VPN mit G5-Router - CG-NAT

narcozen · 2023-12-29T11:21:05+00:00

Sunrise Community - Kunden helfen anderen Kunden rund um die Themen Fernsehen, Internet, Telefon und Mobile. Jetzt registrieren!

narcozen

Da die Verbindungsgeschwindigkeit erheblich besser ist, habe ich von der Sunrise-Box auf einen G5-Router umgestellt (Nokia FastMile 5G Gatway 3.2). Seither ist meine Site-to-Site VPN-Verbindung nicht mehr möglich (Ich verbinde die lokalen Netzwerke zweier Büro-Standorte).

Zunächst stelle ich fest, dass das Gerät im Unterschied zur Sunrise-Box über keine DynDNS-Unterstützung verfügt. Kein Problem, kann auch an einem Gerät hinter dem Gateway eingerichtet werden. Obwohl ich nun meine IP-Adresse im WAN (Internet) kenne, kann ich meinen Standort trotzdem nicht über das Internet an-pingen, bzw. auf Portfreigaben zugreifen.

Ein ausgedehnte Rückfrage beim Support war sehr ernüchternd (Ihre IP-Adresse finden sie unten auf das Gerät aufgedruckt…). Die Frage, ob das Gerät wegen Carrier-gard-NAT (cg-NAT, CGN), also wegen geteilter Internet-Adresse, nicht erreichbar sei, wurde verneint. Ob die Frage verstanden wurde, ist unklar…

Nur, trotz bekannter IP-Adresse und Portforwardung aller Ports auf meine Firewall (die alte Zywall USG20W), ist es nicht möglich, ein Lebenszeichen meines Standortes zu erhalten.

Sieht jemand das Problem? Doch CG-NAT? Wie besser testen?

Danke für die Unterstützung.

EZS1234

narcozen Die Frage, ob das Gerät wegen Carrier-gard-NAT (cg-NAT, CGN), also wegen geteilter Internet-Adresse, nicht erreichbar sei, wurde verneint.

Die Antwort ist aber leider falsch, den deine Vermutung bezüglich CG-NAT ist korrekt. Umgehen lässt sich das bei 4G/5G bei Privat Abos nicht. Eine einfache Lösungsmöglichkeit bei einem 4G/5G Anschluss gibt es nicht wie bei DSL/Koax/Glasfaser. Da ist etwas mehr Aufwand nötig.

https://community.sunrise.ch/d/30147-nas-mit-oppo-cpe-t1a-5g-verknuepfen

https://community.sunrise.ch/d/32021-oeffentliche-ipv4-adresse-mit-we-connect-wifi-abo

GrandDixence

Mindestens ein VPN-Endpunkte muss mit einer öffentlichen IPv4-Adresse betrieben werden. Mit “normalen” SIM-Karten erhält man keine öffentliche IPv4-Adresse. Fehlt einem VPN-Endpunkt die öffentliche IPv4-Adresse, ist die Richtung des VPN-Tunnelaufbau zwingend zu beachten: Der VPN-Tunnelaufbau muss vom VPN-Endpunkt gestartet werden (Initiator), welcher über keine öffentliche IPv4-Adresse verfügt.

Von Swisscom und Sunrise sind für Geschäftskunden Spezial-SIM-Karten erhältlich, welche eine öffentliche IPv4-Adresse anbieten. Siehe dazu:
https://community.sunrise.ch/d/32376-oeffentliche-ipv4-mit-sim-karte

Ist der Endkunde auf einen zuverlässigen Internetanschluss angewiesen (z.B. Homeworking), muss der Internetanschluss redundant über zwei verschiedene, unabhängige Internetanbieter (z.B. UPC Cablecom <-> Mobilfunkanbieter) erfolgen. Siehe dazu:
https://community.sunrise.ch/d/12213-internet-ausfall/3

Ähnliche Fragestellung wurde unter:
https://community.swisscom.ch/t5/Internet-allgemein/Swisscom-Kabel-zu-lang-und-zu-alt/m-p/785768
ausführlich behandelt.

