L2TP/IPsec VPN Verbindung mit CGA4233DE nicht möglich

[SLBLN]

Hallo,

ich habe gefühlt nun die ganze Community durchsucht, leider ohne Erfolg. 

Ich versuche mich mit meinem Firmen VPN per "L2TP/IPsec mit vorinstalliertem Schlüssel" zu verbinden. Mit nahezu jedem WLAN und auch zuvor mit meiner DSL Vodafone EasyBox habe ich mich problemlos mit den VPN Einstellungen verbinden können. Seit dem ich zu Vodafone Kabel mit dem Router CGA4233DE gewechselt bin, funktioniert die VPN Verbindung nicht mehr.

Die Fehlermeldungen beim Verbinden:Fehlermeldung 1

Fehlermeldung 2

Folgendes habe ich bereits versucht / umgesetzt:

- HomeSpot Funktion deaktiviert -> Keine VPN Verbindung möglich

- BridgeModus aktiviert -> Per LAN Anschluss kann VPN aufgebaut werden, ich möchte aber die WLAN Option des CGA4233DE nutzen, daher keine Option für mich. Laut Vodafone ist der Bridge Modus für eine gewöhnliche

VPN Verbindung auch nicht notwendig. Screenshot:

- Von Vodafone Kabel auf IPv4 umswitchen lassen -> keine VPN Verbindung möglich

- FireWall im CGA4233DE ausgeschalten -> Per LAN Anschluss kann VPN aufgebaut werden, per WLAN nicht...

Was kann ich noch einstellen / konfigurieren? Mein Ziel ist es lediglich mit dem Router CGA4233DE per WLAN eine einfache VPN zu ermöglichen. Ansonsten ist dieser Router für mich wertlos. 

Bin für jeden Rat dankbar!

Viele Grüße aus Berlin,

Sven

[reneromann]

Wenn die Verbindung per LAN klappt, nicht aber per WLAN, dann ist irgendwas mit deinem Gerät fehlerhaft.

Denn die VF-Geräte unterscheiden nicht zwischen LAN- und WLAN-Internetzugriff...

Das hört sich eher so an, als würde die Bindung des L2TP-Tunnels nicht über den WLAN-Adapter deines Notebooks laufen...

[SLBLN]

Hi Reneromann,

vielen Dank für die schnelle Antwort. 

Ich habe die LAN Verbindung ohne Firewall ebven noch einmal getestet. Ich denke ich war da gestern Abend noch im BridgeModus sodass die VPN Verbindung möglich war. Ich muss mich da also nochmal korrigieren, ohne Firewall mit LAN Verbindung ist eine Verbindung auch nicht möglich.VPN Fehlermeldung (Ohne Firewall + LAN)

An dem Gerät kann es generell auch nicht liegen. Eine VPN Verbindung mit meinem iPhone über WLAN ist auch nicht möglich, nur über die mobile Netzverbindung. VPN Einstellungen passen also.

Hättest du noch eine Idee woran es liegen kann? 

Viele Grüße,

Sven

[Moni_GK]

Hallo SLBLN,

läuft Dein Gerät auf DS-Lite oder hast Du eine reine IPv4 Verbindung?

Liebe Grüße

Moni

[SLBLN]

Hi @Moni_GK, 

ich nehme an mit meinem "Gerät" meinst du den Router CGA4233DE?

Ich weiß leider nicht ob dieser auf einer DS-Lite oder einer reinen IPv4 Verbindung läuft. 

Wie bzw. wo kann ich dies einsehen?

Vielen Dank im Voraus!

Eventuell hilfreiche Infos:

Aktuelle Firmware des Routers: 1.0.9-IMS-KDG

Tarif: Red Internet & Phone 1000 Cable

Viele Grüße,

Sven

[reneromann · Accepted solution]

Ich bin mir ziemlich sicher, dass das Gerät mit DS-Lite läuft und das der Arbeitgeber weder eine Einwahl per IPv6 vorsieht noch die entsprechend notwendigen Einstellungen für einen Tunnel über das CG-NAT-Gateway vorgesehen hat (u.a. verringerte MTU, ausgeschaltete Prüfung der IPv4 des Clients).

Hier scheint es sich wieder mal um einen nicht ordnungsgemäß konfigurierten VPN-Server/VPN-Appliance beim Arbeitgeber zu handeln, der dann in Kombination mit dem (vertragsgemäß bereitgestellten) DS-Lite zu Problemen führt.

Im Prinzip gibt's jetzt 3 Möglichkeiten:

a) Du meldest den Umstand dem Arbeitgeber und er passt die Konfiguration so an, dass auch per DS-Lite ein Verbindungsaufbau möglich ist

b) Du meldest den Umstand dem Arbeitgeber und er sorgt dafür, dass ein Verbindungsaufbau auch per IPv6 möglich ist (ggfs. mit Updates des VPN-Servers/der VPN-Appliance)

c) Du wechselst in einen Business-Tarif und buchst oben drein die Option "Feste IP-Adresse", weil dort kein DS-Lite, sondern "richtiges" DualStack geschalten wird.

Ob dein Anschluß auf Kulanz von DS-Lite auf "richtiges" DualStack umgeschalten wird, glaube zumindest ich nicht - aber da kann @Moni_GK sicherlich mehr zu sagen.

[SLBLN]

Hi @reneromann,

wow, vielen Dank für die umfangreiche Antwort! Wieder etwas gelernt 🙂

Ich werde auf jeden Fall bei unserer IT nachfragen ob eine entsprechend beschriebene Konfiguration möglich ist.

Feste IP frage ich dann an sofern dies bei unserer IT nicht möglich sein wird.

Viele Grüße,

Sven

[seelo2010]

Nicht möglich seitens deiner IT ist die falsche Aussage, nicht gewillt, fehlende Kompetenz, Ignoranz, dass alles glaube ich sofort.

Nicht möglich, nein das ist keine adäquate Antwort. Leider eine Antwort die viele IT Abteilungen geben.

[reneromann]

@seelo2010 

Leider glaube ich sogar ein "nicht möglich" - denn den BWLern ist teilweise nicht beizubringen, dass die alten Geräte z.T. kein IPv6 können und nicht mehr supported werden und somit auch keine Updates mehr für IPv6 erhalten (O-Ton: "Wozu neu, geht doch noch - kostet also nur unnötig Geld ==>Abgelehnt.")

[SLBLN]

Hallo Zusammen,

um das Thema gänzlich abzuschließen bzw. um den Ein oder Anderen weiterzuhelfen:

Die IT meines Arbeitgebers hat mir das Tool "Check Point Endpoint Security" mit entsprechenden Unternehmenszertifikaten installiert.

Jetzt läuft alle super 🙂

Viele Grüße,

Sven