[Fritzbox 7530] VPN werkt niet goed

[PatrickPR]

Beste,

Ik zit met een probleem waar ik zo langzamerhand gestoord van begin te worden.

Onlangs ben ik over gestapt van Ziggo naar Trined glasvezel waarbij ik een Fritzbox 7530 router heb gekregen. Met mijn Ziggo abonnement maakte ik gebruik van mijn eigen Asus AC68U router waarop alles perfect werkte. Nu heb ik de Fritzbox zo goed als volledig ingesteld zoals ik wil, maar 1 ding wil niet werken en dat is VPN toegang tot netwerkshares op mijn NAS. Met de Asus gebruikte ik OpenVPN en als ik dan verbinding maakte met de VPN-server op de Asus, kreeg de PC op afstand direct het juiste IP adres en kon ik meteen via de verkenner naar de NAS navigeren. Nu met de fritzbox krijg ik dit niet aan de praat. Ik hoop dat iemand mij hier mee kan helpen.

Hieronder mijn setup:
- De fritzbox heeft een WAN IP
- Op de fritzbox is een gebruiker gedefinieerd die enkel VPN toegang heeft.
- IP adres fritzbox: 192.168.1.1 (default is anders maar heb dit zelf ingesteld)
- DHCP range: 192.168.1.20-192.168.1.254
- Synology NAS op 192.168.1.40 met een aantal shares
- PC (Windows 10) met VPN software die via buitenaf verbinding maakt. De VPN client is Shrewsoft VPN Access Manager. AVM heeft eigen VPN-client software, maar deze is (nog) niet compatible met Windows 10.
Ik heb de VPN client ingesteld met deze tutorial
https://www.youtube.com/watch?v=alfTiXkncVU

Wat werkt wel:
- PC op het interne netwerk maakt direct verbinding met de netwerk shares op de NAS, hieruit maak ik op dat de settings in het netwerk en op de NAS goed zijn (firewall, toegang, SMB etc.)

- PC met VPN client kan verbinding maken met de Fritzbox. Hiervoor maak ik voor het testen gebruik van mijn Hotspot op de telefoon zodat ik zeker weet dat ik buiten mijn netwerk om ga. Ik zie de melding Tunnel up in de software en in de Fritzbox zie ik dat de gebruiker actief is aangemeld
- De PC met VPN client heeft tijdens de verbinding een IP adres 192.168.1.3
- Ik kan met de PC, als de tunnel up is, de fritzbox zelf pingen op 192.168.1.1 (0% loss)
- Ik kan met de PC, als de tunnel up is, op de NAS inloggen in DSM via IP 192.168.1.40:5000
- Ik kan met de PC, als de tunnel up is, 8.8.8.8 pingen (0% loss)
- Ik kan met de PC, als de tunnel up is, gewoon op internet
- Via Android telefoon kan ik VPN verbinding maken en ik kan 192.168.1.1 en 192.168.1.40 bereiken via de browser waarbij ik op de inlogpagina's uitkom

Wat werkt niet als de VPN verbinding actief is:
- Via de Windows verkenner naar adres \\192.168.1.40 of \\synonas\share navigeren. Na een tijdje krijg ik de standaard Windows foutmelding Netwerkfout Geen toegang tot \\synonas\share.
- De NAS pingen op 192.168.1.40 (100% loss)

Wat ik heb gevonden/geprobeerd:
- Diverse topics hier doorgenomen, deze zijn of redelijk gedateerd of hebben betrekking op de VPN verbinding zelf. Bij mij lukt de verbinding, maar het vervolg niet
- Diverse topics van AVM zelf doorgenomen. Hierin wordt de standaard VPN verbinding uitgelegd of worden enkele opties gegeven voor de configuratie. Heb wordt uitgelegd om niet gebruikte netwerkadapter zelf uit te schakelen, maar dan is er helemaal geen internet meer mogelijk
bijv. deze: https://en.avm.de/service/fritzbox/fritzbox-7581/knowledge-base/publication/show/48_Accessing-shared-files-and-printers-over-a-VPN-connection/ volgens deze handleiding zou het zo simpel moeten zijn als het IP van het apparaat in de verkenner invoeren.
Dan is er nog deze voor als het niet werkt: https://en.avm.de/service/fritzbox/fritzbox-7581/knowledge-base/publication/show/344_No-network-access-to-services-and-shared-resources-over-VPN-connection/
waarin het target gepinged moet worden. Dit werkt dus niet.
https://en.avm.de/service/fritzbox/fritzbox-7581/knowledge-base/publication/show/343_Cannot-access-shared-files-or-printers-over-an-active-VPN-connection/ windows firewall instelling gewijzigd, geen verschil
https://en.avm.de/service/fritzbox/fritzbox-7581/knowledge-base/publication/show/339_No-IP-communication-over-a-VPN-client-connection-e-g-FRITZ-VPN/ hier staat om de netwerk adapter uit te schakelen waardoor niets meer werkt (geen optie dus) en de fritzbox opnieuw opstarten, dit werkt ook niet
- Geforceerd een IP in de DHCP-range meegeven in de VPN client, dit werkt niet
- Diep in de instellingen van de netwerkadapter forceren dat al het verkeer via de tunnel moet, dit werkt ook niet (automatische metric omzetten naar interface metric met waarde 5).
- Google, maar ik krijg dan het idee hier redelijk uniek in te zijn
- Ik zie dat tijdens de verbinding de PC een IP krijgt buiten de DHCP-range, namelijk 192.168.1.3. Dit zou verklaren waarom ik de NAS shares niet kan benaderen, maar verklaart niet waarom ik wel DSM op de NAS kan bereiken op 192.168.1.40. Volgens de informatie op internet werkt de fritzbox VPN inderdaad zo dat er een IP buiten de DHCP-range wordt gegeven aan de VPN gebruiker, maar dan zou het verkeer toch gerouteerd moeten worden, dat is mijn inziens het hele idee van de VPN (dat je van buitenaf op het interne netwerk kunt).
- Met de Asus zag ik de PC met de computernaam zichtbaar in het netwerk als de VPN verbinding actief was, als ware het een device in het netwerk. De fritzbox heeft ook zo'n dergelijk overzicht van aangesloten apparaten maar hier zie ik de PC niet terug als de VPN actief is, enkel de aangemelde VPN gebruiker.

