Ein mit der Fritzbox aufgespanntes VPN schützt als sicherer Tunnel durchs Internet den Zugriff ins Heimnetz und versteckt die Daten vor Angreifern.

Die unter Linux verbreitetste VPN-Lösung heißt OpenVPN [1]. Doch der Rechner mit dem zugehörigen Dienst muss laufen, wann immer Sie sich mit dem VPN verbinden möchten. Daher liegt es nahe, jenen kleinen Linux-Rechner zu nutzen, der in vielen deutschen Haushalten ohnehin rund um die Uhr aktiv ist: die Fritzbox.

Schon seit vielen Jahren bringt der Fritzbox-Internet-Router von Haus aus einen VPN-Server mit, das Flashen einer alternativen Firmware ist nicht erforderlich. Allerdings handelt es sich dabei nicht um OpenVPN, sondern um einen IPSec-basierten, Cisco-kompatiblen VPN-Dienst [2].

Auf dem Linux-Rechner benötigen Sie lediglich die Client-Pakete networkmanager-vpnc, unter Ubuntu gegebenenfalls network-manager-vpnc-gnome, wenn Sie den Netzwerkmanager einsetzen möchten, oder vpnc für den Aufbau der VPN-Verbindung auf der Konsole.

Um die bittere Pille gleich vorwegzunehmen: Fritzbox-VPN funktioniert nicht, wenn die Box an einem Zugang mit sogenanntem Dual Stack Light hängt, da der VPN-Dienst IPv6 nicht unterstützt [3] und der Rechner in dieser Konstellation per IPv4 nicht von außen zu erreichen ist. Ärgerlicherweise gehören im Moment die meisten Internet-Zugänge zu diesem Typ; die Hintergründe erläutert der Kasten “IPv4 und IPv6”.

Abbildung 1: Stimmen die IPv4-Adressen der Status-Seite der Fritzbox (oben) und der im Browser aufgerufenen Seite http://whatsmyip.org (unten) überein, bleiben Sie von den Einschränkungen des sogenannten Dual Stack Light verschont.

Als Lösung bietet es sich an, bei der Hotline Ihres Providers nach einer echten, von außen erreichbaren IPv4-Adresse zu fragen. Berichten im Internet zufolge kommen Provider dieser Bitte nach Möglichkeit nach. Allerdings garantieren lediglich teurere Business-Internet-Anschlüsse solche Sonderwünsche vertraglich. Im Moment gewährt Vodafone Kabelkunden, die ihre eigene Fritzbox statt einen gestellten Router nutzen, von Anfang an einen vollen Dual Stack.

Klappt dies nicht, dann müssen Sie auf die Fritzbox als VPN-Server verzichten. OpenVPN kommt dagegen problemlos mit IPv6-Datenverkehr klar, der nicht von den Dual-Stack-Light-Einschränkungen betroffen ist. Beim Zugriff über Mobilfunk müssen Sie dann allerdings sicherstellen, dass der Mobilfunk-Betreiber IPv6 auch unterstützt. Wie so vieles an sich Selbstverständliche ist das in Deutschland keineswegs immer der Fall.

Tunneleingang

Der VPN-Zugang lässt sich auf der Fritzbox sehr einfach einrichten. Bereits aktive Zugänge sehen Sie unter Internet | Freigaben im Reiter VPN (Abbildung 2). Darunter finden Sie den Schalter VPN-Verbindung hinzufügen. Wählen Sie allerdings im nächsten Schritt die Option Fernzugang für einen Benutzer einrichten, dann leitet die Fritzbox-Weboberfläche Sie direkt zum Punkt System | FritzBox-Benutzer weiter, den Sie direkt im linken Menübaum schneller erreichen können (Abbildung 3).

Abbildung 2: Unter Internet | Freigaben | VPN zeigt die Fritzbox bereits eingerichtete VPN-Zugänge und deren Aktivitätsstatus.

Abbildung 3: Für einen VPN-Zugang zur Fritzbox brauchen Sie nur in den Einstellungen für einen Fritzbox-Benutzer den Haken vor VPN zu setzen.

Fernzugang für einen Benutzer einrichten ist die richtige Wahl, wenn Sie einen temporären, von einem Mobilgerät aus erreichbaren VPN-Account einrichten wollen (Abbildung 4). Die anderen Optionen dienen für permanente Verknüpfungen zwischen Hardware-Geräten, sei es zwischen zwei Fritzboxen oder einer anderen VPN-Appliance, wie sie bei Firmen mit mehreren Standorten zum Einsatz kommen.

Abbildung 4: Zum Einrichten eines VPN-Zugangs auf dem Laptop mit dem Netzwerkmanager müssen Sie lediglich eine Handvoll Felder ausfüllen.

Für den genannten Typ des VPN-Zugangs brauchen Sie lediglich in den Einstellungen eines vorher angelegten Fritzbox-Benutzers das Kontrollkästchen VPN zu setzen. Dann blendet die Fritzbox eine Anleitung zum Einrichten des zugehörigen VPN-Client-Zugangs auf dem iPhone oder Android-Smartphone ein (Abbildung 5).

