DFÜ und Routing?

[freddy64 10]

Ich habe folgenendes Problem.

Eine Außenstelle unserer Firma soll sich per DFÜ in das Netz der Zentrale einwählen und auf den internen Webserver zugreifen können.

Konfiguration Zentrale:

W2K Server mit ISDN-Karte, Routing und RAS sind installiert.

Es ist nicht der PDC der Zentrale, sondern nur ein RAS Server, auf dem auch der IIS sowie Exchange läuft..

DHCP Relay zum PDC ist eingerichtet.

IP 192.168.2.1, Subnet 255.255.255.0

 

Konfiguration Außenstelle:

W2K Server mit ISDN-Karte, Routing und RAS sind installiert. Dieser Server ich auch der PDC der Außenstelle.

Eine Schnittstelle ist für Wählen bei Bedarf ist im Router eingerichtet.

Fester IP Bereich ohne DHCP

IP des Servers 192.168.3.1, Subnet 255.255.255.0, kein Standardgateway

 

Wenn ich direkt vom Außenstellenserver, in dem auch die ISDN-Karte steckt, zu http://192.168.2.1'>http://192.168.2.1 browsen will, wird die ISDN-Verbindung zur Zentrale aufgebaut und ich habe Zugriff auf das Intranet der Zentrale.

Wenn ich aber von einer Arbeitsstation zu http://192.168.2.1 eine Verbindung herstellen will, passiert gar nichts.

Auch ping 192.168.2.1 gibt nur eine Zeitüberschreitung zurück.

Auf der Arbeitsstation habe ich mit:

route add 192.168.2.0 mask 255.255.255.0 192.168.3.1 -p

eine Persistente Route eingerichtet.

192.168.3.1 ist die Adresse der Netzwerkkarte des Servers, an dem auch die Arbeitsstation hängt.

Die Arbeitsstation hängt außerdem an Internet über Standardgateway 192.168.3.254.

 

Was muß ich noch tun, damit die Sache auch von der Arbeitsstation oder noch besser von allen Arbeitsstationen aus dem Netz 192.168.3.0 aus funktioniert?

Ich habe schon das ganze Wochenende daran verbracht.

 

Ich hoffe ich habe das Szenario einigermaßen vollständig erläutert.

[IThome 10]

Hat der Webserver eine Rückroute in das 3er Netz bzw. ist überhaupt eine Rückroute im 2er Netz zum 3er Netz bekannt ? Welchen Routen sind denn in den RRAS-Diensten eingetragen ? In das 3er und 2er Netz über die jeweilige Wählen bei Bedarf Schnittstelle ?

[freddy64 10]

aha, Rückroute habe ich keine, da ich nicht wußte über welche Schnittstelle.

 

Momentan ist z.B die Außenstelle verbunden.

Die IP Adr. der ISDN-Karte in der Zentrale ist jetzt 192.168.2.23.

Kann ich diese oder eine andere Adresse fest einstellen?

Dann könnte ich diese als Gateway zum Netz 192.168.3.0 angeben und die Sache dürfte funktionieren.

 

Welches Gateway soll ich denn sonst dem Server in der Zentrale zum Netz 192.168.3.0 angeben, wenn sich die IP Adresse der ISDN-Karte bei jeder Einwahl ändert.

[IThome 10]

Du gibst bei Wählen bei Bedarf Schnittstellen keine IP-Adressen an, sondern nur das Ziel erreichbar über die Schnittstelle, alles im RRAS. Der RRAS-Server in der Zentrale hat ja auch eine LAN-Schnittstelle. Über diese Schnittstelle erreicht der Webserver das 3er Netz ...

Um es nochmal klar zu stellen, Du hast die Schnittstellen im RRAS erzeugt, eine LAN-LAN Verbindung also ?!

[freddy64 10]

Hier mal die Routingtabelle der RRAS Servers in der Zentrale.

Die zwei Statischen Routen über 192.168.2.254 brauche ich für EMails.

Die Route nach 192.168.1.0 ist ein weiteres Netzwerk in der Zentrale.

Funktioniert auch alles.

Kann nur nicht nach 192.168.3.0.

Routingtabelle.pdf

[IThome 10]

Interessant wären die Einträge unter "Statische Routen" und die Netzwerkschnittstellen des RRAS. Es dauert auch eine ganze Weile, wenn überhaupt, dass die Anhänge freigeschaltet werden ...

[freddy64 10]

Die Routingtabelle in der pdf ist die von der Zentrale. War nur mal ein Versuch. ob ich die Außenstelle auch für Fernwartung per DFÜ erreichen kann.

Da habe ich das gleiche Problem. Server zu Server funktioniert.

Workstation aus 192.168.2.x findet 192.168.3.1 nicht. bzw. keine Rückroute vorhanden.

 

Angenommen, ich schmeiße in der Außenstelle alle statischen Routen raus, dann würde für eine Verbindung in die Zentrale nur stehenbleiben:

Ziel:

192.168.2.0

Mask:

255.255.255.0

Gateway:

keine

Schnittstelle:

Remoterouter

 

Wählen bei Bedarf wird beim Aufruf von 192.168.2.1 aus der Außenstelle gestartet und es kommt auch eine Verbindung mit der Zentrale zustande.

