LAN-to-LAN VPN mit DrayTEK Routern über ADSL und VDSL

[jraf]

Hallo allerseits,

ich möchte aktuell ein VPN zwischen 3 Aussenstandorten und einer Zentrale aufbauen. Soweit ist alles konfiguriert - Internet und lokales Routing funktioniert tadellos, VPN Verbindung leider nicht.
Die Konfiguration sieht wie Folgt aus:
- Zentrale mit Telekom VDSL Business (50MBit), feste IP-Adresse, DrayTEK 2860 Router
- Filialen mit Telekom ADSL2+ Business (16Mbit), feste IP-Adresse, DrayTEK 2760 Router

Die Router wurden erst kürzlich neu erworben, Firmware sollte soweit aktuell sein.

Aufgebaut werden soll ein IPSec VPN von allen Filialen zur Zentrale. Bei einem ersten Test von Filiale1 konnte ich allerdings den Tunnel nicht aufbauen.
Muss ich hier etwas Spezielles berücksichtigen? Gibt es allgemeine Empfehlungen für die Konfiguration?

Je nach Firmware kann man leider nicht 1:1 alle Einstellungen in der Oberfläche definieren

Grundsätzlich bin ich nach dieser Anleitung vorgegangen: http://www.draytek.com/index.php?option=com_k2&view=item&id=1988&Itemid=293&lang=en
Die Masken sehen auf meinen Routern allerdings nicht 1:1 genauso aus.

P.S.: Ich habe schon mit Cisco und Fortigate Firewalls Tunnel aufgebaut, also netzwerktechnisch habe ich schon Ahnung von der Materie denk ich
Allerdings gehts da in der Regel um Standleitungen - gibt's bei VDSL vielleicht Besonderheiten (insbesondere da T-Com ja mit VLAN Tagging arbeitet) ?

 

[hominidae]

....Bei einem ersten Test von Filiale1 konnte ich allerdings den Tunnel nicht aufbauen.

...wie ist das gemeint?
Ging es denn bei Filiale 2 oder hast Du nach dem Versiuch mit Filiale 1 das Ganze abgebrochen?

 

[jraf]

...wie ist das gemeint?
Ging es denn bei Filiale 2 oder hast Du nach dem Versiuch mit Filiale 1 das Ganze abgebrochen?

Filiale 2 und 3 habe ich noch nicht eingerichtet, Szenario ist ja analog. Wenn es an Standort1 nicht funktioniert, dann wohl an 2 und 3 auch nicht

 

[hominidae]

...das ist ja nicht zwingend der Fall.
- Du kannst einfach in der Konfig der Filiale 1 einen Flüchtigkeits-Fehler haben, den Du in Filiale 2 evtl. nicht gemacht hast.
- Die Firmwares und Router-Revisonen sind evtl pro Filiale unterschieldich

 

[jraf]

Hab's jetzt hinbekommen den Tunnel aufzubauen. Kam drauf in ob man "Aggressive Mode" oder "Main Mode" verwendet und entsprechend die Peer ID angibt oder nicht. Also Tunnel steht - allerdings flutscht der Traffic nicht so recht. Ein Ping auf die Geräte klappt ohne Aussetzer mit 25ms Latenz - aber z.B. das Web Interface des Netzwerkdruckers aufzurufen dauert ewig.
Ich vermute ich muss da noch an der MTU Size schrauben. Hat evtl. sonst jemand einen Tipp bezügl. Performance Optimierung im VPN? (Encryption wird 256-bit AES verwendet)

 

[Digi-Quick]

Aggressive Mode = Client zu Gateway VPN
Main Mode = Gateway zu Gateway VPN

Zumindest ist es so vorgesehen

In den technischen Daten von Draytek finde ich keine Angaben zum Firewall-Durchsatz / VPN-Durchsatz. 2 IPSec-VPN Tunnel beim 2760 lassen jedoch "tief blicken", ich denke mal da wird dein "Nadelöhr" sein!
Der VPN-Durchsatz wird allerdings auch beim 2860 (und auch nicht beim 29xx) angegeben, dürfte aber bei max. 32 VPNs deutlich höher sein. Die 200 MByte Firewalldruchsatz beim 2860 haben damit erstmal nix zu tun.

 

[jraf]

2 IPSec-VPN Tunnel beim 2760 lassen jedoch "tief blicken", ich denke mal da wird dein "Nadelöhr" sein!

Möglich - allerdings will ich ja auch nur 1 Tunnel aufbauen. Und 1MBit/s Durchsatz solle ja wohl schon drin sein, oder?

 

[Digi-Quick]

Naja, der maximale Durchsatz wird ja auch hier nur beim Transfer grosser Dateien erreicht, bei vielen kleinen Dateien (Webseite) bricht der Durchsatz auch hier zusammen (Overhead).

Teste das ganze doch einfach mal mit einer Client zu VPN Verbindung auf das VPN-Gateway durch - z.B. mit TheGreenbow VPN Client, dann hast du dediziert nur ein Gateway beteiligt

 

[jraf]

Habe jetzt 3DES Verschlüsselung eingestellt, die wohl von den Routern nativ unterstützt wird. Performance ist soweit ok.

 

[Digi-Quick]

OK!
Die Verschlüsselung kann natürlich auch eine Bremse sein.
mal ein Thread zum lesen
Encryption AES vs. 3DES oder SHA1 - Cisco Forum