BlackPixel

Guten morgen Board, ich... wieder mal :) Folgende Situation: Es sollen mehrere AD-Mitarbeiter per RPC over HTTP angebunden werden. Die hoffnung ist das es überall funktioniert, besonders im QAUsland wo zum grossen teil noch analog gesurft wird und nicht überall vpn möglich ist. Ich hatte mich letzte woche 4 Tage da reingearbeitet, danke hier nochmals an msisafaq :) Folgendes Szenario: Router - HW-Firewall - ISA integriert - PDC- Exchange ist alles 2003 version. ISA ist 2000. OWA wurde über HTTPS veröffentlicht. ISA und Exchange kommunizieren intern nicht über SSL. Laut msisafaq wird für /rpc/ ein Serverzertifikat ISA/Exchange benötigt und einen SSL Tunnel. Mal abgesehen davon das das noch nicht geht, ist es von erforderlicher bedeutung intern zu Zertifzieren und SSL zu tunneln? Reicht die AUTH des Clients von aussen am ISA nicht aus? Wenn ja, dann sollte doch eine Webserververöffentlichung auf /rpc/* ohne SSL/128 Bit und zertifikat ausreichen. -- Nachtrag -- Auf dem Exchange läuft eine eigene Zertfizierungsstelle. Es ist ein Stammzertifizierungszertifikat und ein Webserverzertifikat erstellt. Im RPC Verzeichnis wurde das Zertifikat erstellt. Auf dem Isa liegt das Stammzertifizierungsstellenzertifikat in Vertrauenswürdige herausgeber, ebenso das exportierte Webserverzertifikat. Im ISA Kann ich in der Webveröffentlichung auch ein Zertifikat hinterlegen für den zugriff auf /rpc/* Allerdings bekomme ich beim klick auf Auswählen ständig: Es sind keine Zertifikate auf diesem Server konfigueriert. Woran liegt das? Zertifikat wurde im Konsolenstamm importiert. -- Nachtrag -- Wenn mir hier jemand nährere Hintergrundinfos zur hand hat und zeit findet die mir näher zu erläutern wäre ich dankbar. Evt auch in der Mittagspause per Telefon :D Grüße Manfred

IPv4-Routentabelle =========================================================================== Schnittstellenliste 0x1 ........................... MS TCP Loopback interface 0x10003 ...00 04 75 ae 73 59 ...... 3Com EtherLink XL 10/100 PCI für vollständige PC-Verwaltung-NIC (3C905C-TX) 0x10004 ...00 11 2f d3 f6 6e ...... Intel(R) PRO/1000 CT Network Connection =========================================================================== =========================================================================== Aktive Routen: Netzwerkziel Netzwerkmaske Gateway Schnittstelle Metrik 0.0.0.0 0.0.0.0 192.168.0.1 192.168.0.10 20 127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1 192.0.0.0 255.255.255.0 192.0.0.251 192.0.0.251 1 192.0.0.0 255.255.255.0 192.168.0.10 192.168.0.10 1 192.0.0.251 255.255.255.255 127.0.0.1 127.0.0.1 20 192.0.0.255 255.255.255.255 192.0.0.251 192.0.0.251 20 192.168.0.0 255.255.255.0 192.0.0.251 192.0.0.251 1 192.168.0.0 255.255.255.0 192.168.0.10 192.168.0.10 1 192.168.0.10 255.255.255.255 127.0.0.1 127.0.0.1 20 192.168.0.255 255.255.255.255 192.168.0.10 192.168.0.10 20 224.0.0.0 240.0.0.0 192.0.0.251 192.0.0.251 20 224.0.0.0 240.0.0.0 192.168.0.10 192.168.0.10 20 255.255.255.255 255.255.255.255 192.0.0.251 192.0.0.251 1 255.255.255.255 255.255.255.255 192.168.0.10 192.168.0.10 1 Standardgateway: 192.168.0.1 =========================================================================== St„ndige Routen: Netzwerkadresse Netzmaske Gatewayadresse Metrik 192.0.0.0 255.255.255.0 192.168.0.10 1 192.0.0.0 255.255.255.0 192.0.0.251 1 192.168.0.0 255.255.255.0 192.0.0.251 1 192.168.0.0 255.255.255.0 192.168.0.10 1

