IPsec zwischen AVM Fritz!Box und strongSwan

Gepostet am 25.06.2015 in News

Weil es mich Stunden kostete, nicht dokumentiert ist und einen an dieser Stelle der sonst recht gute AVM-Support allein lässt, hier mal dokumentiert eine funktionierende Konfiguration für IPsec als net2net:

 

AVM : Fritz!Box 7490, Fritz!OS 6.24

strongSwan : debian GNU/Linux jessie, strongSwan 5.2.1

 

der strongSwan Server :

# ipsec.conf - strongSwan IPsec configuration file
config setup
conn %default
 left=LOCAL.PUBLIC.FQDN (e.g. local.example.com)
 leftsubnet=LOCAL_LAN_CIDR (e.g. 192.168.0.0/24)
 authby=secret
 auto=start
conn avm2swan
 ike=aes256-sha-modp1024
 esp=aes256-sha1-modp1024
 right=REMOTE.PUBLIC.FQDN (e.g. remote.example.com)
 rightid=@REMOTE.PUBLIC.FQDN
 rightsubnet=REMOTE_LAN_CIDR (e.g. 192.168.1.0/24)
 ikelifetime=3600s
 keylife=3600s
# ipsec.secrets - strongSwan IPsec password file
@LOCAL.PUBLIC.FQDN @REMOTE.PUBLIC.FQDN : PSK "VERYSECRET;-)"

Auf Seiten von AVM eine Datei erstellen und als VPN-Konfiguration importieren:

/*
 * C:\Users\test\AppData\Roaming\AVM\FRITZ!Fernzugang\strongswan\strongswan.cfg
 * Thu Jun 25 09:40:07 2015
 */
 
 vpncfg {
 connections {
 enabled = yes;
 editable = no;
 conn_type = conntype_lan;
 name = "PUBLIC.REMOTE.FQDN";
 boxuser_id = 0;
 always_renew = yes;
 reject_not_encrypted = no;
 dont_filter_netbios = yes;
 localip = 0.0.0.0;
 local_virtualip = 0.0.0.0;
 remoteip = 0.0.0.0;
 remote_virtualip = 0.0.0.0;
 remotehostname = "PUBLIC.REMOTE.FQDN";
 keepalive_ip = 0.0.0.0;
 localid {
 fqdn = "PUBLIC.LOCAL.FQDN";
 }
 remoteid {
 fqdn = "PUBLIC.REMOTE.FQDN";
 }
 mode = phase1_mode_idp;
 phase1ss = "all/all/all";
 keytype = connkeytype_pre_shared;
 key = "VERYSECRET;-)";
 cert_do_server_auth = no;
 use_nat_t = yes;
 use_xauth = no;
 use_cfgmode = no;
 phase2localid {
 ipnet {
 ipaddr = 192.168.1.0;
 mask = 255.255.255.0;
 }
 }
 phase2remoteid {
 ipnet {
 ipaddr = 192.168.0.0;
 mask = 255.255.255.0;
 }
 }
 phase2ss = "esp-all-all/ah-none/comp-all/pfs";
 accesslist = "permit ip any 192.168.0.0 255.255.255.0";
 }
 ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
 "udp 0.0.0.0:4500 0.0.0.0:4500";
}