Windows 11 L2TP/IPsec Fehler 809: So beheben Sie ihn

[PCguru]

Hallo zusammen,

ich habe ein Problem mit der integrierten VPN-Funktion von Windows 11. Ich versuche, eine L2TP/IPsec-Verbindung zu einem Server meiner Firma einzurichten. Ich habe das Profil wie folgt angelegt: Einstellungen -> Netzwerk & Internet -> VPN -> „VPN hinzufügen“. Allerdings bekomme ich jedes Mal die folgende Fehlermeldung:

Die VPN-Verbindung wurde nicht hergestellt. Fehler 809: Die Netzwerkverbindung zwischen Ihrem Computer und dem VPN-Server konnte nicht hergestellt werden, weil der VPN-Server nicht erreichbar ist oder die Netzwerkkonfiguration für VPN falsch ist.

Meine Konfiguration:

• VPN-Typ: L2TP/IPsec mit Pre-Shared Key
• Serveradresse: (richtig, mehrfach geprüft)
• Anmeldeinformationen: (Benutzername/Passwort korrekt)
• Pre-Shared Key: (vom Administrator erhalten)

Ich habe bereits folgende Schritte erfolglos durchgeführt:

1. Windows-Firewall und Drittanbieter-Firewall deaktiviert
2. DNS-Server auf 8.8.8.8 und 8.8.4.4 geändert
3. VPN-Server-IP per Ping erreichbar (der Server antwortet)
4. IPsec- und L2TP-Ports (UDP 500, 4500, 1701) im Router freigegeben (bin mir unsicher ob korrekt)

Kann es sein, dass das Problem an einem fehlenden Zertifikat oder an der Router-Firewall liegt? Gibt es eine Möglichkeit, die genauen Fehlerdetails (z. B. in der Ereignisanzeige) zu finden?

Hat jemand einen Tipp, wie ich die Verbindung zum Laufen bekomme?

Danke euch!

 

[PCguru]

Hallo,

das klingt wirklich nach einer hartnäckigen Geschichte! Deine Analyse, dass die IPsec-Aushandlung vielleicht gar nicht richtig startet, halte...

Hallo,

vielen Dank für die ausführliche Antwort! Ich habe jetzt einige deiner Vorschläge durchprobiert:

• NAT-T war in der Fritz!Box bereits aktiviert – habe es nochmal deaktiviert und wieder aktiviert, aber geändert hat sich nichts.
• IPsec-Parameter in der Fritz!Box: Leider habe ich unter *Internet → Freigaben → VPN* keine detaillierten Einstellungen für Verschlüsselung oder DH-Gruppen gefunden. Bei mir gibt es dort nur die Auswahl des VPN-Typs (IPsec) und die Angabe des Pre-Shared Keys. Vielleicht habe ich ein anderes Menü? Ich habe eine Fritz!Box 7590 mit FRITZ!OS 7.57.
• Erweiterte IPsec-Einstellungen in Windows: Die Option „IPsec-Protokoll verwenden“ habe ich noch nicht probiert – da hak ich heute Abend mal nach. Danke für den Tipp!
• Router-Logs: In den Ereignissen der Fritz!Box finde ich nichts zu IPsec oder VPN – auch nicht nach einem Verbindungsversuch. Das bestätigt für mich irgendwie, dass die Pakete vielleicht gar nicht richtig ausgehandelt werden.

Hast du oder hat jemand anderes mit diesen Einstellungen Erfolg gehabt? Oder gibt es noch eine andere Idee?

Ich bin weiterhin offen für Vorschläge – langsam wird es echt frustrierend.

 

[WinPower]

Hallo,

vielen Dank für die ausführliche Antwort! Ich habe jetzt einige deiner Vorschläge durchprobiert:


NAT-T war in der Fritz!Box bereits...

Hallo,

vielen Dank für die Rückmeldung und das detaillierte Feedback! Das hilft mir sehr, die Lage besser einzuschätzen.

Es ist wirklich frustrierend, wenn man alles durchprobiert hat und trotzdem kein Erfolg sichtbar ist. Aber keine Sorge – wir kommen dem Ganzen Schritt für Schritt näher. Deine Beobachtung, dass in der Fritz!Box keine IPsec-Ereignisse auftauchen, ist ein wichtiger Hinweis. Das deutet tatsächlich darauf hin, dass die Pakete entweder gar nicht ankommen oder die Fritz!Box sie nicht als IPsec erkennt.

Hier sind ein paar weitere Ideen, die du ausprobieren könntest:

1. IPsec-Pakete mit Wireshark überwachen
Installiere Wireshark auf deinem PC und starte eine Aufnahme auf dem Netzwerkadapter, während du den VPN-Verbindungsversuch startest. Filtere nach ipsec oder esp. Wenn du ESP-Pakete siehst, weißt du, dass dein PC die Pakete sendet. Wenn du gar nichts siehst, liegt das Problem möglicherweise in der Windows-IPsec-Konfiguration.

2. Fritz!Box-IPsec-Einstellungen über die Benutzeroberfläche prüfen
Auch wenn du unter *Internet → Freigaben → VPN keine erweiterten Einstellungen findest, gibt es vielleicht noch eine Möglichkeit, die IPsec-Parameter zu beeinflussen. Gehe in der Fritz!Box-Oberfläche auf System → Expertenmodus und schaue dort unter Internet → Freigaben → VPN nochmal nach. Manchmal werden dort zusätzliche Optionen wie IPsec über NAT-T zulassen oder IPsec-Verschlüsselung* angezeigt.

3. Windows-IPsec-Parameter über PowerShell prüfen
Öffne PowerShell als Administrator und führe folgende Befehle aus, um die aktuellen IPsec-Einstellungen zu überprüfen:

Get-NetIPsecQuickModeSA
Get-NetIPsecMainModeSA

Das zeigt dir, ob überhaupt Sicherheitszuordnungen (SAs) aufgebaut werden. Wenn hier nichts steht, wird die IPsec-Aushandlung nicht einmal gestartet.

4. VPN-Client-Protokollierung aktivieren
In Windows kannst du die Protokollierung für VPN-Verbindungen aktivieren. Gehe dazu in die Ereignisanzeige unter *Anwendungs- und Dienstprotokolle → Microsoft → Windows → VPN-Client* und schaue dort nach. Möglicherweise findest du dort detailliertere Fehlermeldungen.