Wo ist meine txt Tabelle hin? Also hier nochmal:

So, hier die Routingtabelle: 192.0.0.251 ist Intern 192.168.0.10 ist extern 192.168.0.1 ist Vigor Gruß Manfred

ISA fungiert als Proxy, da durch Hardwarefirewall genug abgedeckt ist. Die Tabelle muss ich mir zukommen lassen, bin derzeit nicht beim Kunden vor Ort. Grüße Manfred

Helfen nicht wirklich, aber für sowas gibts eigentlich Aktive B1 Controller. Grüße Manfred

Hallo Leute, bei einem Kunden beschäftigt mich folgendes Problem: Die Struktur: Internet ---- Vigor 2600 ----- Hardwarefirewall ----- Server1 LAN ext. ----- Server1 LAN int. ---- Server 2 PDC Server eins hat eine externe NW, eine Interne NW, einen ISA 2000 als Proxy, einen Exchange Standard, DNS vom PDC repliziert Server zwo hat eine NW, liegt im internen Netz von Server 1, ist ein 2k3 std DC mit AD und DNS. Wir wählen uns per VPN auf dem ROUTER ein, befinden uns somit im externen Netz. auf dem Router ist eine statische Route hinterlegt. Zielnetz ist das interne, Gateway ist die externe IP von server1. Folgende Situation auf dem VPN-Client. Router und externe IP des Servers 1 lassen sich pingen. interne IP des Servers 1 lässt sich pingen. nslookup auf externe IP des servers1 geht. Ich komm nur nicht ins interne Netz hinein. Ich häng sozusagen am stecker der internen NW des Servers1 fest. PDC lässt sich weder pingen, noch Laufwerke mappen. Im Internen Netz funktioniert DNS, getestet mit nslookup, dcdiag ist ebenfalls auf den servern erfolgreich bis auf den punkt systemlog. Wins wird nicht eingesetzt. Ich dachte eigentlich, per route add sollte alles gehen. RAS ist aktiviert, auch eine statische Rute im RAS brachte mich nicht weiter. Nach 2 Stunden hab ich erst mal abgebrochen. Habe ich etwas vergessen? Danke für Hilfe! Grüße Manfred

Nein, das Geht :) Die AUTH findet ja direkt am Router statt. Aber nichts desto trotz bin ich weiter. Habe die Fritz so kanfiguriert was WLAN auf einem anderen Netz Liegt. Das geht nun mit VPN. Outlook auch. Fazit: 2 Uterschiedliche Netze = alles in Butter. Nun möchte ich eine Statische Route vom WLAN 192.168.182 ind 10.77.3 Netz bringen um Drucker anzusprechen. Ansonsten müsste im Homeoffice der Server, 4 Clients inklusive Printserver und Router abgeändert werden. Dazu habe ich nun eine statische Route Ziel: 10.77.3.0 Gateway 192.168.182.1 gesetzt, aber ich erreiche den Lokalen Server hier nicht. Geht das überhaupt? Grüße Manfred

Ich denke nicht das es dann funktioniert, ausser das das Portforwarding nicht mehr geht

