VPN-status-meldung

Computer: Hardware Netzwerk
1

hallo,

ich habe eine netgear „FWG114P“-router, der als VPN-server dient. als empfänger der VPN-verbindung dient ein netgear „RP614v2“. laut netgear-hotline soll man mit den beiden routern 100%ig eine VPN-verbindung über IPSec zum laufen bekommen.
also der 614 sol sich beim 114 einwählen.

habe auch schon alles versucht, aber immer scheitert es (laut fehlermeldung) an zertifikaten bzw. deren austausch.

habe auf der netgear-page doie anleitung gefunden und mich daran gehalten
http://www.netgear.de/download/anleitungen/VPNKonfig…
(6. Beispiel: FVL328 (dynamische WAN-IP) zu FVL328 (dynamische WAN-IP))

ich weiß nimma wieter.
hab hier mal das fehlerprotokoll des VPN-routers 114 kopiert für einen verbindungsversuch:

[2005-02-04 19:52:06][==== IKE PHASE 1(to 217.84.95.53) START (initiator) ====]
[2005-02-04 19:52:06]**** SENT OUT FIRST MESSAGE OF MAIN MODE ****
[2005-02-04 19:52:06] PAYLOADS: SA,PROP,TRANS
[2005-02-04 19:52:25]**** SENT OUT INFORMATIONAL EXCHANGE MESSAGE(DELETE_PAYLOAD) ****
[2005-02-04 19:52:51][==== IKE PHASE 1(to 217.84.95.53) START (initiator) ====]
[2005-02-04 19:52:51]**** SENT OUT FIRST MESSAGE OF MAIN MODE ****
[2005-02-04 19:52:51] PAYLOADS: SA,PROP,TRANS
[2005-02-04 19:53:10]**** SENT OUT INFORMATIONAL EXCHANGE MESSAGE(DELETE_PAYLOAD) ****
[2005-02-04 19:53:15][==== IKE PHASE 1(to 217.84.95.53) START (initiator) ====]
[2005-02-04 19:53:15]**** SENT OUT FIRST MESSAGE OF MAIN MODE ****
[2005-02-04 19:53:15] PAYLOADS: SA,PROP,TRANS
[2005-02-04 19:53:17][==== IKE PHASE 1(from 217.84.95.53) START (responder) ====]
[2005-02-04 19:53:17]**** RECEIVED FIRST MESSAGE OF MAIN MODE ****
[2005-02-04 19:53:17] PAYLOADS: SA,PROP,TRANS,TRANS,TRANS,TRANS,TRANS,VID,VID,VID,VID
[2005-02-04 19:53:17]ERROR# NO MATCHING ISAKMP PROPOSAL
[2005-02-04 19:53:17]SENDING NOTIFY MSG:NO_PROPOSAL_CHOSEN
[2005-02-04 19:53:17]**** SENT OUT INFORMATIONAL EXCHANGE MESSAGE(NOTIFY_PAYLOAD) ****
[2005-02-04 19:53:18][==== IKE PHASE 1(from 217.84.95.53) START (responder) ====]
[2005-02-04 19:53:18]**** RECEIVED FIRST MESSAGE OF MAIN MODE ****
[2005-02-04 19:53:18] PAYLOADS: SA,PROP,TRANS,TRANS,TRANS,TRANS,TRANS,VID,VID,VID,VID
[2005-02-04 19:53:18]ERROR# NO MATCHING ISAKMP PROPOSAL
[2005-02-04 19:53:18]SENDING NOTIFY MSG:NO_PROPOSAL_CHOSEN
[2005-02-04 19:53:18]**** SENT OUT INFORMATIONAL EXCHANGE MESSAGE(NOTIFY_PAYLOAD) ****
[2005-02-04 19:53:20][==== IKE PHASE 1(from 217.84.95.53) START (responder) ====]
[2005-02-04 19:53:20]**** RECEIVED FIRST MESSAGE OF MAIN MODE ****
[2005-02-04 19:53:20] PAYLOADS: SA,PROP,TRANS,TRANS,TRANS,TRANS,TRANS,VID,VID,VID,VID
[2005-02-04 19:53:20]ERROR# NO MATCHING ISAKMP PROPOSAL
[2005-02-04 19:53:20]SENDING NOTIFY MSG:NO_PROPOSAL_CHOSEN
[2005-02-04 19:53:20]**** SENT OUT INFORMATIONAL EXCHANGE MESSAGE(NOTIFY_PAYLOAD) ****
[2005-02-04 19:53:24][==== IKE PHASE 1(from 217.84.95.53) START (responder) ====]
[2005-02-04 19:53:24]**** RECEIVED FIRST MESSAGE OF MAIN MODE ****
[2005-02-04 19:53:24] PAYLOADS: SA,PROP,TRANS,TRANS,TRANS,TRANS,TRANS,VID,VID,VID,VID
[2005-02-04 19:53:24]ERROR# NO MATCHING ISAKMP PROPOSAL
[2005-02-04 19:53:24]SENDING NOTIFY MSG:NO_PROPOSAL_CHOSEN
[2005-02-04 19:53:24]**** SENT OUT INFORMATIONAL EXCHANGE MESSAGE(NOTIFY_PAYLOAD) ****
[2005-02-04 19:53:32][==== IKE PHASE 1(from 217.84.95.53) START (responder) ====]
[2005-02-04 19:53:32]**** RECEIVED FIRST MESSAGE OF MAIN MODE ****
[2005-02-04 19:53:32] PAYLOADS: SA,PROP,TRANS,TRANS,TRANS,TRANS,TRANS,VID,VID,VID,VID
[2005-02-04 19:53:32]ERROR# NO MATCHING ISAKMP PROPOSAL
[2005-02-04 19:53:32]SENDING NOTIFY MSG:NO_PROPOSAL_CHOSEN
[2005-02-04 19:53:32]**** SENT OUT INFORMATIONAL EXCHANGE MESSAGE(NOTIFY_PAYLOAD) ****
[2005-02-04 19:53:34]**** SENT OUT INFORMATIONAL EXCHANGE MESSAGE(DELETE_PAYLOAD) ****
[2005-02-04 19:53:36][==== IKE PHASE 1(to 217.84.95.53) START (initiator) ====]
[2005-02-04 19:53:36]**** SENT OUT FIRST MESSAGE OF MAIN MODE ****
[2005-02-04 19:53:36] PAYLOADS: SA,PROP,TRANS
[2005-02-04 19:53:48][==== IKE PHASE 1(from 217.84.95.53) START (responder) ====]
[2005-02-04 19:53:48]**** RECEIVED FIRST MESSAGE OF MAIN MODE ****
[2005-02-04 19:53:48] PAYLOADS: SA,PROP,TRANS,TRANS,TRANS,TRANS,TRANS,VID,VID,VID,VID
[2005-02-04 19:53:48]ERROR# NO MATCHING ISAKMP PROPOSAL
[2005-02-04 19:53:48]SENDING NOTIFY MSG:NO_PROPOSAL_CHOSEN
[2005-02-04 19:53:48]**** SENT OUT INFORMATIONAL EXCHANGE MESSAGE(NOTIFY_PAYLOAD) ****
[2005-02-04 19:53:55]**** SENT OUT INFORMATIONAL EXCHANGE MESSAGE(DELETE_PAYLOAD) ****