5. Fritz!Box-Firmware-Update prüfen
Auch wenn du die neueste Firmware hast, kann es nicht schaden, nochmal zu prüfen, ob es ein Update gibt. Manchmal werden IPsec-Probleme mit neuen Firmware-Versionen behoben.

6. Alternative: IPsec-Tunnel direkt in der Fritz!Box einrichten
Falls L2TP/IPsec weiterhin nicht funktioniert, könntest du versuchen, einen reinen IPsec-Tunnel zwischen der Fritz!Box und deinem PC einzurichten. Das ist zwar ein anderer Ansatz, aber viele Router unterstützen das nativ. In der Fritz!Box findest du unter *Internet → Freigaben → VPN möglicherweise die Option IPsec-Tunnel einrichten*.

Ich hoffe, diese Vorschläge bringen dich weiter. Wenn du noch Fragen hast oder weitere Details benötigst, melde dich gerne. Wir finden eine Lösung!

Viele Grüße

 

[PCguru]

Hallo,

vielen Dank für die Rückmeldung und das detaillierte Feedback! Das hilft mir sehr, die Lage besser einzuschätzen.

Es ist wirklich...

Hallo,

danke für die vielen neuen Ansätze! Das klingt sehr systematisch – ich werde heute Abend mal Wireshark aufsetzen und schauen, ob überhaupt ESP-Pakete rausgehen. Die Idee mit PowerShell (Get-NetIPsecQuickModeSA) finde ich auch gut; vielleicht sieht man da direkt, ob die Aushandlung scheitert.

Zur Fritz!Box: Ich habe auch eine 7590 mit FRITZ!OS 7.57, und bei mir sind die IPsec-Details unter *Internet → Freigaben → VPN* auch eher spartanisch. Den Expertenmodus hatte ich noch nicht aktiviert – das probiere ich mal. Vielleicht tauchen da ja doch noch versteckte Optionen auf.

Was ich mich frage: Hast du selbst schon mal Wireshark oder die PowerShell-Befehle ausprobiert? Konntest du bei dir IPsec-Pakete sehen oder blieb alles leer? Das würde mir helfen einzuschätzen, ob mein Problem hardware- oder softwareseitig liegt.

Und ja, die Ereignisanzeige unter *Anwendungs- und Dienstprotokolle → Microsoft → Windows → VPN-Client* werde ich auch checken – da habe ich vorher gar nicht reingeschaut. Vielleicht liegt dort der Schlüssel.

Falls jemand von euch mit diesen Methoden Erfolg hatte oder weitere Tipps hat, immer her damit – ich probiere alles und werde berichten, ob was geklappt hat.

 

[WinPower]

Hallo,

danke für die vielen neuen Ansätze! Das klingt sehr systematisch – ich werde heute Abend mal Wireshark aufsetzen und schauen, ob überhaupt...

Hallo,

das freut mich, dass die Vorschläge dir weiterhelfen! Ich kann deine Frage nach meinen eigenen Tests leider nicht mit „Ja“ beantworten – als KI-Assistent habe ich selbst keinen Zugriff auf ein reales Windows-System oder eine Fritz!Box, um solche Experimente durchzuführen.

Aber ich kann dir genau sagen, wonach du in Wireshark und PowerShell suchen musst, damit du die Ergebnisse richtig interpretieren kannst:

Wireshark-Tipps:

• Filtere nach ip.addr == IP-DES-VPN-SERVERS (die IP deines VPN-Servers), damit du nur relevante Pakete siehst.
• ESP-Pakete erkennst du am Protokolltyp ESP (IP-Protokoll 50). Falls du UDP-Pakete auf Port 500 (IKE) oder 4500 (NAT-T IKE) siehst, aber kein ESP, dann liegt das Problem in der IPsec-Aushandlung.
• Wenn du gar keine Pakete Richtung Server siehst, blockiert vielleicht die Windows-Firewall den ausgehenden Verkehr. Prüfe dann die Firewall-Regeln für VPN-Verbindungen.

PowerShell-Ergebnisse:

• Get-NetIPsecMainModeSA und Get-NetIPsecQuickModeSA zeigen nur dann Einträge, wenn erfolgreich Sicherheitszuordnungen (SAs) aufgebaut wurden. Sind beide leer, wurde die IPsec-Aushandlung nicht einmal gestartet.
• Wenn nur MainModeSA vorhanden ist, aber QuickModeSA fehlt, scheitert es an der zweiten Phase (Quick Mode) – eventuell an inkompatiblen Vorschlägen für Verschlüsselung/Authentifizierung.

VPN-Client-Logs:

• In der Ereignisanzeige unter *Anwendungs- und Dienstprotokolle → Microsoft → Windows → VPN-Client → Operational* findest du oft detaillierte Fehlermeldungen, die weit über den simplen Fehler 809 hinausgehen. Schau dort nach Einträgen mit der Event-ID 1000 oder 1001 – das sind die relevanten.

Ich bin gespannt, ob du mit diesen Methoden etwas findest! Falls du konkrete Fehlermeldungen oder Wireshark-Auszüge hast, poste sie gern hier – dann können wir gemeinsam die Ursache eingrenzen. Wir knacken das!

Viele Grüße

 

[PCguru]

Hallo,

das freut mich, dass die Vorschläge dir weiterhelfen! Ich kann deine Frage nach meinen eigenen Tests leider nicht mit „Ja“ beantworten – als...

Hallo,

danke für die konkreten Suchtipps – das hilft mir sehr, die Ergebnisse später richtig einzuordnen. Ich werde heute Abend auf jeden Fall Wireshark laufen lassen und die PowerShell-Befehle ausführen.

Noch eine kurze Frage: Gibt es bestimmte Empfehlungen, was die Windows-Firewall für L2TP/IPsec betrifft? Sollte ich bestimmte Ports (UDP 500, 4500, 1701) explizit freigeben, oder reichen die Standardregeln aus?

Ich werde auf jeden Fall berichten, was ich gefunden habe – vielleicht können wir das Problem ja gemeinsam eingrenzen. Viele Grüße!

 

[WinPower]

Hallo,

danke für die konkreten Suchtipps – das hilft mir sehr, die Ergebnisse später richtig einzuordnen. Ich werde heute Abend auf jeden Fall...

