Edge router lite en VPN

[Ora et Labora]

Ik heb een EdgeRouter Lite v2.0.8.
Nu wil ik hier met m'n telefoon vanaf extern verbinding op kunnen maken maar ik krijg dit niet voor elkaar.
Situatie:
TMobile DSL. LAN1 van TMobile zit in de eth0 van de Edge. De Edge staat ingesteld als DMZ op de TMobile-router. Dit werkt goed want portforwarding hoef ik alleen in de Edge in te stellen en werkt, bijvoorbeeld Synology poortforwarding komt keurig aan om m'n Synology.

Nu heb ik veel gelezen en gekeken over VPN op de Edge, bijvoorbeeld YouTube: EdgeRouter L2TP IPSec Server Setup en YouTube: How To Connect To EdgeRouter L2TP VPN Server From Windows 10 en alles wordt volgens mij duidelijk uitgelegd.
Echter krijg ik het niet werkend voor elkaar.
M'n telefoon staat op 4G, ik probeer VPN te maken maar de popup voor gebruikersnaam en wachtwoord komt niet eens naar boven, ik krijg de melding "niet geslaagd".
De configuratie al diverse malen verwijderd uit de Edge en opnieuw toegevoegd.
Deze ziet er nu als volgt uit:

Firewall-Rules:

code:

    name WAN_LOCAL {
        default-action drop
        description "WAN to router"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action accept
            description IKE
            destination {
                port 500
            }
            log disable
            protocol udp
            state {
                established enable
                invalid disable
                new enable
                related enable
            }
        }
        rule 30 {
            action accept
            description L2TP
            destination {
                port 1701
            }
            log disable
            protocol udp
            state {
                established enable
                invalid disable
                new enable
                related enable
            }
        }
        rule 40 {
            action accept
            description ESP
            log disable
            protocol esp
            state {
                established enable
                invalid disable
                new enable
                related enable
            }
        }
        rule 50 {
            action accept
            description NAT-T
            destination {
                port 4500
            }
            log disable
            protocol udp
            state {
                established enable
                invalid disable
                new enable
                related enable
            }
        }
        rule 60 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }

VPN-config:

code:

}
vpn {
    ipsec {
        allow-access-to-local-interface disable
        auto-firewall-nat-exclude enable
        ipsec-interfaces {
            interface eth0
        }
        nat-traversal enable
    }
    l2tp {
        remote-access {
            authentication {
                local-users {
                    username *** {
                        password ****************
                    }
                }
                mode local
            }
            client-ip-pool {
                start 10.0.0.5
                stop 10.0.0.9
            }
            dhcp-interface eth0
            dns-servers {
                server-1 8.8.8.8
                server-2 4.2.2.2
            }
            idle 1800
            ipsec-settings {
                authentication {
                    mode pre-shared-secret
                    pre-shared-secret ****************
                }
                ike-lifetime 3600
                lifetime 3600
            }
        }
    }
}

Android:


Diverse malen de instructies opnieuw gevolgd maar ik zie niet wat ik fout doe.
Als ik de Edge vervang door een Draytek en deze Draytek als DMZ van TMobile activeer, werkt het wel om VPN naar de Draytek te maken maar met de Edge niet, er moet dus iets met m'n config in de Edge zijn....

Dank alvast.

Edit, met hulp van een eerder topic, Edgerouter lite VPN opzetten, van een bericht van @Jeroen_ae92 heb ik de config gewijzigd naar:

code:

}
vpn {
    ipsec {
        auto-firewall-nat-exclude enable
        disable-uniqreqids
    }
    l2tp {
        remote-access {
            authentication {
                local-users {
                    username *** {
                        password ****************
                    }
                }
                mode local
            }
            client-ip-pool {
                start 10.0.0.5
                stop 10.0.0.8
            }
            dns-servers {
                server-1 8.8.8.8
            }
            ipsec-settings {
                authentication {
                    mode pre-shared-secret
                    pre-shared-secret ****************
                }
                ike-lifetime 3600
            }
            mtu 1492
            outside-address 0.0.0.0
        }
    }
}

Maar ook dit geeft geen goed resultaat vanuit Android, melding niet geslaagd blijft naar voren komen.

Edit, een printscreen van de firewall-settings:

[Voor 13% gewijzigd door Ora et Labora op 17-01-2022 11:30]

[Jeroen_ae92]

Zonder de rest van de config wordt het lastig. O.a. je wan interface, routes, port forward en nat regels zijn handig om erbij te vermelden.

[_JGC_]

L2TP is iets heel anders dan IKEv2.

[donny007]

Met de Edgerouter in de DMZ van de T-Mobile router heb je te maken met een double-NAT scenario, kan de T-Mobile router niet volledig in bridge mode worden gezet?

Anyway, in Android moet je het "L2TP/IPSec PSK" profiel selecteren (niet IKEv2). Bij "IPSec pre-shared key" vul je het pre-shared-secret uit de ER in, bij username/password vul je de gegevens van de local-user in.

Als het niet werkt kun je in de logs van de Edgerouter duiken (check eerst de firewall logs), met tcpdump kun je controleren of er überhaupt iets van verkeer arriveert op de VPN poorten.

[Voor 6% gewijzigd door donny007 op 17-01-2022 22:30]

[Ora et Labora]

donny007 schreef op maandag 17 januari 2022 @ 22:27:
Met de Edgerouter in de DMZ van de T-Mobile router heb je te maken met een double-NAT scenario, kan de T-Mobile router niet volledig in bridge mode worden gezet?

De enige mogelijkheid is om de Edge als DMZ op te geven, dan wordt wel al het verkeer doorgestuurd naar de Edge maar inderdaad dubbel NAT.

Anyway, in Android moet je het "L2TP/IPSec PSK" profiel selecteren (niet IKEv2). Bij "IPSec pre-shared key" vul je het pre-shared-secret uit de ER in, bij username/password vul je de gegevens van de local-user in.

Wat dom...Dit is inderdaad de oplossing, niet IKEv2 maar L2TP/IPSec PSK.
Hartelijk dank en ik moet beter inlezen in plaats van te focussen op de Edge...