Kortom: de VPN verbinding lukt, maar de shares benaderen niet. Ik heb het gevoel dat er ergens een vinkje of setting verkeerd staat waardoor of de PC niet het juiste IP adres krijgt of het verkeer niet goed gerouteerd wordt, maar zou niet weten waar ik moet zoeken. Ik zou verwachten dat dit gewoon out-of-the-box zou moeten werken. Mijn dank is groot als iemand weet hoe ik dit werkend krijg.

PS. ik zal nog wel wat vergeten zijn om te vermelden, maar vraag gerust.

[ Voor 18% gewijzigd door PatrickPR op 07-06-2019 12:08 ]

[tm474881]

Je zou kunnen proberen om de routes te checken (route print in cmd) maar ik heb met de vpn software van Fritz geen goede ervaringen.

Als je de vpn software van fritz hebt geïnstalleerd op je windows machine kan je bijvoorbeeld geen andere vpn tunnels opbouwen (bijvoorbeeld de in windows ingebouwde l2tp verbinding) Hiervoor hoeft de tunnel van de fritz niet actief te zijn. Pas na het deinstalleren van de Fritzvpn software kon ik weer verbinding maken met andere vpn verbindingen.

Wat ik zou doen als ik jou was, is openvpn server installeren op de NAS (je hebt een synology zo te lezen) en op je fritz de poort doorverwijzen naar je nas.
Je kan dan vervolgens in je nas gebruikers aanwijzen die verbinding mogen maken met openvpn, en op de nas kan je de configuratie bestanden van openvpn downloaden.

[PatrickPR]

tm474881 schreef op vrijdag 7 juni 2019 @ 14:22:
Je zou kunnen proberen om de routes te checken (route print in cmd) maar ik heb met de vpn software van Fritz geen goede ervaringen.

Hieronder de route print met de VPN tunnel up

tm474881 schreef op vrijdag 7 juni 2019 @ 14:22:
Als je de vpn software van fritz hebt geïnstalleerd op je windows machine kan je bijvoorbeeld geen andere vpn tunnels opbouwen (bijvoorbeeld de in windows ingebouwde l2tp verbinding) Hiervoor hoeft de tunnel van de fritz niet actief te zijn. Pas na het deinstalleren van de Fritzvpn software kon ik weer verbinding maken met andere vpn verbindingen.

Ik gebruik dus niet de Fritz VPN software omdat die niet compatible is met Windows 10 (behalve de duitse versie, maar daar ga ik niet aan beginnen). Als client software gebruik ik Shrewsoft VPN Manager. De software meld ook netjes dat de tunnel up is en kan ik een aantal devices pingen. De Windows 10 VPN optie werkt ook niet.

tm474881 schreef op vrijdag 7 juni 2019 @ 14:22:
Wat ik zou doen als ik jou was, is openvpn server installeren op de NAS (je hebt een synology zo te lezen) en op je fritz de poort doorverwijzen naar je nas.
Je kan dan vervolgens in je nas gebruikers aanwijzen die verbinding mogen maken met openvpn, en op de nas kan je de configuratie bestanden van openvpn downloaden.

Ik heb inderdaad een Synology. Het handige van de VPN 'uit laten komen' op de router is juist dat je als het ware in het gehele netwerk uitkomt, waaronder dus ook de router bereikbaar is. Kan dit nog steeds als de VPN op de NAS uitkomt? Wat zie ik dan in de verkenner aan shares? Ik moet wel toegeven dat ik vanuit de VPN enkel de shares van de NAS gebruik, andere apparaten zijn voor mij op afstand niet belangrijk.

Waar ik ook nog aan zat te denken is om de fritzbox in zijn geheel te vervangen door de oude Asus router, en die rechtstreeks op de NTU van de glasvezel te prikken. Uiteraard zal ik dan wel in de Asus de provider instellingen (Trined in mijn geval) goed moeten zetten, maar hier op GoT staat daar wel wat informatie over.