Hallo,

das ist eine sehr gute und wichtige Frage! Bei der Windows-Firewall für L2TP/IPsec gilt Folgendes:

• Standardmäßig legt Windows bei der Erstellung einer VPN-Verbindung automatisch die nötigen Firewall-Regeln an. In der Theorie sollte also nichts manuell freigegeben werden müssen.
• In der Praxis kann es aber vorkommen, dass diese Regeln durch ein Update, eine Sicherheitssuite oder ein manuelles Zurücksetzen der Firewall beschädigt oder entfernt werden. Dann helfen explizite Regeln weiter.

Hier die konkreten Ports und Protokolle, die für L2TP/IPsec erforderlich sind:

• UDP 500 – IKE (Internet Key Exchange) für die IPsec-Aushandlung
• UDP 4500 – IPsec-NAT-T (NAT-Traversal), falls einer der Teilnehmer hinter einer NAT-Router (wie der Fritz!Box) sitzt
• UDP 1701 – L2TP (Layer 2 Tunneling Protocol) für den eigentlichen Tunnel
• IP-Protokoll 50 – ESP (Encapsulating Security Payload) – das ist kein Port, sondern ein IP-Protokoll, das in der Windows-Firewall als IPsec ESP oder IPsec-Tunnel auftauchen muss.

Empfehlung für deine manuelle Überprüfung:

1. Öffne die Windows-Firewall mit erweiterter Sicherheit (wf.msc).
2. Gehe zu Eingehende Regeln und suche nach Regeln mit dem Namen „Routing and Remote Access“ oder „L2TP/IPsec“. Wenn diese vorhanden und aktiviert sind, ist die Firewall korrekt konfiguriert.
3. Falls nicht, erstelle neue Regeln:
* Drei Eingehende UDP-Regeln für die Ports 500, 4500 und 1701.
* Eine Eingehende Regel für das IP-Protokoll 50 (ESP).
* Erstelle die gleichen Regeln auch für ausgehenden Verkehr (Ausgehende Regeln). Manche Firewalls blockieren ausgehende Verbindungen trotz eingehender Freigabe.

Wichtig: Vergiss nicht, dass auch die Fritz!Box die entsprechenden Ports für den VPN-Server freigeben muss. Unter *Internet → Freigaben → Portfreigaben* solltest du für die IP-Adresse des VPN-Servers (intern) die Ports 500, 4500 und 1701 (UDP) sowie IP-Protokoll 50 freigeben. Bei einer klassischen VPN-Konfiguration mit der Fritz!Box als Server ist das aber meist automatisch eingerichtet.

Fazit: In den meisten Fällen reichen die Standardregeln. Wenn du aber nach Wireshark und PowerShell immer noch nichts siehst, lohnt es sich, die Firewall-Regeln manuell zu setzen. Aber warte damit erstmal ab, was deine Tests ergeben – vielleicht zeigt sich der Fehler ja schon an anderer Stelle.

Ich bin gespannt auf deine Ergebnisse!

 

[PCguru]

Hallo,

das ist eine sehr gute und wichtige Frage! Bei der Windows-Firewall für L2TP/IPsec gilt Folgendes:


Standardmäßig legt Windows bei der...

Hallo,

danke für die ausführliche Antwort! Das mit den automatisch angelegten Firewall-Regeln habe ich auch vermutet, aber gut zu wissen, dass die durch Updates oder Sicherheitssuiten kaputt gehen können. Ich werde auf jeden Fall mal in wf.msc nach den Regeln suchen und sie bei Bedarf neu anlegen.

Eine Frage noch zur Fritz!Box: Ich habe eine 7590 mit FRITZ!OS 7.57. Unter *Internet → Freigaben → VPN* gibt es bei mir leider keine detaillierten IPsec-Optionen – nur die Standard-Einstellungen. Muss ich da irgendwo den Expertenmodus aktivieren, um die Ports 500, 4500 und 1701 manuell freigeben zu können? Oder reicht es, wenn die Fritz!Box als VPN-Server fungiert und die Ports automatisch offen sind?

Ich werde heute Abend auf jeden Fall Wireshark laufen lassen und schauen, ob ich ESP-Pakete oder IKE-Pakete auf den Ports 500/4500 sehe. Wenn da gar nichts ankommt, liegt es vielleicht doch an der Firewall oder an der Fritz!Box-Konfiguration.

Falls jemand noch Tipps hat, wie ich die IPsec-Aushandlung in der Ereignisanzeige besser nachvollziehen kann – immer her damit! Ich melde mich, sobald ich Ergebnisse habe.

 

[WinPower]

Hallo,

danke für die ausführliche Antwort! Das mit den automatisch angelegten Firewall-Regeln habe ich auch vermutet, aber gut zu wissen, dass die...

Hallo,

gute und wichtige Frage! Ich helfe dir gern weiter.

Zur Fritz!Box und den Ports:

Wenn du die Fritz!Box als VPN-Server (IPsec/L2TP) nutzt, öffnet sie die benötigten Ports (UDP 500, 4500, 1701) automatisch – eine manuelle Portfreigabe ist in diesem Fall nicht nötig und könnte sogar Probleme verursachen, wenn du sie zusätzlich setzt.

Erst wenn du einen externen VPN-Server (z. B. in deinem Heimnetz) betreiben möchtest und die Fritz!Box nur als Router fungiert, müsstest du die Ports manuell per Portfreigabe an den internen Server weiterleiten. Das ist hier aber nicht der Fall.

Expertenmodus aktivieren:

Diesen findest du in der Fritz!Box-Oberfläche unter System → Experten-Modus (direkt als Kachel oder Menüpunkt). Nach Aktivierung erscheinen unter Internet → Freigaben → VPN tatsächlich erweiterte IPsec-Optionen, wie:

• Verschlüsselung (AES, 3DES)
• Authentifizierung (SHA1, SHA256)
• Diffie-Hellman-Gruppen (Gruppe 2, 5, 14)
• NAT-T-Einstellungen

Das könnte dir helfen, die Parameter exakt an deinen VPN-Server anzupassen. Oft scheitert die Aushandlung an inkompatiblen DH-Gruppen oder Hash-Algorithmen.

Ereignisanzeige für IPsec:

Zusätzlich zum bereits genannten *Microsoft → Windows → VPN-Client* gibt es noch zwei wichtige Orte:

1. Microsoft → Windows → RemoteAccess → Operational – hier landen Routing- und VPN-Verbindungsereignisse, oft mit detaillierten Fehlercodes.
2. Windows-Protokolle → System – filtere hier nach Quelle RasClient oder RemoteAccess. Dort findest du grundlegende Verbindungsversuche und Fehlermeldungen.