wir ddaraus einer von euch schlau??
ich les bloss immer 3DES, DES, SHH, …

wer hilft mir?!?!

axl

2

ich habe eine netgear „FWG114P“-router, der als VPN-server
dient. als empfänger der VPN-verbindung dient ein netgear
„RP614v2“. laut netgear-hotline soll man mit den beiden
routern 100%ig eine VPN-verbindung über IPSec zum laufen
bekommen.
also der 614 sol sich beim 114 einwählen.

Vergiss es. Einen Router2Router-Connect bekommst du mit den beiden Geräten laut Netgear-Dokumentation nicht hin (kommen schliesslich beide vom gleichen Hersteller).

Die Hotline hat recht, du bekommst IPSec zw. beiden zum laufen, der 614 darf dabei aber lediglich routen. Als Endknoten benötigst du einen IPSec-fähigen Router oder eine Software, die mit dem 114P kommunizieren und Schlüssel tauschen kann. Der 614 besitzt diese Fähigkeit nicht (A NAT/SPI firewall shields your network and networked devices against Internet attacks while VPN (Virtual Private Network) pass-through grants you secure access).

Hast du das kleine Zauberwort gesehen? pass-through! nicht end node.

Wenn die Router ausschliesslich zwei private Netze mittels VPN übers Internet verbinden, nicht aber auch andere Aufgaben erfüllen sollen (z. B. das lokale Netz ans Internet anbinden), sind derartige Hardware-Appliances eine Methode der Wahl. Allerdings benötigst du dann auf beiden Seiten gleiche oder untereinander kompatible Hardware, oder Software-Clients, die auf den ‚hardware‘ node auf der anderen Seite abgestimmt sind.

