fritzbox pfsense site2site ipsec

fritzbox-site2site-vpn.cfg

// erstellt aus https://www.linogate.de/de/support/categories/ipsec/fritzbox.html und
// https://schroederdennis.de/tutorial-howto/site-to-site-vpn-ipsec-pfsense-fritzbox/
// als kommentarzeichen geht //

vpncfg {
  connections {
    enabled = yes;
    conn_type = conntype_lan;
    name = "remote-site-name";
    always_renew = yes;
    // ist in vielen beispielen, unklar, ob notwendig oder schlimm
    // evtl schlimmer mit aggressive mode
    reject_not_encrypted = no;
    dont_filter_netbios = yes;
    localip = 0.0.0.0;
    local_virtualip = 0.0.0.0;
    remoteip = 11.22.33.44; // vpn hub
    remote_virtualip = 0.0.0.0;
    localid {
      fqdn = "dnydns.host.name";
    }
    remoteid {
      ipaddr = 11.22.33.44; // vpn hub
    }
    mode = phase1_mode_aggressive;
    phase1ss = "dh14/aes/sha";
    keytype = connkeytype_pre_shared;
    key = "PSKKEYTEXT";
    cert_do_server_auth = no;
    use_nat_t = no;
    use_xauth = no;
    use_cfgmode = no;
    phase2localid {
      ipnet {
        ipaddr = 192.168.2.0;
        mask = 255.255.255.0;
      }
    }
    phase2remoteid {
      ipnet {
        ipaddr = 192.168.0.0;
        mask = 255.255.255.0;
      }
    }
    // ob der 3des hier sein sollte, ist unklar
    phase2ss = "esp-aes256-3des-sha/ah-no/comp-lzs-no/pfs";
    accesslist = "permit ip 192.168.2.0 255.255.255.0 192.168.0.0 255.255.255.0";
  }
  // gehen auch, wenn man exposed host hat
  ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
                      "udp 0.0.0.0:4500 0.0.0.0:4500";
}
// EOF

Installation via Internet->Freigaben->VPN->VPN Konfig upload.
Nach dem Upload nicht editierbar (neue Version uploaden)