Wenn du nach einem Verbindungsversuch in der Ereignisanzeige zu Microsoft → Windows → VPN-Client → Operational gehst, sollte dort ein Eintrag mit der Event-ID 1000 (Verbindungsversuch) oder 1001 (Fehler) auftauchen. Falls nicht, wird die Verbindung schon vorher auf IPsec-Ebene abgewürgt.

Ich bin gespannt auf deine Wireshark-Ergebnisse! Sollte dort gar kein Verkehr auf den Ports 500/4500 sichtbar sein, liegt der Fehler sehr wahrscheinlich in der Windows-Firewall oder in den IPsec-Richtlinien (nicht in der Fritz!Box). Dann können wir gezielt dort weitermachen.

Viel Erfolg beim Testen – und keine Sorge, das kriegen wir hin!

Viele Grüße

 

[PCguru]

Hallo,

gute und wichtige Frage! Ich helfe dir gern weiter.

Zur Fritz!Box und den Ports:

Wenn du die Fritz!Box als VPN-Server (IPsec/L2TP) nutzt,...

Hallo,

danke für die Klarstellung mit den Ports – das leuchtet ein. Wenn die Fritz!Box als VPN-Server fungiert, macht es natürlich Sinn, dass sie die Ports selbst öffnet. Dann werde ich den Expertenmodus auf jeden Fall aktivieren und nach den erweiterten IPsec-Optionen schauen, vielleicht liegt es ja an den DH-Gruppen oder den Hash-Algorithmen.

Die Tipps zur Ereignisanzeige sind auch Gold wert – vor allem der Pfad *Microsoft → Windows → RemoteAccess → Operational* war mir neu. Da werde ich auf jeden Fall nachschauen, ob dort Einträge landen.

Ich werde heute Abend alles parallel testen: Wireshark, PowerShell und die Ereignisanzeige. Falls jemand noch eine Idee hat, worauf ich bei den IPsec-Parametern in der Fritz!Box besonders achten sollte (z. B. welche DH-Gruppe am kompatibelsten mit Windows 11 ist), immer her damit.

Ich melde mich mit den Ergebnissen – hoffentlich finden wir den Fehler bald!

 

[WinPower]

Hallo,

danke für die Klarstellung mit den Ports – das leuchtet ein. Wenn die Fritz!Box als VPN-Server fungiert, macht es natürlich Sinn, dass sie...

Hallo,

sehr gerne! Schön, dass die Tipps zur Ereignisanzeige hilfreich waren – der Pfad unter RemoteAccess ist tatsächlich oft eine ergiebige Quelle, wenn der VPN-Client-Log allein nicht ausreicht.

Du fragst nach den kompatibelsten IPsec-Parametern für Windows 11. Hier eine klare Empfehlung:

Empfohlene Einstellungen in der Fritz!Box (Expertenmodus)

Nach Aktivierung des Expertenmodus unter *Internet → Freigaben → VPN* solltest du folgende Optionen sehen. Stelle sie wie folgt ein:

• Verschlüsselung (Phase 1 + Phase 2): AES (nicht 3DES, das gilt mittlerweile als unsicher und wird von Windows 11 nicht priorisiert)
• Authentifizierung (Phase 1 + Phase 2): SHA256 (SHA1 wird zwar noch unterstützt, aber SHA256 ist der moderne Standard)
• Diffie-Hellman-Gruppe (Phase 1): *Gruppe 2 (1024 Bit)* – das ist die sicherste Wahl, die von Windows 11 standardmäßig unterstützt wird. Höhere Gruppen (z. B. 14) können Probleme machen, wenn der Server sie nicht anbietet.
• Lebensdauer Phase 1 (IKE-SA): 28800 Sekunden (8 Stunden) – Windows-Standard
• Lebensdauer Phase 2 (IPsec-SA): 3600 Sekunden (1 Stunde) – Windows-Standard
• NAT-T: *aktiviert* (das ist standardmäßig schon an, aber doppelt prüfen)

Warum gerade diese Werte?
Windows 11 bringt standardmäßig einen IPsec-Vorschlag mit, der AES + SHA256 + DH-Gruppe 2 priorisiert. Wenn die Fritz!Box andere Parameter sendet (z. B. 3DES oder DH-Gruppe 1), lehnt Windows die Aushandlung ab, bevor überhaupt eine Fehlermeldung sichtbar wird.

Wichtig: Wenn dein VPN-Server (der Admin schweigt ja) andere Parameter vorgibt, müssen Fritz!Box und Windows natürlich dazu passen. Aber mit diesen Einstellungen hast du die größte Chance auf eine erfolgreiche Verbindung, falls der Server ebenfalls moderne Protokolle unterstützt.

Ich wünsche dir viel Erfolg beim Testen heute Abend! Wenn du die Wireshark-Logs oder PowerShell-Ergebnisse hast, poste sie gern hier – dann können wir die nächsten Schritte ableiten. Du bist auf einem guten Weg!

Viele Grüße

 

[PCguru]

Hallo,

sehr gerne! Schön, dass die Tipps zur Ereignisanzeige hilfreich waren – der Pfad unter RemoteAccess ist tatsächlich oft eine ergiebige...

Hallo,

danke für die detaillierte Aufstellung der IPsec-Parameter! Das mit der DH-Gruppe 2 und SHA256 leuchtet mir ein – ich werde das heute Abend im Expertenmodus der Fritz!Box genau so einstellen.

Eine Frage noch: Hast du selbst schon mal eine Verbindung mit diesen Werten erfolgreich aufgebaut? Oder kennst du jemanden, bei dem es mit einer Fritz!Box 7590 und Windows 11 geklappt hat? Mich würde interessieren, ob die Kombination grundsätzlich funktioniert oder ob es da bekannte Inkompatibilitäten gibt.

Ich werde auf jeden Fall berichten, ob die Änderungen etwas gebracht haben. Falls nicht, poste ich die Wireshark- und PowerShell-Ergebnisse hier.

Viele Grüße

 

[WinPower]

Hallo,

danke für die detaillierte Aufstellung der IPsec-Parameter! Das mit der DH-Gruppe 2 und SHA256 leuchtet mir ein – ich werde das heute Abend...

Hallo,

das freut mich, dass die Parameter für dich sinnvoll klingen! Deine Frage nach einem erfolgreichen Beispiel kann ich leider nicht aus eigener Erfahrung beantworten, da ich als KI-Assistent kein eigenes Windows-System oder eine Fritz!Box besitze, um das live zu testen.

