gefundenen Angaben funktionierten bei mir weder mit dem ISA Server noch mit dem TMG 2010. Zwar wird dort angeben, dass es eigentlich keine professionelle Lösung ist, aber es werden standardisierte Verfahren verwendet, die je nach gewählten kein Sicherheitsproblem darstellen.

Hier die Einstellung für die FRITZ!Box (erneut ohne der Software "FRITZ!Box Fernzugang einrichten" erstellt):

/*
* C:\fritzbox.cfg
* Datum
*/
 
vpncfg {
    connections {
        enabled = yes;
        conn_type = conntype_lan;
        name = "ISA Server 2006";
        always_renew = yes;
        reject_not_encrypted = no;
        dont_filter_netbios = yes;
        localip = <öffentliche IP von FRITZ!Box>;
        local_virtualip = 0.0.0.0;
        remoteip = <öffentliche IP von ISA Server 2006>;
        remote_virtualip = 0.0.0.0;
        remotehostname = "<öffentliche IP von ISA Server 2006>";
        localid {
            fqdn = "<öffentliche IP von FRITZ!Box>";
        }
        remoteid {
            fgdn = "<öffentliche IP von ISA Server 2006>";
        }
        mode = phase1_mode_idp;
        phase1ss = "alt/all-no-aes/all";
        keytype = connkeytype_pre_shared;
        key = "";
        cert_do_server_auth = no;
        use_nat_t = no;
        use_xauth = no;
        use_cfgmode = no;
        phase2localid {
            ipnet {
                ipaddr = ;
                mask = ;
            }
        }
        phase2remoteid {
            ipnet {
                ipaddr = ;
                mask = ;
            }
        }       
        phase2ss = "esp-3des-sha/ah-no/comp-no/pfs";
        accesslist = "permit ip any ";
    }
    ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
                                              "udp 0.0.0.0:4500 0.0.0.0:4500";

}

// EOF

Nachfolgend die Einstellungen für den ISA Server 2006. Die ersten Einstellungen erfolgen über den Assistenten:

Nachfolgend noch zwei Einstellungen, die nicht über den Assistent abgefragt werden. Es geht um die IPSec Konfiguration für Phase I und II. Bei Phase II kann bei Sitzungsschlüsseleinstellungen der Standardwert bei "Neue Schlüssel alle:" mit 28.800 Sekunden belassen werden. Im AVM VPN-Portal steht oft 3.600 Sekunden. Damit kommt zumindest meine FRITZ!Box überhaupt nicht klar. Die Verbindung wird immer wieder unterbrochen. Daher besser einen höheren Wert angeben oder gar kein Wert. Bei Versuchen wurde festgestellt, es ist besser die FRITZ!Box initiiert nach Zeitablauf einen neuen Schlüssel. Damit habe ich definitiv eine stabilere Verbindung erhalten.

 

Erklärungen:

Parameter	Erklärung	Beispiel
<öffentliche IP von ISA Server 2006> IP-Adresse des lokalen VPN-Gateways	öffentliche IP-Adresse vom ISA Server 2006	92.130.320.1
<öffentliche IP von FRITZ!Box> IP-Adresse des Remote-VPN-Gateways	öffentliche IP-Adresse von der FRITZ!Box	213.169.265.23
"<öffentlicher FQDN-Name der FRITZ!Box>"	ein Domänname, der auf die richtige öffentliche IP-Adresse der FRITZ!Box zeigt.	"fritz.box.lan"
	mit diesem Kennwort wird die Verbindung verschlüsselt.	@ufb@red84/dEg34X
IP-Adressbereich des Remotestandortnetzwerk	Das Netzwerk, dass hinter der FRITZ!Box verwendet wird.	172.20.168.0
	Die zugehörige Subnetzmaske bei der FRITZ!Box.	255.255.255.0
	Das Netzwerk, dass hinter dem FVS124G verwendet wird.	192.168.1.0
	Die zugehörige Subnetzmaske bei dem FVS124G.	255.255.255.0

Anmerkungen:

Je nach Firmware der FRITZ!Box scheinen nicht alle Zeichen beim Kennwort möglich zu sein. Mein Tipp ist zuerst nur Groß-, Kleinbuchstaben und Zahlen probieren. Bei entsprechender Länge sollte dies für erste Versuche kein Problem darstellen. Sonderzeichen gehen nicht immer.

Für die IPSec Phase II Konfiguration sollte bei der Schlüsseleinstellung ein hoher Wert eingestellt sein. Der genaue Wert von der FRITZ!Box ist mir nicht bekannt. Es wird aber definitiv einer verwendet, denn das merkt man wunderbar bei den Logdateien. An sich fragt das Gerät mit dem niedrigeren Einstellungen zuerst nach und beide Zeitmesser gehen wieder auf Null zurück.

Die gewählte IP-Adresse vom ISA Server 2006 bzw. TMG 2010 muss die primäre IP-Adresse sein, sonst funktioniert dies mit der FRITZ!Box nicht. Bei einer VPN-Standort-zu-Standort-Verbindung zwischen zwei ISA Server 2006 ist dies zweitrangig.