[Telfort Glasvezel] Na nieuwe ExperiaBox V10 geen IP/SEC VPN

[Sonic]

Beste mede tweakers,

Hier thuis heb ik een glasvezel verbinding van Telfort die direct aangesloten was op mijn server met daarop een VM met pfSense. Op pfSense heb ik, naast de router instellingen, een IP/Sec VPN server draaien waarmee ik buiten huis verbinding kan maken om zo op afstand bij mijn bestanden te kunnen.

Dit werkte voorheen allemaal perfect!

Nu heb ik van Telfort een nieuwe aansluiting gekregen met daarbij een Experiabox V10. Het grootste verschil met de voorgaande situatie is dat de Experiabox V10 geen bridge mode ondersteund. Mijn pfSense router krijgt nu dus een intern IP adres ipv mijn WAN adres.

De instellingen op de Experiabox zijn aardig afgeschermd, maar het is mogelijk om een DMZ host in te stellen. Ik dacht dat het daarmee opgelost zou zijn, maar helaas werkt mijn IP/Sec VPN niet meer. Andere poorten, zoals mijn web server en mijn Plex server komen wel gewoon goed door.

Als ik een verbinding maak met mijn IP/Sec server, vanuit bijvoorbeeld mijn telefoon, zie ik de connectie wel binnen komen, maar deze wordt na een aantal seconde afgebroken.

Melding in de log:
12[JOB] <con1|15> deleting half open IKE_SA after timeout

Het lijkt erop dat de connectie goed binnen komt, maar dat vervolgens de weg naar buiten niet meer gevonden kan worden. Heeft dit te maken met de DMZ instellingen op de Experiabox die niet goed werken of wordt IP/Sec geblokkeerd door Telfort/Experiabox (wat ik op internet tegenkom).

Is de enige oplossing de Experiabox er tussenuit halen om weer normaal met IP/sec te kunnen werken?
Ik weet zeker dat mijn IP/Sec instellingen goed zijn, aangezien het met het vorige modem altijd zonder problemen heeft gewerkt.

[Speedmaster]

Met google kom ik dit tegen: https://wiki.strongswan.org/issues/1546#note-1

Wellicht zinvol om eens uitgebreid op de foutmelding te zoeken

[Sonic]

Bedankt voor je antwoord!

In de ipsec.conf kom ik de onderstaande regel tegen:
fragmentation=yes

Het lijkt mij sterk dat het aan de IP/Sec server instellingen ligt, aangezien het voorheen prima heeft gewerkt. Misschien is er iemand met een Experiabox die Telfort gebruikt en IP/Sec aan de praat heeft gekregen?
Ik lees namelijk dat de Experiabox routers veel blokkeren, ook al gaat dat om voorgaande versies.

[T.Kreeftmeijer]

De Experia box reageert niet op ping vanaf buiten (wan), met de juiste porten open hoor je prima te kunnen verbinden met de Apple of Android apparaten, maar met Windows gaat dat niet. Als je in Windows fout 809 krijgt ligt het hieraan.

[RobinF]

T.Kreeftmeijer schreef op zondag 15 januari 2017 @ 14:17:
De Experia box reageert niet op ping vanaf buiten (wan), met de juiste porten open hoor je prima te kunnen verbinden met de Apple of Android apparaten, maar met Windows gaat dat niet. Als je in Windows fout 809 krijgt ligt het hieraan.

Het gaat hier volgensmij vooral om het feit dat de Experiabox niet reageert op pings richting zijn WAN adres vanuit het netwerk. De standaard Windows L2TP/IPSec client wil namelijk per se die ping doen.


Reageert je PFSense op pings? Volgensmij moeten pings dan beantwoord worden door PFSense omdat die als DMZ staat ingesteld. De EB V10 geeft pings namelijk door aan de DMZ Host.

Volgensmij kan je die PFSense machine ook direct op de Telfort aansluiting zetten. Je verliest dan telefoon (tenzij je dit goed configureert). Dan moet je alsnog PFSense zo instellen dat pings vanaf het LAN richting het WAN adres worden beantwoord maar als ik het zo lees had je dat al werkend.