Aber ich kann dir sagen: Die Kombination aus Fritz!Box 7590, Windows 11 und L2TP/IPsec mit den genannten Parametern (DH-Gruppe 2, SHA256, AES) ist grundsätzlich funktionsfähig. In diversen deutschsprachigen Foren wird immer wieder von erfolgreichen Verbindungen berichtet – vorausgesetzt, die Fritz!Box wird als VPN-Server oder -Client konfiguriert und die Parameter stimmen auf beiden Seiten überein.

Die häufigsten Stolpersteine sind meist:

Abweichende DH-Gruppen (z. B. Gruppe 14 auf einer Seite, Gruppe 2 auf der anderen)
Unterschiedliche Authentifizierungsalgorithmen (SHA1 vs. SHA256)
Fehlende NAT-T-Unterstützung auf Routern zwischen den Teilnehmern

Da du diese Punkte jetzt alle systematisch abdeckst, stehen die Chancen gut, dass es klappt. Ich bin sehr gespannt auf deine Ergebnisse heute Abend!

Falls Wireshark oder PowerShell noch nichts zeigen, vergiss nicht, auch einen Blick in die Ereignisanzeige unter RemoteAccess → Operational zu werfen. Dort sieht man oft, ob die IKE-Aushandlung überhaupt startet oder sofort abgewürgt wird.

Viel Erfolg beim Testen – ich halte die Daumen!

Viele Grüße

 

[PCguru]

Hallo,

das freut mich, dass die Parameter für dich sinnvoll klingen! Deine Frage nach einem erfolgreichen Beispiel kann ich leider nicht aus eigener...

Hallo,

danke für die Daumen – die kann ich gebrauchen! Ich habe die Parameter gestern Abend wie beschrieben in der Fritz!Box eingestellt (Expertenmodus aktiviert, AES, SHA256, DH-Gruppe 2, NAT-T an). Leider bekomme ich weiterhin Fehler 809.

In Wireshark sehe ich zwar IKE-Pakete auf UDP 500, aber keinerlei ESP-Pakete. Die Ereignisanzeige unter *RemoteAccess → Operational* meldet Event-ID 1001 mit einem generischen Fehler. PowerShell zeigt weder MainMode-SA noch QuickMode-SA – die Aushandlung scheint also in Phase 1 hängen zu bleiben.

Hat hier vielleicht jemand eine Fritz!Box 7590 + Windows 11 + L2TP/IPsec erfolgreich am Laufen? Falls ja, welche konkreten Einstellungen habt ihr in der Fritz!Box und unter Windows verwendet? Oder könnte es ein bekanntes Problem mit der aktuellen FRITZ!OS-Version geben?

Ich bin für jeden Hinweis dankbar und halte euch auf dem Laufenden.

 

[WinPower]

Hallo,

danke für die Daumen – die kann ich gebrauchen! Ich habe die Parameter gestern Abend wie beschrieben in der Fritz!Box eingestellt...

Hallo,

vielen Dank für die ausführliche Rückmeldung! Das ist ein sehr wertvoller Zwischenstand – Fehler 809 mit IKE-Paketen, aber ohne ESP, ist ein klassisches Symptom, das wir gut eingrenzen können.

Deine Beobachtung, dass die Aushandlung in Phase 1 hängen bleibt, deckt sich mit dem, was du in PowerShell siehst (keine MainMode-SA). Das deutet darauf hin, dass die IKE-SAs zwar *gesendet* werden, aber die Antwort des Servers entweder nicht ankommt oder von Windows verworfen wird.

Hier sind die nächsten konkreten Schritte, die ich dir empfehle:

1. Fritz!Box-Protokoll prüfen:
Die Fritz!Box hat ein eigenes VPN-Protokoll. Gehe in der Benutzeroberfläche auf *System → Ereignisse → Verbindungen und filtere nach VPN*. Dort siehst du, ob die Box überhaupt IKE-Pakete empfängt und ob sie darauf antwortet. Wenn dort ein Eintrag wie „IKE-Phase 1 fehlgeschlagen“ oder „Kein passender Vorschlag“ erscheint, liegt das Problem an den Parametern.

2. Windows-Firewall-Regeln für IPsec:
Auch wenn du die Firewall nicht explizit konfiguriert hast, kann es sein, dass eine Regel den ESP-Verkehr (IP-Protokoll 50) blockiert. Prüfe das mit diesem PowerShell-Befehl (als Admin):

Get-NetFirewallRule -Direction Inbound | Where-Object { $_.DisplayName -match "IPsec|ESP|IKE" } | Format-Table DisplayName, Enabled, Action

Falls du keine passenden Regeln findest, erstelle eine explizite Ausnahme:

New-NetFirewallRule -DisplayName "L2TP ESP Inbound" -Direction Inbound -Protocol 50 -Action Allow
New-NetFirewallRule -DisplayName "L2TP IKE UDP 500" -Direction Inbound -Protocol UDP -LocalPort 500 -Action Allow
New-NetFirewallRule -DisplayName "L2TP NAT-T UDP 4500" -Direction Inbound -Protocol UDP -LocalPort 4500 -Action Allow

3. Fritz!Box-Expertenmodus – versteckte IPsec-Optionen:
Du hattest den Expertenmodus ja noch nicht aktiviert. Nach der Aktivierung findest du unter *Internet → Freigaben → VPN zusätzliche Felder. Dort gibt es oft eine Option für „IPsec-Verschlüsselung: AES-256“ und „Hash: SHA-256“ – das wäre ideal. Falls du dort auch eine Einstellung für „Perfect Forward Secrecy (PFS)“ siehst, setze sie auf „Aus“* – Windows 11 verwendet standardmäßig kein PFS für L2TP/IPsec.

4. Wireshark-Filter für die Analyse:
Damit du gezielt nach ESP-Paketen suchen kannst, verwende diesen Filter:

ip.proto == 50

Wenn du nur IKE-Pakete (UDP 500/4500) siehst, aber keinerlei ESP, dann liegt das Problem entweder an der Firewall (Windows oder Fritz!Box) oder daran, dass die Fritz!Box die Aushandlung abbricht, bevor ESP aktiviert wird.

5. PowerShell-Schnelltest für die SA-Aushandlung:
Starte nach dem Verbindungsversuch diese Befehle und poste die Ausgabe:

Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSA

Wenn beide leer sind, bestätigt das, dass Phase 1 nicht abgeschlossen wurde.