Guten Abend liebes Forum, ich habs alleine Probiert, seit tagen ohne erfolg. Also: Firmennetz: 10.77.3.1 DC, AC, DHCP, DNS, Exchange, alles 2003 (SBS) 10.77.3.26 Vigor 2600 10.77.3.67 Notebook in Domäne Normale arbeit Homeoffice (andere Organisation!!): 10.77.3.2 DC, AC, DHCP, DNS Exchange alles 2003 (SBS) 10.77.3.27 FritzFon 7050 (würg)((lässt sich nicht ändern)) 10.77.3.200 FirmenNotebook in Homeoffice nicht in Domäne Folgender Fall Mit dem NB wird Tagsüber gearbeitet im Firmenlan. Es soll die möglichkeit bestehen, zumindest auf den Exchange mit Outlook in die Firma zu kommen. Auf dem Notebook ist eine VPN über das vorhandene, eingewählte und von der FritzFonbox bereitgestellte DSL Internnet eingerichtet. Verbindung kommt zustande, AUTH klappt. Ping geht nicht! Auf der FritzFonBox wurde Port 1723 TCP sowie UDP auf die 10.77.3.200 eingerichtet. Sowie GRE und ESP wurden auf die 10.77.3.200 eingerichtet. Weshalb bekomme ich keinen Ping hin? Wo ist mein Denkfehler? Ich steh aufm Schlauch Danke für hilfe Ein armer kleiner vpn versuchs-ben :)

Moin Leute! Hatte am Freitag und Samstag ne migration von Lotus auf Exchange.... bissle stressig gewesen das ganze. Bis dahin so gut. Jetzt gibts in dieser Organisation 3 Notebooks, die wählen sich per VPN ins netzwerk ein. Ok, zuerst ne T-Online Verbindung, dann ne VPN ins Netzwerk. Die anmeldung erfolgt an einem Draytek 2600. Lurz zum Netzwerk: Netz1 Vigor - Fortinet Firewall - externe Karte eines ISA Servers Netz2 interne Karte ISA - und dann verteilt einen 2003 DC namens warenwirtschaft und ein 2003 Mitgliedsserver mit Exchange 2003/ISA 2000 Nach erfolger Anmeldung lässt sich im Netz2 alles pingen. Öffne ich nun mein Outlook, sollte vermeintlich alles funktionieren, DNS scheint zu gehen (Namen werden aufgelöst) IP lassen sich anpingen. Und nun kommt das Problem: Schon beim Outlook STart wird ein kennwort verlangt. Wenn das Notebook im Netz (Docking Station) ist, steht Anmeldung an: s010.DOMAIN_INTERN.local Bin ich per VPN Verbunden steht da: Anmeldung an: wareneirtschaft.DOMAIN_INTERN.local Das ist ein Phänomen das ich so noch nie erlebt habe?!? Weshalb möchte er jetzt per VPN auf den DC zugreifen? Woher denkt das Notebook, dort könnte ein Exchange drauf sein? Hat jemand eine Spontane Idee? Grüße Manfred

Neuer Stand: Email-Adressen Exchange: SMTP blabla@blabla.LOCAL als standart SMTP blabla@blabla.DE als nebenadresse Ich kann nun von extern nach Intern empfangen, Ich kann von Intern nach Intern empfangen aber ich kann nicht mehr verschicken. Kommt unzustellbar zwecks email .LOCAL am ende vom Provider. Stell ich die Hauptadresse auf .DE um kann ich von extern nicht mehr empfangen. Ist ein FSC Server/SBS bundle, Brauche superdringend hilfe... vlt auch telefon?!? Grüßle :)

Bin gerade beim Kunden und folgendes Problem: SBS 2003, POP Connector, externe Mails nachi nnen werden nicht zugestellt. In der Nschrichtenverfolgung sind 3 Einträge, der letzte lautet "Nachricht an Kategorisierungsmodul weitergeleitet" Alle anderen Einträge wie lokale übermittlung fehlen. Habe den Patch installiert und neu gestartet. Sollte über RDP doch gehen, oder muss der Patch Direkt am Server installiert werden? Bin für jede schnelle hilfe Dankbar! Grüße Manfred

Hallo Leute, hab da mal wieder ein Problem. Bei einem Kunden ist XP + SP2 im einsatz, DC ist ein 2k3 SBS. Auf seinem Notebook sind Offlinedateien vom Home Netzlaufwerk des Servers aktiviert. Nun bekommt er aber sporadisch und recht häufig die Meldung: COmputer sind offline. Sie können dennoch weiterarbeiten... Die Netzwerkverbindung steht, aber er hat nur noch zugriff aus Syncdateien, nicht auf das komplette Server Verzeichniss. Energieverwaltung aller Nics sind deaktiviert, Automatische Netzwertrennung wurde mit net config server /autodisconnect-1 deaktiviert. Google bringt nicht wirklich was, oder ich geh die Suche falsch an. Wenn mir jemand einen Tip hat wär das echt klasse! Danke und Grüße aus Tuttlingen Manfred