Abbildung 5: Die Fritzbox liefert Anleitungen zum Einrichten clientseitiger VPN-Verbindungen für das iPhone oder Android-Smartphones, die sich leicht auf den Netzwerkmanager unter Linux übertragen lassen.

Diese Anleitung stellt alle Daten zur Verfügung, die Sie für das Einrichten des VPN-Zugangs unter Linux benötigen. Später lassen sich die Angaben über den Link VPN-Einstellungen anzeigen ganz unten in der Einstellungsseite sichten.

Feste Anschrift

In Abbildung 5 ist als Server-Adresse eine MyFritz.net-Adresse zu sehen. Bei MyFritz handelt es sich um einen vom Fritzbox-Hersteller AVM angebotenen Dienst, der einen unveränderlichen, von den oft täglich wechselnden IP-Adressen der Fritzbox unabhängigen Domain-Namen zur Verfügung stellt.

Für die Anmeldung zu MyFritz genügt es, in der Fritzbox via Internet | MyFritz-Konto unter Ihre E-Mail-Adresse eine Adresse einzutragen, auf Weiter zu klicken und dann den per Mail zugesandten Aktivierungslink im Browser zu öffnen. Dann erscheint an dieser Stelle die Meldung Ihre FritzBox ist bei MyFritz angemeldet sowie der unabhängig von der IP gültige Domain-Name (Abbildung 6). Die Captcha-vernagelte MyFritz-Seite brauchen Sie dazu gar nicht zu besuchen.

Abbildung 6: Beim MyFritz-Dienst des Fritzbox-Herstellers AVM handelt es sich im Kern um einen sogenannten DynDNS-Dienst, dessen Domain-Name (unter Ihre MyFritz-Adresse) auch bei wechselnder IP immer auf Ihre Fritzbox verweist.

AVM preist MyFritz als sichere und bequeme Möglichkeit an, aus dem Internet auf Ihre Fritzbox und den mit ihr verknüpften Netzwerk-Speicherplatz zuzugreifen [4]. Wenn in der Fritzbox der Zugriff aus dem Internet für die Box aktiv ist (Abbildung 7), leitet die MyFritz-Seite Anfragen direkt zur Login-Page der heimischen Fritzbox weiter.

Abbildung 7: Jüngere Firmware-Versionen der Fritzbox gestatten den Internetzugriff auf die Fritzbox über HTTPS.

Ob es sich wirklich empfiehlt, den HTTPS-Zugriff vom Internet auf die Fritzbox zu gestatten, auf der die Daten für Ihren Internet- oder Telefonzugang liegen, darf man angesichts jüngerer Probleme mit dem HTTPS-Protokoll bezweifeln. Richten Sie einen VPN-Zugang ein, benötigen Sie diese permanente Erreichbarkeit der Fritzbox aus dem Internet ohnehin nicht: Nach dem Aufbau eines VPN-Tunnels erreichen Sie die Box, ebenso wie alle Netzwerkdienste im Heimnetz, unter denselben IP-Adressen wie zu Hause.

Statt MyFritz können Sie auch einen von AVM unabhängigen DynDNS-Dienst nutzen. Wie bei MyFritz muss die Fritzbox diesem Dienst bei jedem Wechsel Ihre neue IP-Adresse mitteilen, was Sie unter Internet | Freigaben | DynDNS einrichten.

Für ein Dutzend (teilweise kostenpflichtiger) Dienste bringt die Fritzbox bereits Anbieterprofile mit, die Sie direkt im oberen Ausklappmenü auswählen können. Die Update-URLs anderer Anbieter stellen Sie nach der vom Dienste-Provider zur Verfügung gestellten Anleitung mithilfe von mit spitzen Klammern eingeschlossenen Variablen zusammen. Listing 1 zeigt als Beispiel die Angabe für die Update-URL des kostenlosen Securepoint-DynDNS-Diensts [5]. Eine Liste aller Variablen, die die Fritzbox kennt, erhalten Sie nach einem Klick auf das Fragezeichen links oben in der Fritzbox-Oberfläche.

https://update.spdyn.de/nic/update?hostname=<domain>&myip=<ipaddr>

Angedockt

Die VPN-Verbindung ist nun auf der Fritzbox angelegt; MyFritz oder ein anderer DynDNS-Dienst sorgen dafür, dass Sie auch bei wechselnder IP von außen auf Ihre Fritzbox zugreifen können. Es fehlt also nur noch das clientseitige Gegenstück: die Einrichtung der VPN-Verbindung auf Ihrem Linux-Laptop.

Abbildung 8 zeigt den ersten Schritt zum Einrichten einer neuen Netzwerkverbindung im Netzwerkmanager. Sie erreichen diesen Dialog zur Auswahl der Verbindungsart durch einen Klick auf den Zahnrad-Schalter im Netzwerkmanager-Popup oben rechts sowie je nach eingesetzter Distribution und Desktop-Umgebung auch an entsprechend anderer Stelle in den Netzwerkeinstellungen.