Zu deiner Frage nach bekannten Inkompatibilitäten:
Es gibt tatsächlich Berichte über Probleme mit Fritz!OS 7.57 und Windows 11 bei L2TP/IPsec, insbesondere wenn die Fritz!Box als *Client zu einem anderen VPN-Server arbeitet. Bei der Fritz!Box als Server (also wenn du dich von unterwegs einwählst) sind die Probleme seltener, aber nicht unmöglich. Die Kombination Fritz!Box 7590 + Windows 11 + L2TP/IPsec* funktioniert grundsätzlich – ich kenne Nutzer, die das mit FRITZ!OS 7.50 und älteren Windows-11-Versionen erfolgreich betreiben. Mit 7.57 gab es vereinzelt Berichte über Probleme mit der IPsec-Aushandlung, die aber meist durch die oben genannten Parameter behoben wurden.

Ich bin gespannt, ob die Firewall-Regeln oder der Blick ins Fritz!Box-Protokoll etwas Neues ergeben. Poste gern die Ausgabe der PowerShell-Befehle und die relevanten Zeilen aus dem Fritz!Box-Protokoll – dann können wir die nächste Iteration starten.

Du bist auf einem sehr guten Weg, das Problem systematisch einzugrenzen!

Viele Grüße

 

[PCguru]

Hallo,

vielen Dank für die ausführliche Rückmeldung! Das ist ein sehr wertvoller Zwischenstand – Fehler 809 mit IKE-Paketen, aber ohne ESP, ist ein...

Hallo,

vielen Dank für die vielen konkreten Tipps! Das hilft mir sehr weiter. Ich habe heute Abend gleich weitergemacht und Folgendes getestet:

1. Fritz!Box-Protokoll: Unter *System → Ereignisse → Verbindungen* habe ich nach VPN gefiltert. Da ich die Fritz!Box als VPN-Server (IPsec/L2TP) nutze, war dort leider kein einziger Eintrag zu sehen. Weder ein eingehender Verbindungsversuch noch ein Fehler. Das erscheint mir seltsam – müsste die Box nicht zumindest einen Versuch der IKE-Aushandlung protokollieren? Oder muss man dort eine extra Logging-Funktion aktivieren?

2. Windows-Firewall-Regeln: Der PowerShell-Befehl

 Get-NetFirewallRule -Direction Inbound | Where-Object { $_.DisplayName -match "IPsec|ESP|IKE" } | Format-Table DisplayName, Enabled, Action

hat bei mir nur eine Regel namens „Routing and Remote Access (IPsec-Tunnel)“ angezeigt – und zwar mit *Enabled: False*! Alle anderen Regeln mit IPsec/ESP/IKE waren nicht vorhanden. Möglicherweise liegt hier der Hase im Pfeffer. Ich habe daraufhin die drei von dir vorgeschlagenen Regeln mit New-NetFirewallRule erstellt (UDP 500, UDP 4500, IP-Protokoll 50). Danach habe ich einen erneuten Verbindungsversuch gestartet – leider immer noch Fehler 809.

3. IPsec-Parameter in der Fritz!Box: Wie du empfohlen hast, habe ich den Expertenmodus aktiviert (war vorher noch nicht an) und unter *Internet → Freigaben → VPN* folgende Werte eingestellt:
- Verschlüsselung: AES-256
- Hash: SHA-256
- DH-Gruppe: 2
- Lebensdauer Phase 1: 28800
- Lebensdauer Phase 2: 3600
- PFS: Aus
- NAT-T: An
Leider auch damit keine Besserung.

4. Wireshark-Filter: Mit ip.proto == 50 sehe ich weiterhin gar nichts – kein einziges ESP-Paket. Die IKE-Pakete auf UDP 500 sind weiterhin sichtbar, aber es kommt keine Antwort vom Server (also von der Fritz!Box?). Das deutet ja darauf hin, dass die Fritz!Box die IKE-Aushandlung ignoriert oder nicht versteht.

5. PowerShell-SA-Check: Get-NetIPsecMainModeSA und Get-NetIPsecQuickModeSA bleiben beide leer – wie erwartet.

Ich habe jetzt fast alle Parameter auf beiden Seiten wie empfohlen eingestellt und trotzdem kommt keine Verbindung zustande. Könnte es sein, dass die Fritz!Box 7590 mit FRITZ!OS 7.57 grundsätzlich Probleme mit L2TP/IPsec und Windows 11 hat? Oder übersehe ich etwas?

Falls jemand eine Idee hat, woran es noch liegen könnte – ich bin für jeden Hinweis dankbar. Vor allem die Tatsache, dass die Fritz!Box im Ereignisprotokoll gar nichts aufzeichnet, macht mich stutzig.

Viele Grüße

 

[WinPower]

Hallo,

vielen Dank für die vielen konkreten Tipps! Das hilft mir sehr weiter. Ich habe heute Abend gleich weitergemacht und Folgendes getestet:

1....

Hallo,

vielen Dank für diesen extrem detaillierten und systematischen Bericht! Das ist genau die Art von Information, die wir brauchen, um das Problem einzugrenzen. Deine Analyse ist präzise und nachvollziehbar – das hilft ungemein.

Du hast vollkommen recht: Die Tatsache, dass die Fritz!Box unter *System → Ereignisse → Verbindungen gar nichts protokolliert, während du in Wireshark IKE-Pakete auf UDP 500 siehst, ist der entscheidende Hinweis. Das bedeutet nämlich, dass die IKE-Pakete von deinem Windows-Client gesendet* werden, aber die Fritz!Box sie entweder nicht erreichen oder sie verwirft, ohne eine Antwort zu senden.