[kraats]

Heb je toevallig de firewall op je Synology in gebruik? Als je wel op DSM komt, maar niet kan pingen zou ik het eerst daar eens zoeken

[tm474881]

Zou nog even de afbeelding aanpassen om persoonlijke informatie (zoals extern ip adres en volledige naam etc) weg te halen

Verder ben ik zelf niet bekend met software van Shrewsoft vpn manager, en de werking hiervan icm de fritzbox vpn server, dus daar kan ik je niet echt mee helpen.

Ik zou wel even kijken naar dingen als routes (in de Shrewsoft software) en gateways en dergelijke, want het lijkt er op dat alles wordt gestuurd naar de 192.168.1.3 interface.

Ik zou ook nog even kijken of je niet per ongeluk iets anders in je netwerk hebt met een vast ip adres van 192.168.1.3 waar de fritzbox geen weet van heeft, dat kan ook rare situaties opleveren.

@kraats TS geeft aan dat het intern wel werkt, dus denk niet dat de firewall op de nas het tegenhoudt.

[kraats]

@tm474881 intern heeft hij een ip-adres in de DHCP reeks, via VPN niet. Dus daar kan zeker wel verschil in zitten

[PatrickPR]

@kraats jouw opmerking over de firewall op de Synology heeft me wel aan het denken gezet, ik heb daar op de LAN-interface inderdaad een beperkte IP-range van het interne netwerk 192.168.1.x ingesteld. Deze heb ik uitgebreid zodat 192.168.1.3 binnen dit bereik valt.

Als test heb ik de firewall eens uitgeschakeld. Wat nu via VPN wel werkt is de shares benaderen via het IP-adres van de NAS. Via \\naam werkt het dan weer niet (lijkt een soort name resolve issue te zijn). Ook het pingen naar 192.168.1.40 werkt nu (0% loss).

Daarna de firewall weer ingeschakeld. Nu werkt benaderen via het IP-adres nog steeds, pingen ook maar via \\naam nog steeds niet.

[kraats]

@PatrickPR Belangrijkste werkt dus weer, mooi. Heb je in de DNS-instellingen van de VPN nog iets anders ingesteld staan dan je router? Zijn ze überhaupt wel ingesteld? Je zou eens een nslookup synonas kunnen doen om te zien welke DNS server gebruikt wordt en of die wel weet waar hij synonas moet vinden

[jeroen3]

Om het ook via de naam werkend te krijgen moet je een DNS entry maken in je Fritzbox, en die als DNS server gebruiken.
Koppelen via IP adres is betrouwbaarder.

Je kunt ook de VPN van de synology gebruiken voor je hele netwerk. Mits dat vinkje aan is, en je de juiste route toevoegt op je client. Maar de fritzbox is wellicht sneller dan de synology.

[PatrickPR]

Kleine terugkoppeling over het VPN probleem.

Ik heb dus 2 laptops waarmee ik via VPN verbinding wil kunnen maken. Gister werkte het op de ene, maar op de andere kreeg ik het niet aan de gang in combinatie met de fritzbox.

Ik heb het dus over een compleet andere boeg gegooid en de fritzbox helemaal geëlimineerd. Na lang prutsen, zoeken op internet, routers switchen en proberen heb ik dus op de asus de internet connectie naar Trined aan de gang gekregen zonder fritzbox ertussen, direct op de NTU.

Natuurlijk direct een speedtest uitgevoerd, hieronder het resultaat
https://i.imgur.com/S1TeCsk.jpg

Erg blij mee, dit is niet beter of slechter dan met de fritzbox. Ik heb mijn oude vertrouwde asus weer terug. Al was ik in basis niet ontevreden over de fritzbox, erg sterke wifi en goede snelle interface. De look van asus is wat dat betreft wat outdated en het opslaan van settings duurt wat langer. Maar alles werkt weer zoals vanouds, inclusief de VPN verbinding via openvpn en de toegang tot de NAS op basis van \\naam.

Mochten er mensen geïnteresseerd zijn in hoe de settings van asus staan voor de WAN connectie naar Trined, dan wil ik daar wel een opsomming van maken. Iedereen in ieder geval bedankt voor de moeite om mee te denken.

[PatrickPR]

Ik heb geen antwoord gekregen op mijn voorstel maar hieronder toch voor de volledigheid wat screenshots van de instellingen in mijn Asus AC68U om Trined werkend te krijgen zonder Fritzbox ertussen. Ik maak hiervoor enkel gebruik van het internet. Ik heb geen IPTV dus dit is ook niet ingesteld.

WAN settings deel 1


WAN settings deel 2


LAN settings, tabblad IPTV


De username kun je terug vinden in de instellingen van de Fritzbox. Het wachtwoord ben ik te weten gekomen via de Trined klantenservice omdat ik mijn fritzbox had gereset en daardoor niet meer op internet kon. Ik denk niet dat het handig is om dit wachtwoord hier neer te zetten, maar via PM wil ik het wel ter beschikking stellen.

Hopelijk is het nuttig voor andere Tweakers die ook liever hun Asus gebruiken in plaats van de Fritzbox.