ItaloRaver

GrandDixence hmm könnt dies auch what mit diese öIPv4 zu tun hobe? Oo

https://community.sunrise.ch/d/34692-auf-4g-runter-stellen-updates-for-box-fastmile-5g-gateway-32-nokia

narcozen

Könnte allenfalls eine IPv6-Adresse aufgeschaltet werden? Wäre IPv6 eine valable Lösung des Problems?

millernet

narcozen Leider nein. Meines Wissens unterstützt keiner der drei Anbieter (Swisscom, Sunrise, Salt) IPv6 in ihrem Mobilnetz. Eine Unterstützung wäre zeitgemäss. An deiner Stelle musst du das Site-to-Site-VPN zum Office aufbauen. Ich gehe davon aus, dass dein Geschäftsstandort eine public IPv4 besitzt. Alternativ zu klassischen VPN’s gibt es neu auch Lösungen wie Zerotier oder Tailscale. Damit lassen sich auch hervorragend Zero Trust Ansätze implementieren.

AbRaCH

millernet Ich habe vor kurzem entdeckt, dass Salt als erster Anbieter IPv6-Adressen auf Mobile vergibt. Es ist aber nur für Bastler geeignet, da

Der Default-DNS-Server nur über IPv4 erreichbar ist und auch keine AAAA-Records zurückgibt
DualStack funktioniert nicht, man hat entweder eine IPv4 oder eine IPv6
Man muss den APN manuell auf “IPv6 only” zwingen

Bei Sunrise funktioniert nichts mehr, wenn der APN auf “IPv6 only” umgestellt wird.

narcozen

Gibt es eine “remot-APN” (Access Point Name) Lösung?

millernet

narcozen was meinst du damit? Ein VPN mit Wireguard oder OpenVPN funktioniert problemlos über CGNAT. Nur IPSec und anderes proprietäres Gedöns hat damit vermutlich Probleme. Auch mit Citrix Secure Access habe ich überhaupt keine Probleme. Jeder mobile Hotspot resp. jedes Smartphone läuft über CGNAT.

narcozen

Lieber Millernet

Offenbar ist es für Business-Kunden möglich, eine remote-APN zu erhalten…

Wahrscheinlich hast Du recht, dass Wireguard das Problem lösen kann, nur ist das halt wieder ein Workaround, der die Sache noch komplexer macht und erst mal erlernt werden will. Und installiert (auf was?). Das einfachste ist für mich, die bisherige (Hardware-) Lösung mit dem Zywall unverändert übernehmen zu können. Und der ist nun mal IPsec. Und lief bisher einwandfrei.

millernet

GrandDixence

Ein VPN, egal ob Wireguard, OpenVPN oder IKEv2/IPSec, ist ein Serverdienst. Und zum Betreiben von einem Serverdienst wird nun mal zwingend eine öffentliche IPv4-Adresse benötigt, wenn kein IPv6 vorhanden ist.

Bei VPN-Tunnels, die hochverfügbar laufen müssen, ist für mindestens 1 VPN-Endpunkt eine feste, öffentliche IPv4-Adresse einzusetzen. Kein dynamisches DNS à la DynDNS!

millernet

Das ist hier gar nicht die Dikussion: Es geht darum, dass IPsec sowohl beim Server wie auch beim Client eine public IPv4 resp. IPv6 benötigt und über eine CGNAT gar nicht zum Laufen kommt. OpenVPN, WireGuard und Co. können auch über eine CGNAT (z.B vom Smartphone aus) eine Verbindung zum Server herstellen.

pato

millernet IPSEC braucht nur auf einer der beiden Seiten eine Public IPv4, die zweite Seite kann ohne Probleme hinter CGNAT sein. Ich empfehle jedoch mittels IKEv2 anstatt IKEv1 zu arbeiten, da dies bereits dafür gebaut wurde und keine Zusatzfunktionen (NAT Traversal zum Beispiel) aktiviert werden müssen.

narcozen

Bisher (dh mit Sunrise-Box am Festnetz ohne CGNAT) hat es auch mit Dynamischer DNS gut geklappt. Wahrscheinlich wäre so was wie Wiregard auch ein gute Lösung, da müsste ich mich aber erst einarbeiten…. Mit meinen uralt-Geräten Zywall USG20 wird es wohl ohne ungeteilte IP (bzw. remote-APN) nicht gehen. Mal schauen, ob mein Business-Abo das hergibt. Das wäre die einfachste Lösung. Danke für Eure Hilfe.