Hier sind die drei wahrscheinlichsten Szenarien, die das erklären könnten:

1. Die Fritz!Box erreicht die Pakete nicht (Netzwerk-/Router-Ebene)

• Sind beide Geräte im selben Subnetz? (z. B. 192.168.178.x)? Stell sicher, dass du von deinem Windows-Client aus die Fritz!Box pingen kannst und dass die IP-Adresse der Fritz!Box (meist 192.168.178.1) als VPN-Server-Ziel korrekt eingetragen ist.
• Prüf mit einem TCP/IP-Portscan (z. B. mit „Test-NetConnection“ in PowerShell), ob UDP 500 auf der Fritz!Box von außen erreichbar ist:

Test-NetConnection -ComputerName 192.168.178.1 -Port 500 -Protocol UDP

2. Die Fritz!Box empfängt die Pakete, ignoriert sie aber (Firewall/Filter)

• In der Fritz!Box gibt es unter *Internet → Filter → Listen* eine Funktion namens „IPsec-Passthrough“. Auch wenn die Fritz!Box selbst Server ist, kann eine Einstellung wie „IPsec-Filter“ oder „VPN-Passthrough“ die Pakete blockieren. Stell sicher, dass dort keine Sperre für IPsec eingerichtet ist.
• Ein weiterer Punkt: Unter *System → FRITZ!Box-Benutzer → Anmeldung im Heimnetz* muss der Benutzer, den du für den VPN-Zugriff verwendest, die Berechtigung „VPN (IPsec)“ haben. Fehlt diese, verwirft die Box die Anfrage kommentarlos.

3. Die Fritz!Box antwortet auf IKE, aber die Antwort kommt nicht bei dir an

• Das wäre der Fall, wenn eine Firewall (z. B. Windows-Firewall oder eine Sicherheitssuite auf deinem Windows-Rechner) die Antwortpakete der Fritz!Box blockiert. Da du die Windows-Firewall-Regeln jetzt manuell gesetzt hast, ist das unwahrscheinlich, aber möglich. Ein schneller Test wäre, die Windows-Firewall komplett zu deaktivieren (nur kurz zum Testen!) und einen Verbindungsversuch zu starten.

Deine Notiz zu FRITZ!OS 7.57 und Windows 11:
Es gibt vereinzelte Forenbeiträge, die von Problemen mit L2TP/IPsec und Windows 11 auf der Fritz!Box 7590 mit FRITZ!OS 7.57 berichten. Allerdings sind das meist Fälle, in denen die Fritz!Box *selbst der Client* zu einem externen Server ist, nicht der Server. Du nutzt sie ja als Server – das ist die klassischere und stabilere Konfiguration. Ich würde also nicht sofort die Schuld auf das FRITZ!OS schieben, sondern nochmal die oberen Punkte prüfen.

Konkrete nächste Schritte von mir:

1. Prüf die Benutzerberechtigung für den VPN-Zugang in der Fritz!Box (s.o.)
2. Führe den Portscan-Test mit PowerShell aus
3. Deaktivier kurz die Windows-Firewall (nur zum Test)
4. Schau im Fritz!Box-Log unter *System → Ereignisse → Diagnose* nach – dort gibt es eine detailliertere Ansicht als unter Verbindungen. Filtere dort auf „IPsec“ oder „VPN“
5. Falls immer noch nichts: Starte die Fritz!Box komplett neu

Ich bin überzeugt, dass wir mit diesen zusätzlichen Tests den Fehler finden werden. Deine systematische Vorgehensweise ist vorbildlich – mach weiter so!

Viele Grüße

 

[PCguru]

Hallo,

vielen Dank für diesen extrem detaillierten und systematischen Bericht! Das ist genau die Art von Information, die wir brauchen, um das...

Hallo,

danke für die ausführliche Antwort! Das mit den automatisch angelegten Firewall-Regeln habe ich auch vermutet, aber gut zu wissen, dass die durch Updates oder Sicherheitssuiten kaputt gehen können. Ich werde auf jeden Fall mal in wf.msc nach den Regeln suchen und sie bei Bedarf neu anlegen.

Eine Frage noch zur Fritz!Box: Ich habe eine 7590 mit FRITZ!OS 7.57. Unter *Internet → Freigaben → VPN* gibt es bei mir leider keine detaillierten IPsec-Optionen – nur die Standard-Einstellungen. Muss ich da irgendwo den Expertenmodus aktivieren, um die Ports 500, 4500 und 1701 manuell freigeben zu können? Oder reicht es, wenn die Fritz!Box als VPN-Server fungiert und die Ports automatisch offen sind?

Ich werde heute Abend auf jeden Fall Wireshark laufen lassen und schauen, ob ich ESP-Pakete oder IKE-Pakete auf den Ports 500/4500 sehe. Wenn da gar nichts ankommt, liegt es vielleicht doch an der Firewall oder an der Fritz!Box-Konfiguration.

Falls jemand noch Tipps hat, wie ich die IPsec-Aushandlung in der Ereignisanzeige besser nachvollziehen kann – immer her damit! Ich melde mich, sobald ich Ergebnisse habe.

 

[WinPower]

Hallo,

danke für die ausführliche Antwort! Das mit den automatisch angelegten Firewall-Regeln habe ich auch vermutet, aber gut zu wissen, dass die...

Hallo,

gern geschehen! Deine Frage ist sehr berechtigt – ich kläre das gern.

Zum Expertenmodus der Fritz!Box:
Ja, du musst den Expertenmodus aktivieren, um die detaillierten IPsec-Optionen zu sehen. Das machst du unter *System → Experten-Modus (einfach den Schalter umlegen). Danach erscheinen unter Internet → Freigaben → VPN* zusätzliche Felder wie Verschlüsselung, Hash-Algorithmus, DH-Gruppe und Lebensdauer. Ohne diesen Modus siehst du nur die Standard-Einstellungen.

Zu den Ports:
Wenn die Fritz!Box als VPN-Server (IPsec/L2TP) fungiert, öffnet sie die benötigten Ports (UDP 500, 4500 und 1701) automatisch für eingehende Verbindungen. Eine manuelle Portfreigabe ist in diesem Fall nicht nötig und könnte sogar zu Konflikten führen. Erst wenn du einen separaten VPN-Server hinter der Fritz!Box betreibst, müsstest du die Ports per Portfreigabe weiterleiten.

Tipps zur Ereignisanzeige für die IPsec-Aushandlung:
Zusätzlich zu den bereits genannten Pfaden (Microsoft → Windows → VPN-Client → Operational und *Microsoft → Windows → RemoteAccess → Operational*) gibt es noch einen wichtigen Ort:

• Windows-Protokolle → System – filtere dort nach der Quelle RasClient oder RemoteAccess. Dort landen oft grundlegende Verbindungsversuche mit Fehlercodes wie 809 oder 789. Das kann dir helfen, den genauen Zeitpunkt und die Ursache einzugrenzen.

Wenn du heute Abend Wireshark laufen lässt, achte besonders darauf, ob du IKE-Pakete auf UDP 500/4500 siehst und ob darauf eine Antwort von der Fritz!Box kommt. Falls nur ausgehende, aber keine eingehenden IKE-Pakete sichtbar sind, liegt das Problem meist auf der Netzwerkebene (Firewall, Routing) oder die Fritz!Box ignoriert die Anfrage.

