VPN (IPSec) Bridge tussen 2 Ubee 321 modems

VPN (IPSec) Bridge tussen 2 Ubee 321b modems

Na jaren hier te hebben gelurkt toch maar eens geregistreerd om het probleem bij jullie voor te leggen.

Doorgaans zoek ik net zo lang door tot ik een oplossing heb gevonden; helaas niet gevonden. Ook met de hulp van het Ziggo Webcare Twitter team (kudo's) geen oplossing weten te vinden en toch maar bij jullie voorleggen.

De situatie:
Op dit moment maak ik gebruik van 2 TP-Link routers met DD-WRT met OpenVPN support er op. Middels deze 2 DD-WRT's zet ik een VPN bridge op tussen 2 Ziggo locaties. Dit werkt redelijk goed (zowel een 'routed bridge' als een 'level 2 bridge' hebbne gewerkt).

Helaas is DD-WRT niet heel robuust qua opzet van zijn VPN verbindingen en wil de verbinding om onduidelijke reden eens weg vallen en niet meer correct terugkomen. Tevens 'verzint' deze soms bepaalde routes die roet in het eten gooien..

Sinds kort heb ik echter op beide locaties de beschikking over een Ubee 321b modem. Deze hebben de mogelijkheid om onderling via IPSec een VPN verbinding op te zetten en ook een VPN Bridge op te zetten.

Echter is dit waar het probleem ontstaat; na het combineren van informatie uit de handleiding, zoektochten met google en de kennis vergaard met DD-WRT heb ik een in mijn ogen configuratie weten neer te zetten. Echter bouwt hij niet correct de verbinding op en weigert hij de bridge op te zetten.

Het Ziggo Webcare team heeft mij binnen de grenzen van hun consumenten ondersteuning helaas niet verder weten te helpen dan dat er op het oog geen rare zaken te vinden zijn en dat tests bij hen met 2 ubee 321b modems goed lijken te werken. Onderstaand de conversatie evenals plaatjes met de instellingen en logs met foutmeldingen.

Zijn er op het forum mensen die ervaring hebben met het opzetten van een VPN Bridge tussen 2 ubee modems (of tussen een ubee modem en een andere VPN host) of mensen die enige hints en tips hebben?

De twitter conversatie met Ziggo:

@ZiggoWebcare Lastige vraag: waar moe'k zijn voor vragen mbt opzetten VPN bridge tussen 2 ubee 321b modems? Geavn. Handl. is niet toereikend

@Mark_Prins Hoi Mark! Lastig, we ondersteunen het zelf niet. Heb je 2 modems op 1 adres of gaat het gewoon om 2 adressen? ^JD

@ZiggoWebcare Gaat om modems op 2 versch adressen. Maakt verbinding, maar foutmeldingen zijn vaag/onduidelijk. Ben wel bekend met VPN in z'n algemeenheid (openvpn lukt in zowel lv2 als routed bridge). Maar via het modem zou veel netter/robuuster zijn. Zijn er überhaupt mensen die het voor elkaar hebben gekregen? Of is het sowieso tasten in het duister/trial&error.

@Mark_Prins Wat voor foutmelding krijg je precies? Kan je hier niet zo snel mee helpen maar we zullen er morgen nog even op terug komen. ^BM

@ZiggoWebcare Aanvullende informatie op: https://t.co/qxd9Avn3ir (configuratie) en https://t.co/YVUmJ9jSYM (logs).

@Mark_Prins Hartelijk dank, deze foutmelding kan meerdere oorzaken hebben maar vaak is het een mismatch in configuratie aan 1 kant. Zie je ook kans om screenshots van de instellingen en logs van de andere partij door te sturen? Alvast bedankt! ^JL

@ZiggoWebcare De pics zijn van 2 kanten; links (192.168.1.14) ontvangende partij, rechts (localhost:8080 (ssh tunnel)) is verbindende partij

@Mark_Prins Sorry, dat had ik kunnen weten! Vreemd, instellingen lijken in orde. Zelfs nog even een bridge tussen 2x 321b op 2 subs getest, en dit gaat goed. Het lijkt bij jouw toch mis te gaan in de ESP header. Helaas houdt onze ondersteuning hier ook in dit opzicht op. Wellicht handig? bit.ly/1fNTH7n - Tevens advies om dit ook eens op het Ziggo gebruikersforum voor te leggen. Mogelijk dat er daar mensen zijn die je in dit opzicht in een beter antwoord kunnen voorzien. ^JL

Hi ^JL; toch dank voor de feedback! Ziggo GebrForum gaat meestal niet verder dan enkelvoudige vpn verbindingen. Zal het in ieder geval eens voorleggen. Mocht ik achter het probleem komen, dan laat ik het nog even weten. Altijd interessant! Thnx iig!

