FRITZ!Box-VPN unter Windows 7 (Teil 1)

VPN (Virtual Private Network) werden auch im Privatbereich immer beliebter. Wer eine FRITZ!Box der Firma AVM besitzt, kann diese für einen VPN-Zugang einrichten. Im Rahmen eines aktuellen Buchprojekts habe ich mich sowohl mit dem Windows 7-Bordfunktionen als auch mit dem FRITZ!Fernzugang befasst. Die Artikelserie beschreibt, was es unter Windows 7 beim Einrichten von VPN mit FRITZ!Fernzugang zu beachten gibt.

Was wird für VPN mit der FRITZ!Box gebraucht?

Um mit der FRITZ!Box einen VPN-Zugang einzurichten, benötigen Sie einen VPN-Server sowie einen geeigneten VPN-Client.

• Der VPN-Server ist Bestandteil der aktuellen FRITZ!Box-Firmware.  zur Konfigurierung wird von AVM ein kostenloses Programm FRITZ!Box-Fernzugang einrichten bereitgestellt. Bei meinen Tests lag die Version 01.00.07, vom 18.08.2009, vor. Der Download ist im AVM-Service-Portal unter [1] möglich.
• Zur Verbindungsaufnahme mit dem VPN-Server benötigt der Clientrechner einen VPN-Client, der unter dem Namen FRITZ!Box-Fernzugang ebenfalls als kostenlose Pack für Windows 7 unter [1] bereitsteht.  Die Software FRITZ!Box-Fernzugang lag beim Test in der Version 01.02.03, vom 01.04.2010, vor. Beachten Sie, dass es einen 32- und einen 64-Bit-Client gibt, der für Windows 7/Vista und teilweise XP ausgewiesen ist.

Zur Inbetriebnahme sollte zudem die Firmware der verwendeten FRITZ!Box auf dem aktuellen Stand sein. Hier in meiner Testumgebung werkelte die ältere FRITZ!Box 7170 (Firmware-Version 29.04.80), die 7270 und Nachfolgemodelle lassen sich aber genauso konfigurieren.

Eine schrittweise Anleitung zum Einrichten der VPN-Funktionen für FRITZ!Box und Windows-Client findet sich unter [5]. Ergänzend möchte ich noch auf die Netlab-Anleitung unter [6] hinweisen, die zusätzliche Hintergrundinfos enthält.

Odds & Evens bzw. Licht und Schatten

Obwohl ich ja viel von den AVM-Produkten halte und die Unterstützung der FRITZ!Boxen durch kostenlose Firmware-Updates als mustergültig ansehe, haben die AVM-Entwickler bezüglich der Windows-Treiberentwicklung nicht immer ein "glückliches Händchen". Leider gilt dies auch für die oben erwähnten FRITZ!Fernzugangstools. Viele im Internet zu findende Anleitungen (z. B. [6]) beziehen sich noch auf Windows XP. Bei meinen Tests in einer virtuellen Maschine unter Windows XP taten die Tools dann auch klaglos ihren Dienst. Bei Windows 7 sieht es aber etwas anders aus.

