VPN met UDM SE

[sivadeka]

Mijn vraag

Hoe kan ik VPN werkend krijgen naar een Ftitzbox5530?

Relevante software en hardware die ik gebruik:

Ik heb de tunnel nu werkend met een Draytek (al langere tijd uiterst stabiel) , en daarvan alle instellingen overgenomen. Dit werkt niet, er komt geen tunnel op. de debug mogelijkheden zijn laag bij de Fitzbox, deze geef een timeout aan. Dan maar met mijn Linus kennis aan de gang.
Dat je vanuit de DMse terug moet naar de shell vind ik schokkend omdat op fora allerlei StrongSwan oplossingen worden aangedragen

Wat ik al gevonden of geprobeerd heb:

Alle instellingen geprobeerd en geprobeerd om de logging aan te zetten, helaas is dit ook allemaal vaag en ontstaat er met geen mogelijkheid een logfile zodat er met debugging aan de slag kan worden gegaan.

Ik ben zwaar teleurgesteld in de Dream Machine SE, maar wil deze omwille van het WiFi netwerk wel inzetten

[ Voor 17% gewijzigd door sivadeka op 15-05-2022 22:06 ]

[nelizmastr]

Wat voor een VPN is het? Ik neem aan een site to site? Daar is geen CLI voor nodig als je je Unifi Network software netjes up to date hebt.

Zit de UDM direct aan het internet of zit er nog een andere NAT router voor? Dat maakt het namelijk een stuk vervelender. In dat geval zou ik nagaan of je die router kunt vervangen door de UDM.

[sivadeka]

het is inderdaad een Site-to-Site VPN en de router is meteen op het internet aangesloten. Mijn testsysteem staat daarachter en die doet het zelfs door de UDM heen.

Toen ik ben gaan zoeken kom de mogelijkheden tegen op CLI niveau, dat gebruik ik liever niet maar ben daar toch mee aan de slag gegaan. Zonder resultaat dus.

Als ik test met de UDM dan staat deze test-VPN uit natuurlijk uit

[sivadeka]

Probleem is dat FritzBox alleen Aggressive aankan, dit kan niet in de GUI geregeld worden, dus moet sowieso via de CLI heb ik gelezen

[Eintechnical]

Het volgende heb ik gevolgd om een tunnel tussen een Fritzbox + PFSense te bouwen.

https://superuser.com/que...d-a-pfsense-without-using

Het gaat om een tunnel in main mode, mogelijk ook iets voor jou?

[ Voor 14% gewijzigd door Eintechnical op 16-05-2022 00:16 ]

[nelizmastr]

sivadeka schreef op zondag 15 mei 2022 @ 22:13:
Probleem is dat FritzBox alleen Aggressive aankan, dit kan niet in de GUI geregeld worden, dus moet sowieso via de CLI heb ik gelezen

Helder. Agressive mode is ook ongebruikelijk. Zelfs enterprise firewalls prefereren main mode, dus ik snap dat Ubiquiti het verbergt.

[sivadeka]

Eintechnical schreef op zondag 15 mei 2022 @ 23:38:
Het volgende heb ik gevolgd om een tunnel tussen een Fritzbox + PFSense te bouwen.

https://superuser.com/que...d-a-pfsense-without-using

Het gaat om een tunnel in main mode, mogelijk ook iets voor jou?

Is interessant. Helaas kan ik geen SSH doen naar de Fritzbox want is van de provider dus het uitlezen van ipsec-fritzbox.cfg lukt niet (dichtgezet) Er zijn wat zaken uitgezet. Ook met je aanbevolen instellingen (Main mode) geprobeerd (aan de UDM se zijde) maar wel met de nuance dat in UDMse de 2de fase en de tijden (3600-28800) niet kunnen worden aangepast. Dan kan wel via de CLI in de config-files maar worden steeds overschreven na herstart.

[sivadeka]

nelizmastr schreef op maandag 16 mei 2022 @ 07:41:
[...]


Helder. Agressive mode is ook ongebruikelijk. Zelfs enterprise firewalls prefereren main mode, dus ik snap dat Ubiquiti het verbergt.

Het is een Weserve (provider) aangegeven router, en het lukt dus nu om een Aggresssive methodiek toe te passen. Bij voorgaande configuraties heb ik ook altijd main-mode gebruikt overigens.

[SlinkingAnt]

Dit is een mooi artikel om te kijken hoe/waar het mis gaat:
https://web.archive.org/w...shooting-IPsec-VPN-on-USG

Helaas zit de originele link achter een inlog, maar de gearchiveerde versie is prima te gebruiken

[Eintechnical]

sivadeka schreef op maandag 16 mei 2022 @ 09:46:
[...]


Is interessant. Helaas kan ik geen SSH doen naar de Fritzbox want is van de provider dus het uitlezen van ipsec-fritzbox.cfg lukt niet (dichtgezet) Er zijn wat zaken uitgezet. Ook met je aanbevolen instellingen (Main mode) geprobeerd (aan de UDM se zijde) maar wel met de nuance dat in UDMse de 2de fase en de tijden (3600-28800) niet kunnen worden aangepast. Dan kan wel via de CLI in de config-files maar worden steeds overschreven na herstart.