@Mark_Prins Top! Hoor het dan erg graag, inderdaad. Sorry dat ik je niet verder heb kunnen helpen. I.i.g. succes en een fijne avond! ^JL


Soweiso nog altijd een pluim voor het WebCare team (mag ook wel eens gezegd worden :thumb up.

Nu hopen dat er hier mensen zijn die mij iets verder kunnen helpen.

Ik ben ondertussen achter een (domme) fout gekomen waardoor het eerste deel niet werkt. Namelijk dat (aan beide kanten) de "remote address" verkeerd stond. Daardoor probeerde hij te verbinden met een modem op het interne netwerk ipv op het internet.

Nu wordt de VPN verbinding correct opgezet. Echter blijf ik nu met de vraag zitten wat voor VPN bridge er nu wordt opgezet; gaat het hier om een layer-2 network bridge (ofwel om 2 subnets aan elkaar te knopen op layer-2 niveau waarna het lijkt alsof beiden op het zelfden netwerk zitten). Of wordt er een routed bridge opgezet (ofwel; aan beide kanten wordt dmv routes op de gateway (het modem) het verkeer voor het andere subnet over de VPN gestuurd en vice versa).

In theorie zou het niet moeten uitmaken welke hij opzet; in beide situaties had het modem het verkeer voor het andere subnet moeten routeren naar de andere kan van de VPN lijn en zou een ping uit moeten komen bij de andere machines (iets wat echter niet gebeurt).

De originele vraag blijft dus; iemand hier bekend mee/ervaring in?

Ik ben met een vergelijkbaar scenario bezig en loop ook tegen het probleem aan dat de twee netwerken via VPN verbonden zijn maar niet met elkaar praten (niet mogelijk om een apparaat aan de andere kant van de VPN verbinding te pingen).

Heb jij ooit een oplossing gevonden voor het probleem?

Helaas... Verder dan de beschreven interactie met Ziggo Webcare ben ik niet gekomen.

Ik ben uiteindelijk weer teruggevallen op mijn eerdere scenario; 2 DD-WRT capabele AP's die met OpenVPN een VPN verbinding kunnen opzetten en een VPN bridge kunnen opzetten (zowel routed-bridge als layer-2 bridge).

Beiden fungeren als primaire DHCP in hun respectievelijke netwerk. Het ziggo modem heeft DHCP en firewall uitgeschakeld en heeft een statisch (intern) IP.

De DD-WRT's zetten hun VPN verbinding op en hebben route informatie naar de andere kant. Het verkeer op beide netwerken krijgt vervolgens netjes het IP van de DD-WRT's als gateway. De DD-WRT forward vervolgens VPN informatie naar de andere kant en het resterend verkeer naar het Ziggo modem.

Bovenstaande is overigens vrij lastig uit te leggen aan de Ziggo helpdesk (zelfs als je een technisch capabel persoon aan de telefoon hebt). :roll:

Okay, dank voor het antwoord.

Ik heb het gevoel dat je alleen een verbinding naar een Ziggo modem kan opzetten (dus extern toegang krijgen tot het netwerk achter de Ziggo modem). Het lijkt er niet op dat de Ziggo routers zelf in staat zijn om data verkeer in een bepaalde IP subnet range om te routen via de VPN connectie.
Het scenario om twee Ziggo netwerken via de modems op te koppelen zal daarom niet lukken.

Ik heb de vraag via het contactformulier van Ziggo nogmaals gesteld (ik kan me idd voorstellen dat het telefonisch erg lastig is omdat je al snel bij tweede/derdelijns support terecht komt met dit soort vragen). Hopelijk heb ik het mis en kan het wel.

ik denk dat bridging al helemaal niet gaat lukken. je moet nl een ander netwerk opgeven dan je eigen interne netwerk waar je contact mee wil maken.
daarnaast is er alleen een scherm om de ipsec server gegevens in te vullen. er is geen scherm voor een ipsec client.
ik denk dat de beste manier idd een eigen router is op beide locaties, met bv dd-wrt of tomato er op. de ziggo router kan je dan in bridge mode laten zetten.