• Achten Sie bei der Installation des Programms FRITZ!Box-Fernzugang herstellen darauf, dass Sie unter einem Administratorkonto angemeldet sind. Das Manifest der .exe-Installationsdatei aktiviert zwar unter einem Standardbenutzerkonto die Benutzerkontensteuerung, installiert aber die Anwendung unter dem Kontext des Administratorkontos. Folglich  finden sich Startmenüverknüpfungen dann im Startmenü des Administratorkontos. Sie könnten zwar eine Programmverknüpfung manuell auf dem Desktop des Standardkontos anlegen. Aber auch das führt zu Problemen.  FRITZ!Box-Fernzugang herstellen löst zwar beim Start eine Abfrage der Benutzerkontensteuerung aus und läuft mit administrativen Berechtigungen. Da aber die Konfigurationsdaten im Profil des Administratorkontos liegen, löst dies sofort einen Fehlerdialog mit Hinweisen auf Zugriffsberechtigungen aus. Dieser Rattenschwanz an Problemen wird bei der Installation unter einem Administratorkonto umgangen – alles unschön und hat mich einige Zeit gekostet, bis mir das klar war.
• Noch gichtiger verhält sich der Client FRITZ!Box-Fernzugang. Achten Sie als erstes peinlich darauf, dass Sie die zum 32- oder 64-Bit-Windows 7 passende Version des Clients erwischen. Der Client installiert Treiber, die passen müssen. Auch hier empfiehlt sich dringend die Installation und der Betrieb unter einem Administratorkonto. Auf einem Netbook hatte ich unter einem Standardbenutzerkonto den Fall, dass der Client nach dem Neustart nicht auffindbar war.  Als problematisch erwies sich auch der Installer, der u. a. die Eingabeaufforderung öffnet und Dienste installiert. Diese "klinken" sich in den Netzwerkverkehr ein und können zu einigen Kollateralschäden führen. In meinen Testumgebungen hatte ich unter einem 64-Bit-Windows 7 die Situation, dass die Eingabeaufforderung nicht abgeschlossen wurde und zu einer fehlerhaften Installation führte. Bei anderen 32-Bit-Maschinen dauerte die Installation ziemlich lange (also mal ein paar Minuten warten, ob sich nicht doch noch was tut). Unschön: Auf dem 64-Bit-System war die Netzwerkverbindung nach der Installation des VPN-Clients gestört (kein Internetzugang mehr).  In einer virtuellen 32-Bit-Windows 7-Umgebung unter VMware Player trat der gleiche Effekt auf. Testinstallationen unter 32-Bit-Windows 7 Home Premium in VMLite 3.2.6 und nativ auf einem Netbook zeigten diese Störungen nicht mehr. Dafür löste der AVM-Netzwerk-Treiber beim Herunterfahren einen BlueScreen aus.

Wenn es also zu Problemen in Windows 7 kommt, ziehen Sie als Übeltäter den installierten AVM VPN-Client in Betracht. Hier waren die Netzwerkprobleme nach Deinstallation des Clients behoben.

Stopp: Zu beachten ist auch, dass die FRITZ!Box nur eine VPN-Session auf den VPN-Server unterstützt – es kann also immer nur ein Benutzer eine VPN-Verbindung aufbauen.

Den Dynamic DNS-Server aufsetzen

Zum Zugriff auf den VPN-Server der FRITZ!Box muss der Client dessen IP-Adresse kennen. Da die Internetprovider bei DSL-Zugängen in der Regel die IP-Adressen dynamisch zuweisen, benötigen Sie einen dynamisch aktualisierten DNS-Server im Internet, auf dem die aktuelle IP-Adresse des Internetzugangs geführt wird. Dann kann der VPN-Client über eine feste Internetadresse auf den VPN-Server der FRITZ!Box zugreifen. Der dynamische DNS-Server (konkret ist es ein DNS-Host-Dienst, den ich aber nachfolgend als DNS-Server bezeichne) sorgt für die korrekte Namensauflösung und teilt die aktuell benutzte IP des VPN-Servers dem VPN-Client mit.

Solche dynamischen DNS-Server/Host-Dienste zur Namensauflösung lassen sich kostenlos aufsetzen. Legen Sie sich z. B. unter www.dyndns.com ein Benutzerkonto an und richten Sie dann unter My Services/My Hosts einen Host-Eintrag ein.

Anschließend können Sie einen Alias (z. B. meinName.dyndns.org) festlegen, unter dem die Funktion zur Namensauflösung per Internet angesprochen werden kann. Die aktuelle Internetadresse des Routers wird im Konfigurationsformular angezeigt und kann im Textfeld IP-Address eingetragen werden.

Den Update-Client in der FRITZ!Box konfigurieren

Sobald der dynamic DNS-Host aufgesetzt wurde, müssen Sie sicherstellen, dass die der FRITZ!Box zugewiesene IP-Adresse auch dynamisch bei dyndns.com nachgeführt wird. Hierzu benötigen Sie einen DynDNS-Update-Client. Die Funktion ist praktischerweise aber bereits in der Firmware der FRITZ!Box enthalten.

1. Rufen Sie das Web-Konfigurationsinterfache der FRITZ!Box auf und navigieren Sie zum Zweig Erweiterte Einstellungen/Internet/Freigaben.
2. Markieren Sie auf der Registerkarte Dynamic DNS das Kontrollkästchen Dynamic DNS benutzen und tragen die DNS-Daten in das Formular ein.

