VPN (L2TP/IPSec) via IPv6 nicht möglich bei DG

1. offizieller Beitrag

    Hallo Forum,

    ich bekomme über IPv6 keine Verbindung via L2TP/IPSec zu meinem VPN Server. Die Ports 1701 und 500 sind in der Firewall freigegeben. Der VPN Server (RRAS) ist für v6 konfiguriert. Lokal funktioniert der Verbindungsaufbau über IPv6. Remote (T-Mobile) jedoch nicht (testweise eine Port 80 Freigabe in der Firewall allerdings korrekt).

    Die ein oder andere Ressource im Netz sagt, dass L2TP/IPSec über IPv6 nicht möglich (oder bei der DG nicht möglich) ist. Stimmt das?


    Falls das Szenario so definitiv nicht möglich ist, würde IKEv2 funktionieren?


    Viele Grüße!

  • Tipp: Jetzt kostenlos registrieren, mitmachen und das Forum ohne Werbebanner nutzen.

    frank_m Das hat nun funktioniert (von Windows Clients), danke für den Tipp!


    Leider kann der IOS VPN Client jedoch für L2TP scheinbar kein IPv6 (findet Server über AAAA als auch die IP nicht). Muss wohl auch IKEv2 umsteigen, da geht angeblich auch IPv6…

  • Tipp: Jetzt kostenlos registrieren, mitmachen und das Forum ohne Werbebanner nutzen.
    • Offizieller Beitrag

    Die beiden werden offiziell subtil anders geschrieben: iOS und IOS. Der Hinweis auf T-Mobile im ersten Kommentar legt das Apple-Produkt nahe, die Schreibweise IOS das andere.

  • Tipp: Jetzt kostenlos registrieren, mitmachen und das Forum ohne Werbebanner nutzen.

    Sorry, ich spreche von iOS (iPhone).


    L2TP/IPSec klappt weiterhin nicht, ich vermute der Client kann die IPv6 Adresse nichts verarbeiten. Schade! Oder gibt es irgendeinen Trick?


    Expalmi Wie hast du das über IKEv2 realisiert? Geht das nur mit Zertifikaten? Der iOS Client hat zumindest keine Möglichkeit, einen preshared Key zu hinterlegen… VPN Server ist ein Server 2019.

    ich habe das mit preshared Keys realisiert, es wäre auch möglich mit Zertifikaten zu arbeiten, das war mir aber zu umständlich.

    In meinen Routern war es kein Problem die Gegenstellen anzulegen, die Lancom Router bieten dazu Assistenten, die das erledigen. Lt. Lancom ist bei Verwendung von IPV6 nur eine IKEv2 Verbindung eine stabile Lösung.

  • Tipp: Jetzt kostenlos registrieren, mitmachen und das Forum ohne Werbebanner nutzen.
    Zitat von Expalmi

    ich habe das mit preshared Keys realisiert, es wäre auch möglich mit Zertifikaten zu arbeiten, das war mir aber zu umständlich.

    Expalmi Aber deine Clients sind nicht iOS, richtig? Denn hier kann für IKEv2 kein preshared Key hinterlegt werden :(


    HubeBube Ja, das fürchte ich auch. Leider stellt sich hier dann die Zertifikat Problematik, insbesondere für die iOS Clients. Bei den Windows Clients dürfte sich das einigermaßen automatisieren lassen.

    Im Prinzip sind Zertifikate kein Hexenwerk, es wird leider sehr häufig als Mysterium dargestellt und viele Anleitungen strotzen vor Halbwissen und unreflektiertem Abschreiben.

    Meines Erachtens ist folgendes wichtig zu wissen:

    • Die Zertifikatkette muss vollständig sein (also die Zertifikate der Root-CA und Issuing-CA müssen im Zertifikatstore hinterlegt sein).
    • Der Common Name (CN) muss zwingend auch als Subject Alternate Name (SAN) im Zertifikat vorkommen
    • Private Key und Certificates Signing Requests (CSR) haben kein Ablaufdatum.
    • Viele Appliances können mit passwortgeschütztem private Key nicht umgehen.
    • Der private Key gehört gesichert und vor Zugriffen Dritter geschützt aufbewahrt. Im Idealfall besitzt der PK ein Passwort.
    • Wenn das ausgestellte Zertifikat abläuft, reicht es aus, den "alten" CSR bei einer CA erneut einzureichen. Damit braucht nur das abgelaufene Zertifikat durch das neue ersetzt werden.

    Von self-signed Zertifikaten rate ich ab. Es sei denn in vollständig isolierten Laborumgebungen. Let's encrypt ist in sehr vielen Fällen (leider nicht in allen) eine gute Alternative.

  • Tipp: Jetzt kostenlos registrieren, mitmachen und das Forum ohne Werbebanner nutzen.

    Expalmi Wo Bitte kannst du auf dem iPhone in den VPN Einstellungen bei IKEv2 ein Shared Secret (Preshared Key) eingeben? Ich habe die aktuelle iOS Version, da geht das nicht!? Nur bei L2TP/IPSec. Aber du sagtest ja dass du IKEv2 nutzt.


    HubeBube Danke für deine Motivation. Unter Windows habe ich da keine Hemmungen, aber lassen sich die Zertifikate automatisiert für iOS Geräte ausstellen und automatisiert auf dem Device installieren?

    glandulin ich persönlich mag keine Apple Betriebsysteme, kenne mich daher mit deren Möglichkeiten nicht aus.

    Um let's encrypt ist ein umfangreiches Tool-Universum entstanden, evtl. gibt es auch da etwas für die Äpfelchen.

    Überschätze da mal Windows nicht, bis heute habe ich keine Möglichkeit gefunden, wie man unter einem Windows Server OS den private Key mit einem Passwort versehen kann. Export als pfx zählt nicht, da da nur der Container mit einem Passwort versehen wird (ähnlich einem passwortgeschütztem ZIP File).

  • Tipp: Jetzt kostenlos registrieren, mitmachen und das Forum ohne Werbebanner nutzen.

    Also ich nutze Wireguard auf dem iPhone als auch auf dem Macbook.

    Funktioniert meiner Meinung nach sehr gut.

    Habe heute bei einem Bekannten einen Glasfaser Anschluss in Betrieb genommen, und konnte von meinem Heimnetzwerk Daten mit 140Mbit /s herunterladen.

    Ich habe einen 400/200 Anschluss von DG..

    Expalmi  HubeBube


    So, VPN via IKEv2 läuft nun (nativ unter iOS und Windows).


    Letztendlich hat ein im RRAS noch eingetragener Preshared Key (vom vorherigen L2TP/IPSec) die IKEv2 Authentifizierung behindert, darauf muss man erst mal kommen ;)


    Im nächsten Step werde ich die EAP-MSCHAP v2 Authentifizierung vielleicht noch eliminieren zugunsten von Client Zertifikaten.


    Danke für eure Denkanstöße :)