VPN auf FritzBox einrichten

Diese Kurzanleitung zeigt, wie man schnell und einfach einen sicheren VPN Zugang mit einer FritzBox einrichtet.

Dabei Unterscheiden wir die zwei Fälle

• Einrichtung als VPN-Server
• Einrichtung als Router zur Weiterleitung eines VPN Zugangs für IPsec oder OpenVPN

FritzBox als VPN Server

Unterstütztes Protokoll und Eigenheiten

Entgegen der Einrichtung auf anderen Routern, ist die VPN Konfiguration auf einer FritzBox denkbar einfach.

Die FritzBox unterstützt VPN IPsec mit Benutzername und Kennwort. Im IPsec ist auch eine Gruppe und ein “Shared Secret” (Preshared Key = PSK) vorgesehen. Der Gruppenname wird bei der FirtzBox nicht weiter genutzt und dem Benutzernamen gleichgesetzt.

Das hat den Vorteil, dass jeder VPN-Nutzer seine eigene Gruppe und seinen eigenen PSK besitzt. Damit ist jede Einzelverbindung individuell.

Nutzer einrichten

Im ersten Schritt wird im Menü System->FritzBox Nutzer ein neuer Account angelegt.

Will man den Account ausschliesslich für den VPN Zugang nutzen, wählt man alle Berechtigungen bis auf den VPN Zugang ab. Das ist die optimale Einstellung für einen VPN Zugang auf dem Router. Hängen zwei FritzBoxen hintereinander um bspw. eine DMZ zu realisieren wie in meinem Artikel beschrieben, so wir der Nutzer auf der FritzBox im Heimnetz angelegt und darf auch erweiterte Berechtigungen haben.

FritzBox als VPN-Router

Die Portfreigabe wird nur benötigt, wenn der VPN Zugang hinter der FritzBox als Router liegt.

In diesem Beispiel wird eine FritzBox als Router konfiguriert, welche die VPN Anfrage an einen VPN Server namens “Homebox” weiterleitet. Dieser VPN Server kann wiederum eine zweite FritzBox sein, eine Synology DiskStation, eine weitere Firewall, etc.

IPsec

Für eine Freigabe für L2TP/IPsec vewendet man genau folgende Weiterleitungen:

• Protokoll 50 ESP – Encapsulating Security Payload (VPN Passthrough)
• UDP 500 – IKE – Internet Key Exchange
• UDP 4500 – IPSec NAT-T (mehrfaches Network Address Translation Traversal)

Damit sehen die Schritte wie folgt aus:

Und als Ergebnis erhält man beispielsweise folgende Übersicht:

Auf der Homebox wird nun wie gewohnt der VPN Zugang eingerichtet. Hat man hier eine weitere FritzBox geht man auf der Homebox dann so vor wie oben beschrieben für die Benutzerfreigabe.

OpenVPN

Mit dem populären, alternativen OpenVPN Zugang kann auch SSL-VPN genutzt werden. Das hat den Vorteil, dass in der Regel auch in Umgebungen bei denen obige IPsec Ports gesperrt sind eine SSL Verbindung über Port 445 (SSL) möglich ist.

Der Nachteil bei SSL-VPN sei aber auch nicht verschwiegen: wir benötigen eine eigenen Client App, während IPsec oft im Betriebssystem schon integriert ist.

Will man OpenVPN auf einem Server hinter einer Fritzbox einsetzen, vereinfacht sich die Einstellung weiter.

Man benötigt nun nur eine Portfreigabe

• UDP 1194 – Open VPN

Ressourcen

• Einen schönen Erklärungsartikel, wie das Paket aufgebaut ist, findet sich unter http://www.serverhowto.de/Teil-6-Abschnitt-H-L2TP-Firewalls-und-NAT.50.0.html