Im Feld Dynamic DNS-Anbieter ist der Name des bei dynDNS gewählten Hosts einzugeben (ich habe hier dyndns.org gewählt). Das Feld Domainname muss den von Ihnen gewählten Domänennamen aufweisen, unter dem die Namensauflösung erfolgt. Achten Sie darauf, dass die Endung .com, .org etc. zwischen Domainname und Dynamic DNS-Anbieter übereinstimmt. Ich hatte einmal den Fehler, dass als Dynamic DNS-Anbieter dnydns.com eingetragen war, während als Domänenname gborn.dyndns.org vergeben war. Ergo konnte die FRITZ!Box keine Aktualisierung durchführen – und ich habe mir einen Ast abgesucht.

Tipp: Am einfachsten ist es, wenn Sie einen vordefinierten Dynamic DNS-Anbieter auswählen und auf "benutzerdefiniert" verzichten. Der Status des dynamic DNS-Anbieters wird auf der Startseite des FRITZ!Box-Konfigurationsformulars angezeigt. Klicken Sie auf der Übersichtsseite der FRITZ!Box-Konfiguration auf "Internet", lässt sich die Internetverbindung über eine in der Folgeseite gezeigte Schaltfläche zurücksetzen. Dabei wird eine neue IP-Adresse zugeteilt und der Dynamic DNS-Eintrag sollte als aktiviert, mit dem Status "erfolgreich angemeldet" angezeigt werden. Beim Status "unbekannt" stimmen die Anmeldedaten nicht. Unter [11] findet sich ein gutes Tutorial, welches ausführlich die Vorgehensweise zum Testen zeigt.

Namensauflösung von DynDNS testen

Ist DynDNS sowie der Update-Client eingerichtet, können Sie bereits testen, ob die IP-Adresse aktualisiert, der DynDNS-Server erreichbar ist und die Namensauflösung funktioniert.

• Die aktuelle IP-Adresse wird angezeigt, wenn Sie in einem Browser die URL www.wieistmeineip.de oder http://checkip.dyndns.com/ aufrufen.
• Zum Testen der Namensauflösung öffnen Sie auf dem Rechner das Fenster der Eingabeaufforderung und tippen den Befehl ping <alias>dyndns.org ein (wobei <alias> der von Ihnen gewählte Name ist – natürlich muss auch die Angabe dyndns.org der von Ihnen gewählten Hostadresse entsprechen).

Bei erfolgreich eingerichtetem DynDNS-Account und DynDNS-Update-Client, sollte die Namenauflösung funktionieren und die aktuelle IP wiedergeben. Beachten Sie aber, dass es nach dem Starten der FRITZ!Box oder der Neuzuweisung der IP-Adresse dauern kann, bis die Aktualisierung bei DynDNS erfolgt ist.

Wie geht es weiter?

Nach diesen Vorbereitungen muss der VPN-Server der FRITZ!Box mittels geeigneter Konfigurationsdateien aufgesetzt und für den VPN-Zugang vorbereitet werden. Hierzu kommt das Tool FRITZ!Box-Fernzugang einrichten zum Einsatz.

Anschließend muss der VPN-Client auf dem mobilen Rechner eingerichtet und konfiguriert werden. Dies ist mit dem Programm FRITZ!Fernzugang. Diese Schritte werden in Teil 2 und Teil 3 behandelt.

FRITZ!Box-VPN unter Windows 7 (Teil 1)
FRITZ!Box-VPN unter Windows 7 (Teil 2) VPN-Server aufsetzen
FRITZ!Box-VPN unter Windows 7 (Teil 3) VPN-Client aufsetzen

Weiterführende Links:
[1] VPN Service-Portal von AVM
[2] FRITZ!Fernzugang einrichten
[3] FRITZ!Fernzugang (32-Bit-Client Windows 7/Vista/XP)
[4] FRITZ!Fernzugang (64-Bit-Client Windows 7/Vista)
[5] Step-by-step Anleitung zum Einrichten (von AVM)
[6] VPN mit der Fritzbox (Netlab-Anleitung)
[7] VPN-Grundlagen (guter Netlab-Artikel)
[8] VPN-Verbindung mit Shrew Soft VPN Connect zu FRITZ!Box
[9] AVM-Fernzugang FAQ
[10] How-To iPhone zu VPN-Server auf FRITZ!Box
[11] FRITZ!Box und DynDNS (How-To)