Kauf dir halt so ein Ding, oder beschäftige dich mit dem Thema VPN (nicht mit dem Wie, sondern mit dem ‚Was ist‘). Wie schon gesagt, einlesen erforderlich, aber kinderleicht zu realisieren: OpenVPN http://openvpn.net/

Gruss
Schorsch

3

hallo

Die Hotline hat recht, du bekommst IPSec zw. beiden zum
laufen, der 614 darf dabei aber lediglich routen. Als
Endknoten benötigst du einen IPSec-fähigen Router oder eine
Software, die mit dem 114P kommunizieren und Schlüssel
tauschen kann. Der 614 besitzt diese Fähigkeit nicht (A
NAT/SPI firewall shields your network and networked devices
against Internet attacks while VPN (Virtual Private Network)
pass-through grants you secure access ).

ja das habe ich auch vor. der FWG114P kann ja VPN, der RP614v2 soll es ja nur an den server weiterleiten. habe bei dem port forwarding (PPTP 1723) eingestellt. passt soweit.
aber wenn ich das richtig verstehe geht das ja jetz nur so, das der rechner an dem der 614 hängt sich bei mir (mit dem 114) einwählen kann. aber das würde ja reichen, wer sich einwählt ist ja egal, hautsache der tunnel steht.

Wenn die Router ausschliesslich zwei private Netze mittels VPN
übers Internet verbinden, nicht aber auch andere Aufgaben
erfüllen sollen (z. B. das lokale Netz ans Internet anbinden),
sind derartige Hardware-Appliances eine Methode der Wahl.
Allerdings benötigst du dann auf beiden Seiten gleiche oder
untereinander kompatible Hardware, oder Software-Clients, die
auf den ‚hardware‘ node auf der anderen Seite abgestimmt sind.

also kann ich das miit winXP realisieren?? dort ist ja eine VPN-assistent integriert.
habe auf meinem rechner eine eingehende VPN konfiguriert, auf dem entfernet ist die VPN-verbindung erstellt. auf dem entfernten router (614) ist port forwarding konfiguriert. was muss ich jetz ncoh bei meinem router alles einstellen?

Kauf dir halt so ein Ding, oder beschäftige dich mit dem Thema
VPN (nicht mit dem Wie, sondern mit dem ‚Was ist‘). Wie schon
gesagt, einlesen erforderlich, aber kinderleicht zu
realisieren: OpenVPN http://openvpn.net/

ja das kenne ich. muss ich das auf beiden seiten installieren?? oder nur bei dem nicht VPN-fähigen router??

Gruss

axl

4

ja das habe ich auch vor. der FWG114P kann ja VPN, der RP614v2
soll es ja nur an den server weiterleiten. habe bei dem port
forwarding (PPTP 1723) eingestellt. passt soweit.

Der 114p arbeitet als Endknoten der VPN-Verbindung, du müsstest, um diese Fähigkeit zu nutzen also nicht zum WinXP den Tunnel aufbauen, sondern zum Router. Dieser nutzt für VPN aber nicht das ppt-Protokoll, sondern IPSec. Du benötigst auf der Client-Seite also entweder einen Router, der sich mit dem 114 verständigen kann, oder eine IPSec-fähige Client-Software auf dem Remote-PC.

Diesen Software-Client solltest du bei Netgear bekommen können, möglicherweise aber nicht umsonst. Ich nehme aber fast an, dass du die Installations-CD für diesen Client bei den Unterlagen und CDs zu diesem Router findest.

Das Problem bei IPSec ist seine hohe Komplexität, aufgrund derer versch. IPSec-Lösungen, insbesondere, wenn es Hardware-Lösungen sind, nicht unbedingt miteinander kommunizieren können.

ja das kenne ich. muss ich das auf beiden seiten
installieren?? oder nur bei dem nicht VPN-fähigen router??

OpenVPN musst du auf beiden Seiten installieren, weil OpenVPN wieder ein drittes Protokoll fährt, nicht zu pptp kompatibel, nicht zu IPSec. Um OpenVPN auf dem Router durchzulassen, benötigst du lediglich auf der Serverseite ein Portforwarding für Port 1194 UDP auf den Server-PC, welches jeder Router hinbekommen sollte.

Gruss
Schorsch