IPSec VPN zwischen Fritz!Box und Linux

IPSec VPN LAN:LAN Verbindung zwischen:

AVM Fritz!Box <-> Linux

Es kamen zum Einsatz:

• AVM Fritz!Box 6360 cable
• SuSE Linux Enterprise Server 11 SP1
  • ipsec-tools (racoon)

Bei einer FRITZ!Box wird das VPN mit einer Konfigurationsdatei eingerichtet, die über das Webinterface eingespielt wird (Achtung das Einspielen löst einen Neustart der FRITZ!Box aus).
Nähere Informationen zu dem Thema FRITZ!Box und VPN können im AVM VPN Service-Portal gefunden werden.

Um eine Konfiguration zu erstellen nimmt man am Besten die Software von AVM. Diese kann über das AVM VPN Service-Portal heruntergeladen werden. FRITZ!Box-Fernzugang einrichten

Falls man kein Windows zur Hand haben sollte, dann kann man auch das Beispiel weiter unten verwenden. Jedoch sollte man darauf achten, das die config Datei im „DOS-Format“ (\r\n) formatiert ist. Falls die Datei im Unix-Format (\n) formatiert ist, sollte man diese erst konvertieren, sonst funktioniert der VPN tunnel nicht.
Bei mir hat der VPN tunnel erst funktioniert, als ich meine config von unix nach DOS konvertierte.

Dies kann ganz einfach mittels perl gemacht werden.

perl -p -i -e 's|\n|\r\n|' VPN.cfg

Parameter der .cfg Datei

Die config der Fritz!Box: (erstellt mit FRITZ!Box-Fernzugang einrichten)

/*
* vpn.cfg
*/
vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_lan;
                name = "racoon";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = a.b.c.d;
                remote_virtualip = 0.0.0.0;
                localid {
                        ipaddr = e.f.g.h;
                }
                remoteid {
                        ipaddr = a.b.c.d.;
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "topsecret";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.178.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipnet {
                                ipaddr = 192.168.44.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = "permit ip any 192.168.44.0 255.255.255.0";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}

// EOF

Die „racoon“ config auf der Linux Seite

1. /etc/racoon/psk.txt

   ##################################################
   # Linux - Fritz
   ##################################################
   a.b.c.d topsecret

2. /etc/racoon/racoon.conf

   # $KAME: racoon.conf.in,v 1.18 2001/08/16 06:33:40 itojun Exp $
   
   # "path" must be placed before it should be used.
   # You can overwrite which you defined, but it should not use due to confusing.
   #path include "@sysconfdir_x@/racoon";
   path include "/etc/racoon";
   #include "remote.conf";
   
   # search this file for pre_shared_key with various ID key.
   #path pre_shared_key "@sysconfdir_x@/racoon/psk.txt";
   path pre_shared_key "/etc/racoon/psk.txt";
   
   # racoon will look for certificate file in the directory,
   # if the certificate/certificate request payload is received.
   #path certificate "@sysconfdir_x@/cert";
   path certificate "/etc/racoon/cert";
   
   
   # "log" specifies logging level.  It is followed by either "notify", "debug"
   # or "debug2".
   #log debug;
   
   # "padding" defines some parameter of padding.  You should not touch these.
   padding
   {
           maximum_length 20;      # maximum padding length.
           randomize off;          # enable randomize length.
           strict_check off;       # enable strict check.
           exclusive_tail off;     # extract last one octet.
   }
   
   # if no listen directive is specified, racoon will listen to all
   # available interface addresses.
   listen
   {
           #isakmp ::1 [7000];
           #isakmp 202.249.11.124 [500];
           #admin [7002];          # administrative's port by kmpstat.
           #strict_address;        # required all addresses must be bound.
   }
   
   # Specification of default various timer.
   timer
   {
           # These value can be changed per remote node.
           counter 5;              # maximum trying count to send.
           interval 20 sec;        # maximum interval to resend.
           persend 1;              # the number of packets per a send.
   
           # timer for waiting to complete each phase.
           phase1 30 sec;
           phase2 15 sec;
   
           # shrew.net
           natt_keepalive 15 seconds;
   }
   
   ##################################################
   # Fritz
   ##################################################
   remote a.b.c.d {
           exchange_mode aggressive;
           #exchange_mode main;
           lifetime time 1 hour;
           proposal {
                   encryption_algorithm 3des;
                   hash_algorithm md5;
                   authentication_method pre_shared_key;
                   dh_group 2;
           }
   }
   
   # Linux - Fritz
   sainfo address 192.168.44.0/24 any address 192.168.178.0/24 any {
           pfs_group 2;
           # !! default lifetime on Fritz!Box side !!
           lifetime time 1 hour;
           #encryption_algorithm 3des;
           #authentication_algorithm hmac_md5;
           encryption_algorithm aes;
           authentication_algorithm hmac_sha1;
           compression_algorithm deflate;
   }

3. /etc/racoon/setkey.conf

   #!/usr/sbin/setkey -f
   #
   # This is /etc/stekey.conf
   #
   # delete SAD
   flush;
   
   # delete SPD
   spdflush;
   
   ##################################################
   # Linux - Fritz
   ##################################################
   ## Policy for using SA's: Linux - Fritz
   # Linux-NET:    192.168.44.0/24
   # Linux-GW:     a.b.c.d
   #
   # Fritz-NET:    192.168.178.0/24
   # Fritz-GW:     e.f.g.h
   
   spdadd 192.168.44.0/24 192.168.178.0/24 any -P out ipsec
           esp/tunnel/e.f.g.h-a.b.c.d/require;
   
   spdadd 192.168.178.0/24 192.168.44.0/24 any -P in ipsec
           esp/tunnel/a.b.c.d-e.f.g.h/require;