Hallo Habe noch keinen ISA installiert. Routing und RAS ist deaktiviert. Hier mal die IPCONFIG: Windows-IP-Konfiguration Hostname . . . . . . . . . . . . : s010proxy Primäres DNS-Suffix . . . . . . . : Knotentyp . . . . . . . . . . . . : Unbekannt IP-Routing aktiviert . . . . . . : Ja WINS-Proxy aktiviert . . . . . . : Nein Ethernet-Adapter LAN-Verbindung 2: Verbindungsspezifisches DNS-Suffix: Beschreibung . . . . . . . . . . : 3Com EtherLink XL 10/100 PCI für vollständige PC-Verwaltung-NIC (3C905C-TX) Physikalische Adresse . . . . . . : 00-04-75-AE-73-59 DHCP aktiviert . . . . . . . . . : Nein IP-Adresse. . . . . . . . . . . . : 192.168.0.10 Subnetzmaske . . . . . . . . . . : 255.255.255.0 Standardgateway . . . . . . . . . : 192.168.0.1 DNS-Server . . . . . . . . . . . : 194.25.2.129 Ethernet-Adapter LAN-Verbindung: Verbindungsspezifisches DNS-Suffix: Beschreibung . . . . . . . . . . : Intel® PRO/1000 CT Network Connection Physikalische Adresse . . . . . . : 00-11-2F-D3-F6-6E DHCP aktiviert . . . . . . . . . : Nein IP-Adresse. . . . . . . . . . . . : 192.0.0.251 Subnetzmaske . . . . . . . . . . : 255.255.255.0 Standardgateway . . . . . . . . . : Hier die Route: IPv4-Routentabelle =========================================================================== Schnittstellenliste 0x1 ........................... MS TCP Loopback interface 0x10003 ...00 04 75 ae 73 59 ...... 3Com EtherLink XL 10/100 PCI für vollständige PC-Verwaltung-NIC (3C905C-TX) 0x10004 ...00 11 2f d3 f6 6e ...... Intel® PRO/1000 CT Network Connection =========================================================================== =========================================================================== Aktive Routen: Netzwerkziel Netzwerkmaske Gateway Schnittstelle Metrik 0.0.0.0 0.0.0.0 192.168.0.1 192.168.0.10 20 127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1 192.0.0.0 255.255.255.0 192.0.0.251 192.0.0.251 1 192.0.0.0 255.255.255.0 192.168.0.10 192.168.0.10 1 192.0.0.251 255.255.255.255 127.0.0.1 127.0.0.1 20 192.0.0.255 255.255.255.255 192.0.0.251 192.0.0.251 20 192.168.0.0 255.255.255.0 192.0.0.251 192.0.0.251 1 192.168.0.0 255.255.255.0 192.168.0.10 192.168.0.10 1 192.168.0.10 255.255.255.255 127.0.0.1 127.0.0.1 20 192.168.0.255 255.255.255.255 192.168.0.10 192.168.0.10 20 224.0.0.0 240.0.0.0 192.0.0.251 192.0.0.251 20 224.0.0.0 240.0.0.0 192.168.0.10 192.168.0.10 20 255.255.255.255 255.255.255.255 192.0.0.251 192.0.0.251 1 255.255.255.255 255.255.255.255 192.168.0.10 192.168.0.10 1 Standardgateway: 192.168.0.1 =========================================================================== St„ndige Routen: Netzwerkadresse Netzmaske Gatewayadresse Metrik 192.0.0.0 255.255.255.0 192.168.0.10 1 192.0.0.0 255.255.255.0 192.0.0.251 1 192.168.0.0 255.255.255.0 192.0.0.251 1 192.168.0.0 255.255.255.0 192.168.0.10 1 Trotz der ganzen routen kann ich nicht von einem Netz ins andere Pingen... warum geht das denn nicht? Bei NT wars so einfach :(