 

Nur die Workstations in der Außenstelle können sich nicht mit dem Server 192.168.2.1 verbinden, bzw. bekommen von diesem keine Antwort.

ping zeigt an: Zeitüberschreitung der Anforderung.

Also findet die Workstation den Sever 192.168.2.1 sonst würde doch da stehen: Zielhost nicht erreichbar. Oder sehe ich das falsch?

Es muß also irgendwas mit der Rückroute zu tun haben.

Nur wie stelle ich diese ein???

[IThome 10]

Konfiguriere mal eine statische Range (z.B. 192.168.5.1 - 192.168.5.10) für die Adressierung der VPN-Verbindung. Konfiguriere auf beiden Seiten im RRAS eine statische Route in das gegenüberliegende LAN über die Wählen bei Bedarf Schnittstelle. Wenn weder der Client in der Zweigstelle noch der Webserver in der Hauptstelle ihren internen RRAS als Default Gateway eingetragen haben, musst Du auf ihnen noch eine statische Route in das gegenüberliegende LAN erreichbar über die interne Schnittstelle des RRAS vor Ort konfigurieren. Du kannst auch auf dem lokalen Internetrouter eine Route erstellen, die in das gegenüberliegende LAN über die interne Schnittstelle des lokalen RRAS führt. Dann kannst Du das Default Gateway des Clients auf dem Internetrouter lassen ...

[freddy64 10]

Also mit 192.168.5.x habe ich genau das gleiche Problem. Verbindung kommt zustande aber Kommunikation nur von Server zu Server.

Die Idee mit der statischen Route Route im Internetgateway ist gar nicht so übel.

Hab ich gleich so eingerichtet.

 

Um nochmal auf das Routing über die Wählen bei Bedarf Schnittstelle zu klären.

Bei einer Verbindung von der Zentrale (192.168.2.x) zur Außenstelle(192.168.3.x) hat in der Anzeige der statischen Routen die interne Schnittstelle die IP 192.168.2.31 und die Wählen bei Bedarf Schnittstelle die IP 192.168.3.101.

Eine statische Route habe ich noch in der Zentrale

Ziel 192.168.3.0 über Aussenstelle(Name der Schnittstelle für Wählen bei Bedarf)

 

Meiner Meinung nach ist das doch auch alles richtig so, oder habe ich da einen Fehler drin?

 

Eine kuriose Sache ist mir noch aufgefallen.

Ich kann, wenn ich am RRAS in der Außenstelle bin, meinen PC am Arbeitsplatz in der Zentrale (192.168.2.21) anpingen. Nur umgekehrt nicht. Ich komme von keiner Workstation über den RRAS in das jeweils andere Büro.

 

Dieses Szenario, wie ich es verwenden will, ist in der RRAS Online Hilfe an einem Beispiel Verbindung Köln-München beschrieben. Da funktioniert es doch auch.

Der einzige Unterschied ist, das ich ISDN statt Modem verwende.

 

Ich weiß bald nicht mehr weiter.

[IThome 10]

Kannst Du Bilder von dem Punkt "Statische Routen" und "Netzwerkschnittstelle" beider Server zur Verfügung stellen ?

[freddy64 10]

Aua, aua,

der Telefonietreiber in der Außenstelle wurde nicht korrekt gestartet.

Jetzt haut die Sache wie gewünscht hin, ohne daß ich noch irgendwelche Routen einstellen musste.

Aber trotzdem vielen Dank für die Hinweise, habe wieder was zum Thema Routing gelernt.

 

Die nächste Baustelle wird die gleiche Konstellation Außenstelle-Zentrale über VPN.

Da muß aber der Boss erst noch ein vernünftiges Gateway locker machen, damit ich den Webserver in die DMZ stellen kann.

Hat zufällig jemand einen Vorschlag für ein Gateway? Sollte nicht zu teuer sein. Ich dachte so an ZyxWall (ca. 500 Euronen).

 

Als interne Firewall wollte ich ISA-Server einsetzen, der auch den Internetverkehr der Mitarbeiter etwas einschränkt. Spricht da was dagegen?

Ich habe DSL-Business mit fester IP und es haben aus der Firma nur 10 AP Internetzugang.

Aus dem Internet sollten auch nur max 10 Benutzer (Außendienstmitarbeiter) auf den Webserver Zugriff haben.

[IThome 10]

Sag mal, es waren also auf beiden Seiten Routen in "Statische Routen" im RRAS, die auf das LAN auf der andren Seite zeigten, erreichbar über die Wählen bei Bedarf Schnittstelle ? Aber Telefonietreiber, hm, da wäre ich nie drauf gekommen , was hat das mit dem Routing zu tun ? Egal, Hauptsache es funktioniert ... :)

Noch eine andere Frage, so wie ich es verstanden habe, gibt es auf beiden Seiten eine Internetverbindung, warum baust Du kein VPN, besonders, weil LAN-LAN Verbindungen über ISDN sehr kostspielig werden können ?