Abbildung 8: Der Linux-Netzwerkmanager unterstützt das von der Fritzbox angebotene Cisco-kompatible VPN ebenso wie Android- und Apple-Smartphones.

Wählen Sie die als Verbindungsart VPN kompatibel mit Cisco (vpnc) aus, und klicken Sie auf Erstellen. Zuerst geben Sie der Verbindung einen aussagekräftigeren Namen als den Vorgabewert Neue Verbindung vpn. Mit Gateway ist die Adresse des VPN-Servers gemeint, also jene der Fritzbox. Tragen Sie hier die IP-wechseltolerante MyFritz-Adresse oder die im alternativen DynDNS-Dienst eingerichtete ein.

Den Benutzernamen und das Benutzerpassword haben Sie beim Anlegen des FritzBox-Benutzers festgelegt. Die restlichen Werte entnehmen Sie der bereits angesprochenen Anleitung zum Einrichten des VPN-Zugangs auf dem Smartphone (Abbildung 6). Alternativ wählen Sie im Ausklappmenü unter dem Passwortfeld die Option Jedesmal nach diesem Passwort fragen und geben es nicht hier ein, sondern erst beim Aufbau der VPN-Verbindung.

Nun fehlen nur noch der Gruppenname (der dem Fritzbox-Benutzernamen entspricht) und das Gruppenpasswort. Letzteres heißt in der Anleitung für iOS Shared Secret, in der für Android Shared Key. Beide Male nennt die Fritzbox denselben 16 Zeichen langen Buchstaben-Zahlen-Code. Dann übernehmen Sie die VPN-Konfiguration mit einem Klick auf OK ins System. Ein Klick auf das Netzwerkmanager-Icon zeigt nun den am Schutzschild-Symbol zu erkennenden Eintrag für die VPN-Verbindung (Abbildung 9).

Abbildung 9: Mit dem in vielen Distributionen anzutreffenden Netzwerkmanager richten Sie eine VPN-Verbindung zum Fritzbox-VPN-Dienst mit wenigen Klicks ein.

In der Standardkonfiguration leitet das System den Internet-Datenstrom komplett durch das VPN. Das ist das erwünschte Verhalten, wenn Sie Ihren Datenverkehr gegen ein nicht vertrauenswürdiges Netzwerk (etwa ein frei zugängliches WLAN auf einer Veranstaltung oder in einem Hotel) absichern möchten. Für den sicheren Zugriff auf Ihr Heimnetzwerk genügt es aber, lediglich die dorthin fließenden Daten zu verschlüsseln.

Um normale Internet-Zugriffe nicht durch das VPN zu leiten und damit zu verlangsamen, öffnen Sie den Dialog Netzwerkverbindungen bearbeiten (Schalter rechts oben im Netzwerkmanager-Menü). Hier wählen Sie links die VPN-Verbindung. Im Reiter IPv4 klicken Sie auf den Button Routen und aktivieren die Option Nur für Ressourcen dieser Verbindung verwenden.

Handarbeit

Wenn Sie den Netzwerkmanager nicht verwenden möchten, zum Beispiel, weil Sie weder Gnome noch KDE nutzen, bietet das Kommandozeilenwerkzeug Vpnc eine von der Desktop-Umgebung unabhängige Alternative. Es liest seine Konfigurationswerte aus der Datei /etc/vpnc/default.conf (Listing 2).

IPSec gateway xzyzxy.myfritz.net
IPSec ID Benutzer
IPSec secret x3Cfz64Fvr50DeRt
Xauth username User
Xauth password Passwort

In die erste Zeile IPSec gateway tragen Sie die MyFritz- oder DynDNS-Adresse ein. Die IPSec ID entspricht bei der Fritzbox dem Benutzernamen. Das IPSec secret ist Ihnen bereits als Shared Key oder Shared Secret begegnet. In die letzten beiden, mit Xauth beginnenden Zeilen gehören der Benutzername und das entsprechende Passwort. Wenn Sie Letzteres lieber auf der Kommandozeile angeben möchten, statt es in der Konfigurationsdatei zu verewigen, kommentieren Sie die Passwort-Zeile mit einem vorangestellten # aus.

Nach dem Eintragen dieser Daten in die Konfigurationsdatei rufen Sie als Root vpnc auf oder als normaler User vpnc --password, gefolgt vom Passwort des Fritzbox-Benutzers.

Fazit

Den in der Fritzbox eingebauten VPN-Dienst zu nutzen, erspart das Einrichten und den permanenten Betrieb eines VPN-Server-Rechners. Die Konfiguration von VPN-Konten auf der Fritzbox und von clientseitigen Verbindungen im Linux-Netzwerkmanager erweist sich als unkompliziert.

@L:Allerdings unterstützt der Fritzbox-VPN-Dienst kein IPv6 und funktioniert daher nicht an Dual-Stack-Light-Internet-Anschlüssen – wegen der Verbreitung dieses Verbindungstyps eine herbe Einschränkung. Es wäre gut, wenn der Hersteller AVM auch in diesem Punkt endlich im 21. Jahrhundert ankommen würde.