Guten Morgen thorgood, nach reiflicher Überlegung habe ich den Server nochmal Platt gemacht und bin gerade dabei das dingens frisch hochzuziehen. Wenn das Betriebssystewm erst mal läuft werde ich die 2 Routen eintragen. Um sicherzugehen ob ich das richtig mache hier der befehl den ich benutzen werde: route add 192.0.0.0 MASK 255.255.255.0 192.168.0.10 route add 192.168.0.0 MASK 255.255.255.0 192.0.0.251 Jeweils beide netze mit Gateway die Karte des anderen Netzes. Desweiteren muss Routing und RAS aktiviert werden und als Nur router Konfiguration konfigurieren. Wenn ich dann beide Netze habe, inwiefern ist es wahrscheinlich das es nicht mehr tut wenn ich den ISA installiere? Der ISA wird weiterhin als nur Cache installiert. Ping von beiden Netzen IN beide netze sollte doch trotz isa funktionieren? Liege ich da richtg? 100000thanks!

Hallo Leute. Netzwerk 1: 192.168.0.0 255.255.255.0 kurz LAN1 genannt IP der Karte: 192.168.0.10 Netzwerk 2: 192.0.0.0 255.255.255.0 kurz LAN2 genannt IP der Karte: 192.0.0.251 Software: Win 2k3 STD Server, ISA 2000 +SP2 LAN1 beherbergt einen Vigor DSL Router und eine Fortinet 50A, daran hängt der Server direkt mit Lan1 In LAN2 befindet sich ein Lotus Server auf win2k Server und ein weiterer win2k3 Server und etwa 20 Clients. Der ISA ist als "Nur Cache" installiert. Das Netzwerk unterstützt eingehendes VPN. Authentifizierung macht der Vigor Router. ISA ist konfiguriert und lässt alles und jeden in beide Richtungen durch. Die obere Konfiguration ist gegeben und wird nicht geändert. Nun zum Problem: Routing und Ras ist aktiviert, in der Registry ist IP forwarding aktiviert und es ist folgender Routing Eintrag gesetzt: ZIEL MASK GATEWAY 192.168.0.0 255.255.255.0 192.0.0.251 Nun müsste ich doch bereits den Router mit der IP 192.168.0.1 aus dem 192.0.0.0 Netz pingen können, geht aber nicht. Die IP wird im Internetexplorer jedoch gefunden. Die lässt sich durch den ISA Proxy erklären. Muss ich beim windows 2003 etwas besonderes beachten wenn ich von einem Netz in ein anderes möchte? Oder liegt das am ISA der hier weiterhin blockt? Das Problem ist sehr akut und ich bin wirklich für jeden Tip dankbar! Danke & Viele Grüße aus Tuttlingen Manfred

Nein, nicht ganz, das ist ein kiwi log, das log kommt vom host .27, das ist eine fortinet FGT50A, die source IP steht weiter hinten, ist aber trotzdem der Server. Das mit dem Netzwerkmonitor ist ne gute idee, werd ich machen. Danke!

Nein, Routing und Ras ist deaktiviert. Eingebaut ist eine normale Fritzkarte. @ Hacko: nimm den Clients mal den 2. DNS Server und trag den als Weiterleitung im DNS aufm Server ein Darauf wollte ich zur Problemanalyse verzichten. DNS Weiterleitung ist keine gesetzt, denoch kommen eindeutig vom Server Anfragen nach aussen. Das mit eben mal hinausfahren und das umstellen ist etwas schwierig, erstens hab ich eine halbe Stunde Fahrzeit, 2. ist das bis jetzt Garantieanspruch, ich muss also die Kosten so gering für uns halten. Deshalb nochmal meine Frage, wenn ich die Ports nach aussen Sperre wars das mit Surfen, ist das richtig? Grüße Manfred