Dit bestand kan je uploaden op het webinterface van de Fritzbox, ssh is hierbij niet nodig:
Onder Internet > Permit Access > VPN > Add VPN Connection > Import a VPN configuration from an existing VPN settings file.

[sivadeka]

Eintechnical schreef op maandag 16 mei 2022 @ 11:10:
[...]


Dit bestand kan je uploaden op het webinterface van de Fritzbox, ssh is hierbij niet nodig:
Onder Internet > Permit Access > VPN > Add VPN Connection > Import a VPN configuration from an existing VPN settings file.

Wat een goede optie. Ik heb een config gemaakt en geuploaded, daarna geeft het systeem aan det het succesvol is maar de aangemaakte VPN komt niet in de lijst voor daarna. Vreemd. ik heb twee bestandstypes gebruikt (een kladblok en de andere was unicode). Eigenlijk geef je aan je denkt dat het probleem bij de FritzBox ligt, klopt dat?

[Eintechnical]

Voor de aggressive mode ligt het probleem inderdaad bij de Fritzbox.
Vreemd dat de VPN niet in het lijstje komt te staan.
Zie je iets in de event log?
System > event log?

Zie je de configuratie wel terug in het volgende bestand:
System > backup > save > "Vul een random ww in"?

Open dit bestand, ctrl + f naar "vpncfg".

[sivadeka]

Eintechnical schreef op maandag 16 mei 2022 @ 19:12:
Voor de aggressive mode ligt het probleem inderdaad bij de Fritzbox.
Vreemd dat de VPN niet in het lijstje komt te staan.
Zie je iets in de event log?
System > event log?

Zie je de configuratie wel terug in het volgende bestand:
System > backup > save > "Vul een random ww in"?

Open dit bestand, ctrl + f naar "vpncfg".

Dank voor de tip, ik moet nu bellen of lokaal op de knop drukken en lukt niet want ben vandaag en morgen niet (meer) op locatie. Ik a dit proberen en kom erop terug bij je.

Er stond niets in de log, deze had ik eerder deze dag gewist.
Ik kom erop terug deze week.....

[sivadeka]

Eintechnical schreef op maandag 16 mei 2022 @ 19:12:
Voor de aggressive mode ligt het probleem inderdaad bij de Fritzbox.
Vreemd dat de VPN niet in het lijstje komt te staan.
Zie je iets in de event log?
System > event log?

Zie je de configuratie wel terug in het volgende bestand:
System > backup > save > "Vul een random ww in"?

Open dit bestand, ctrl + f naar "vpncfg".

Het aanpassen van de configuratie op de Fritzbox is inmiddels gelukt zoals je omschreef, dat is mooi.
De VPN draait nog niet helaas.

[sivadeka]

Ik wil niet negatief zijn maar wat een dramaproduct, heb de neiging om dat ding in de kast te gooien en er drie jaar niet naar om te kijken, en dan naar het stort te brengen.

Als ik een linuxdoos had gewild (waar ik overigens goed mee om kan gaan) had ik deze wel gekocht, je mag toch echt meer verwachten van Ubiquiti
Dan denk ik aan instellingen, logging, interopabiliteit met andere producten etc.

Sh*tZ**i

[Cyberkid]

sivadeka schreef op vrijdag 20 mei 2022 @ 21:55:
Ik wil niet negatief zijn maar wat een dramaproduct, heb de neiging om dat ding in de kast te gooien en er drie jaar niet naar om te kijken, en dan naar het stort te brengen.

Als ik een linuxdoos had gewild (waar ik overigens goed mee om kan gaan) had ik deze wel gekocht, je mag toch echt meer verwachten van Ubiquiti
Dan denk ik aan instellingen, logging, interopabiliteit met andere producten etc.

Sh*tZ**i

Je hebt het steeds over een Fritzbox, maar nu is er iets met Ubiquiti? De UDM? Het is misschien handig om eerst te bekijken wat voor type VPN deze apparaten odnersteunen. Er is vast iets mogelijk.

[sivadeka]

Cyberkid schreef op vrijdag 20 mei 2022 @ 23:29:
[...]


Je hebt het steeds over een Fritzbox, maar nu is er iets met Ubiquiti? De UDM? Het is misschien handig om eerst te bekijken wat voor type VPN deze apparaten odnersteunen. Er is vast iets mogelijk.

Dank voor je bemoedigende woorden, de FritzBox is een 5530 en de UDM se hebben allebeide genoeg opties. Ik had de aggressive werkend met 5530 en een Draytek (daar heb je veel instelmogelijkheden)

De UDM ondersteund standaard geen Agressive (tenzij je config files aanpast) en de 5530 ondersteunt geen IKEv2. Allebeide direct aan internet geconnecteerd (dus publeik IP) dus zou eigenlijk geen probleem mogen zijn.

Dus ik dacht IKEv1 in Mainmode zou moeten kunnen, maar helaas....