[Speedmaster]

In de V10 kan je onder Poort forwarding - IP4 volgens mij wel regels instellen voor IPSEC-IKE als je kiest voor app groep VPN.....

[Sonic]

DMZ lijkt wel goed te werken, aangezien pings beantwoord worden vanuit een externe locatie (als ik ICMP doorlaat op mijn pfSense firewall). Helaas blijft een connectie met IP/Sec VPN niet werken.

Ik heb de DMZ instellingen verwijderd en op de Experiabox de IPSEC-IKE regel aangezet naar mijn pfSense box. Helaas geeft dit hetzelfde resultaat. Connectie komt wel binnen, laat de log zien, maar er kan geen connectie opgezet worden.

De instellingen van mijn pfSense router werkte echter prima toen ik van mijn vorige modem het WAN IP adres binnen kreeg op mijn pfSense router (bridge mode).

Edit: als ik scan op de poorten 500 en 4500 krijg ik terug dat deze dicht staan, terwijl beide open staan op mijn pfSense router. Tevens is mijn pfSense router de DMZ host op mijn Experiabox.

Kan iemand controleren of hij/zij de poorten 500 en 4500 open kan zetten op zijn/haar Experiabox?

[ Voor 19% gewijzigd door Sonic op 15-01-2017 21:25 ]

[T.Kreeftmeijer]

Bij mij staan ze open naar de nas (de vpn server), ik heb ook 1700/UDP openstaan.

[RobinF]

Die scan gaat natuurlijk alleen "open" teruggeven wanneer op die poorten een service draait die TCP verbindingen beantwoord. Ik betwijfel of dat hier het geval is, sowieso niet voor beide poorten.

Verder kan ik op mijn V10 500 en 4500 gewoon openen en werkt dat ook. Zowel TCP als UDP

[ Voor 3% gewijzigd door RobinF op 15-01-2017 22:47 ]

[Sonic]

IP/Sec werkt weer goed nadat ik de Experiabox er tussenuit heb gehaald.
Ik heb nu de netwerk kabel direct aangesloten op mijn pfSense server en het MAC adres van mijn Experiabox gebruikt.

Probleem nu is natuurlijk dat de telefoon en TV niet werkt. Nu heb ik gevonden dat de TV werkt op VLAN7 en Internet/Telefoon op VLAN34. Ik heb thuis een HP 1810 Switch waarmee ik VLAN's kan instellen.

Is het mogelijk dat ik Poort 1 instel als een TRUCK poort waarop ik de NT verbinding aansluit en vervolgens Poort 2 (VLAN7) en Poort 3 (VLAN34) instel?

Poort 2 gaat dan naar mijn kastje voor de TV.
Poort 3 gaat dan naar de WAN aansluiting van mijn pfSense server.

In Poort 4 (VLAN1 Default) gaat de LAN aansluiting van mijn pfSense.

Ik ben zelf niet goed bekend met VLAN's, dus misschien kan iemand mij vertellen of dit een werkende oplossing kan zijn.

[Sonic]

Bovenstaande config werkt perfect. Misschien dat ik iemand anders ermee kan helpen die tegen hetzelfde aanloopt.

- Clone het MAC adres van je Experiabox in je nieuwe router (in mijn geval pfSense)
- Maak op je Switch/Router een TRUCK poort aan waarop je NT poort binnen komt
- Maak een VLAN aan voor TV (7)
- Maak een VLAN aan voor Internet/Telefonie (34)
- Maak nog een nieuwe TRUCK poort aan waarop je je Experiabox aansluit, zodat je je telefoon kunt gebruiken (anders heb je geen aansluiting)

Zorg ervoor dat beide TRUCK poorten alleen bij VLAN7 en VLAN32 kunnen komen. Sluit dus VLAN1 (Default) uit. Dit kan verschillen per merk. Op mijn HP Switch gaat het op bovenstaande manier.

Mijn eigen router (pfSense) krijgt nu direct het WAN adres binnen door VLAN32.
IPTV werkt ook prima, omdat deze direct aangesloten wordt door middel van VLAN7.

IP/Sec werkt met bovenstaande config ook weer prima. Dat was in eerste instantie mijn probleem.

Allemaal bedankt voor het meedenken zover!