Hallo Leute, hier nochmal kurz einen Auszug für alle die das Log nicht kennen: 2004-09-08 14:30:05 Local7.Notice 192.168.1.27 date=2004-09-08,time=14:30:04,device_id=FGT50A2104403961,log_id=0001000002,type=traffic,subtype=session,pri=notice,SN=60123,duration=33,rule=1,policyid=1,proto=53/udp,service=53/udp,status=accept,src=192.168.1.1,srcname=192.168.1.1,dst=212.185.252.136,dstname=212.185.252.136,src_int=internal,dst_int=external,sent=154,rcvd=0,sent_pkt=2,rcvd_pkt=0,src_port=1036,dst_port=53,vpn=n/a,tran_ip=0.0.0.0,tran_port=0, 2004-09-08 14:30:05 Local7.Notice 192.168.1.27 id=firewall time="2004-09-08 14:30:04" fw=FGT50A2104403961 pri=5 log_id=0001000002 type=traffic subtype=session SN=60123 duration=33 rule=1 policyid=1 proto=53/udp service=53/udp status=accept src=192.168.1.1 srcname=192.168.1.1 dst=212.185.252.136 dstname=212.185.252.136 src_int=internal dst_int=external sent=154 rcvd=0 sent_pkt=2 rcvd_pkt=0 src_port=1036 dst_port=53 vpn=n/a tran_ip=0.0.0.0 tran_port=0 So geht das die ganze Zeit. @ Silent_man Auf den Clients ist als 1. DNS der SBS Server angegeben, 192.168.1.1 Als 2. DNS ist der 194.25.2.129 angegeben. Habe den DHCP ganz deaktiviert und den DNS Server so eingerichtet das er selbst keine weiteren DNS anfragen nach aussen macht. Trotzdem weiterhin das Problem. @ Dirk Wenn ich in der Fortinet (Firewall) den TCP/UDP nach aussen Sperr, kann dan von innen noch gesurft werden, namen zu IP und anders herum? Oder Sehen die Clients auf dem IE dann nichts mehr? Grüße Manfred

txt vergessen :suspect:

Ein 2003 SBS Server möchte immer ins Internet. Problem: ISDN und bezahlleitung, sehr teuer. Unsere Hardware Firewall sagt folgendes (txt angehängt) Der Server läuft als DC mit Exchange, allerdings Zeitplan fürs abhohlen ist eingerichtet. Das Kuriose sind die Zielports, die sagen mir auf anhieb nicht sonderlich viel. Hat jemand eine Idee was das sein könnte? Kann ich der Lan karte der Gateway wegnehmen, tut dann der Exchange trotzdem noch? Wohl kaum, oder? Für Hilfe wäre ich sehr dankbar! Gruß Manfred

:D Hehe, *schmunzel*

Hat sich erledigt, Richtlinie für Domänen und nen kurzen neustart und das teil rennt wie ein Gummibärchen! Grüße Manfred

Nabend leute. Wenn ich zB einen Ordner mit 33 MB und ca 400 Dateien AUF den server kopiere dauert das über 3 Minuten. Kopiere ich den oder einen ähnlichen Ordner VOM Server braucht das gerade 20 Sekunden. Die GPO wurde Testweise Umgestellt: MS-NT (Client) kommunikation digital signieren (immer) ist deaktiviert MS-NT (Client) kommunikation digital signieren (wenn server zustimmt) ist deaktiviert Kurioserweise ist MS-NT (Server) kommunikation digital signieren (immer) aktiviert M-NT (Client) kommunikation digital signieren (wenn server zustimmt) aktiviert und lässt sich auch nicht ändern. (Radio buttons sind grau in den eigenschaften hinterlegt) Ich bin mir aber sicher das es an dem liegen könnte. Netz ist ein 100 MBIT über switch... Server hat 2 nics, 120 GB IDE ATA 133 Platte, schnelldrehend. Ich weiss definitiv das aus der Hardware mehr rauszuhohlen ist, zumal das lesen vom server ruckizucki geht! Grüßle Manfred