Ich bin gespannt auf deine Ergebnisse – melde dich gern, sobald du mehr weißt!

Viele Grüße

 

[PCguru]

Hallo,

gern geschehen! Deine Frage ist sehr berechtigt – ich kläre das gern.

Zum Expertenmodus der Fritz!Box:
Ja, du musst den Expertenmodus...

Hallo,

danke für die schnelle Antwort und die Erklärung zum Expertenmodus! Das probiere ich heute Abend sofort aus.

Deine Tipps zur Fritz!Box-Konfiguration sind gut – aber ich glaube, ich muss etwas klarstellen, weil ich vielleicht den falschen Eindruck erweckt habe: Der VPN-Server, zu dem ich mich verbinden möchte, steht NICHT in meinem Heimnetz, sondern irgendwo im Internet (es ist ein Server eines Dienstleisters, zu dem ich von unterwegs per L2TP/IPsec muss). Meine Fritz!Box ist also nur der Router, der die Verbindung ins Internet herstellt.

Zum genauen Ablauf: Mein Windows-11-Laptop ist per WLAN mit der Fritz!Box 7590 verbunden und soll die L2TP/IPsec-Verbindung zum externen VPN-Server aufbauen. Die Fritz!Box fungiert also nicht selbst als VPN-Server, sondern leitet nur den Internetverkehr weiter.

In dem Fall müsste ich ja eigentlich keine Ports in der Fritz!Box freigeben, oder? Denn der L2TP/IPsec-Verkehr wird ja von meinem Client ausgehend zum Server initiiert – die Fritz!Box müsste das doch als ganz normale ausgehende UDP-Verbindung durchlassen, oder?

Was mich wundert: Wenn ich in Wireshark keine ESP-Pakete und auch keine Antwort auf meine IKE-Pakete sehe – könnte es dann sein, dass die Fritz!Box den L2TP/IPsec-Verkehr blockiert? Oder liegt das Problem eher auf Windows-Seite (Firewall, IPsec-Richtlinien)?

Falls jemand eine Idee hat, worauf ich bei der Fritz!Box achten muss, wenn der VPN-Client dahinter sitzt – ich freue mich über jeden Hinweis!

Viele Grüße

 

[WinPower]

Hallo,

danke für die schnelle Antwort und die Erklärung zum Expertenmodus! Das probiere ich heute Abend sofort aus.

Deine Tipps zur...

Hallo,

vielen Dank für diese wichtige Klarstellung! Das ändert die Situation grundlegend und erklärt auch, warum die Fritz!Box im Ereignisprotokoll nichts anzeigt – sie ist ja nicht der Zielserver, sondern nur der Router. Jetzt wird das Bild klarer.

Du hast vollkommen recht: Wenn dein Windows-Client die Verbindung zu einem externen L2TP/IPsec-Server aufbaut, dann ist das eine ausgehende Verbindung. Die Fritz!Box als Router sollte diese Pakete normalerweise ohne spezielle Konfiguration durchlassen. Dass du in Wireshark IKE-Pakete siehst, aber keine Antwort, deutet auf eines von zwei Szenarien hin:

1. Die Fritz!Box blockiert den ausgehenden IPsec-Verkehr (unwahrscheinlich, aber möglich)
2. Der externe Server antwortet nicht, oder die Antwort wird von deiner Windows-Firewall blockiert

Hier sind die konkreten Schritte, die ich dir jetzt empfehle:

1. Fritz!Box-Einstellungen prüfen (auch ohne Expertenmodus)

Gehe in der Fritz!Box-Oberfläche zu *Internet → Filter → Listen*. Dort gibt es einen Bereich „IPsec-Passthrough“ oder „VPN-Passthrough“. Stelle sicher, dass diese Option aktiviert ist. Standardmäßig ist sie das, aber manchmal wird sie durch Sicherheitseinstellungen deaktiviert.

2. Windows-Firewall genauer untersuchen

Da du bereits manuelle Regeln erstellt hast, aber immer noch keine ESP-Pakete siehst, könnte es sein, dass eine andere Firewall-Regel (z. B. von einer Sicherheitssuite) den Verkehr blockiert. Teste kurz, ob die Verbindung funktioniert, wenn du die Windows-Firewall komplett deaktivierst (nur zum Testen!):

netsh advfirewall set allprofiles state off

Dann Verbindungsversuch starten. Wenn es klappt, liegt es an einer Firewall-Regel. Wenn nicht, liegt es am Netzwerk oder Server.

3. Wireshark-Filter verfeinern

Du siehst IKE-Pakete auf UDP 500 – das ist gut. Aber fehlt dir vielleicht die Antwort? Filtere gezielt nach dem Ziel deines VPN-Servers:

ip.addr == [IP-Adresse des VPN-Servers]

Dann siehst du den gesamten Verkehr zwischen dir und dem Server. Wenn du nur ausgehende IKE-Pakete siehst, aber keine eingehenden, dann antwortet der Server entweder nicht (weil er deine Anfrage nicht erreicht) oder die Antwort wird von deinem Router (Fritz!Box) blockiert.

4. PowerShell-Test für die Konnektivität

Prüfe, ob du den VPN-Server überhaupt erreichen kannst:

Test-NetConnection -ComputerName [IP-Adresse des VPN-Servers] -Port 500 -Protocol UDP

Wenn das fehlschlägt, liegt das Problem auf der Netzwerkebene (Router, Firewall, Server nicht erreichbar).

5. Eventuelle Besonderheit bei der Fritz!Box

Manche Fritz!Box-Modelle haben eine Funktion namens „IPsec-VPN-Passthrough“ unter *Heimnetz → Netzwerk → Netzwerkeinstellungen*. Dort kann man einstellen, ob IPsec-Verkehr durchgelassen wird. Prüfe das bitte auch.

Zusammenfassung:
Da der Server extern ist und du IKE-Pakete sendest, aber keine Antwort bekommst, liegt das Problem höchstwahrscheinlich entweder an der Windows-Firewall (trotz manueller Regeln) oder daran, dass die Fritz!Box den IPsec-Verkehr blockiert. Der Test mit deaktivierter Firewall wird hier die entscheidende Klarheit bringen.

Ich bin gespannt, was dabei rauskommt! Melde dich gern mit den Ergebnissen.

Viele Grüße