PPTP VPN RAS Problem

[xelafield 10]

Hallo,

 

ich hab ein seltsames VPN Problem:

 

Standort A:

- SBS2003R2 SP2

- Fritzbox 7050

- 2 LAN Karten für intern und extern

 

Standort B:

- w2k3 R2 SP2

- Fritzbox 7170

- 1 LAN Karte

 

Beide Server sollten sich per PPTP VPN verbinden. Grundsätzlich klappt das auch, nur bekomme ich die bidirektionale Verbindung nicht zu stande.

D.h: Server A wählt sich in Server B ein, funktioniert. Wenn sich jetzt allerdings Server B in Server A einwählen will, so kommt die Verbindung nicht zustande und bricht auch nicht ab. Es erscheint keine Fehlermeldung. Genauso verhält es sich wenn sich umgedreht Server B in Server A bereits eingewähtl hat und Server A sich nun nach Server B einwählen möchte.

 

Es geht sogar so weit, das die Fritzbox an Standort A nach dieser versuchten Einwahl abstürzt. Das kann provoziert werden.

 

Was schon geht, das ich mich mit XP Clients zusätzlich bei den einzelnen Standorten einwähle.

Freigegebene Ports in den Fritzboxen:

- GRE

- 1723 TCP

- 1723 UDP

 

Weiß irgendjemand wo ich noch suchen könnte? Ich möchte auch erwähnen, das diese Konstellation mit älteren Servern (vor der neuinstallation der Server) grundsätzlich funktioniert hatte, wenn auch nicht besonders stabil.

 

Edit:

auf beiden Servern ist RAS installiert und die Verbindung soll über Wählen bei Bedarf stattfinden.

[IThome 10]

Warum sollte sich Server A nach Server B einwählen, wenn Server B schon mit Server A verbunden ist ? Ist da kein LAN-LAN über Demand-Dial Interfaces konfiguriert worden ?

[xelafield 10]

Hallo,

 

ich hab einfach den RAS Dienst für "LAN und bei Bedarf wählendes Routing" + RAS Server eingerichtet auf beiden Seiten und auf beiden Seiten eine Wählverbindung eingerichtet.

 

Vielleicht hab ich hier ein grundsätzliches Denkproblem, aber um eine Kommunikation von beiden Seiten zu erhalten (auch die Clients) für z.B. AD Replikation benötige ich da nicht 2 Verbindungen?

 

Wenn das mit nur einer Verbindung gehen würde, dann wäre mir das viel lieber. Kannst du mir in kurzen Schritten erklären wie du so eine LAN-LAN Kopplung über RAS Server realisieren würdest.

[IThome 10]

Du musst auf beiden Seiten den RRAS konfigurieren, dass eine Wählen bei Bedarf-Schnittstelle zur anderen Seite erzeugt wird, ebenso wie eine Route in das gegenüberliegende Netzwerk über die lokale Wahlschnittstelle. Dann ist es egal, wer die Verbindung aufbaut und sie wird aufgebaut, wenn ein Client eines Netzwerkes eine Adresse des anderen Netzwerkes anspricht. Im RRAS gibt es einen Assistenten bei der Erstkonfiguration, der Schnittstelle und das entsprechende Einwählkonto für den gegenüberliegenden RRAS erzeugt ...

[xelafield 10]

Hallo,

 

genauso habe ich das gemacht. Aber mein Problem ist, das wenn z.B. Standort A nach B eine Verbindung aufbaut zwar die Kommunikation von A nach B funktioniert, aber nicht zwangsweise die Kommunitkation von B nach A. Das funktioniert bei mir erst wenn die zweite Verbindung aufgebaut wurde.

 

Statische Routen sind gesetzt. Trotzdem findet eine Kommunitkation von Clients am Standort A nach B erst dann statt wenn bei NAT/Basisfirewall für die VPN Schnittstelle NAT eingerichtet wurde. Und genau da sehe ich das Problem. Wenn ich nun auf der Gegenseite auch diese NAT Schnittstelle für die eingehende Verbindung einstellen könnte, dann würde eine Verbindung reichen.

 

Oder habe ich irgendwo eine falsche oder fehlende Einstellung warum das nicht mit nur einer Verbindung klappt?

 

Edit:

Beide Standorte haben unterschiedliche IP Netze, was so weit ich weiß auch bei VPN sein muss.

[xelafield 10]

Hallo,

 

ich glaube ich hab die Sache jetzt Lösen können:

 

Ich baue nur noch eine unidirektionale Verbindung auf, d.h. nur noch ein Server verfügt über eine bei Bedarf herzustellende VPN Verbindung. Der Andere Server agiert nur noch als Einwahlziel.

 

Den Benutzer welcher sich in den Server einwählt habe ich über Active Directory unter Benutzeroptionen eine feste IP und eine statische Route hinzugefügt. Somit ist auch der Rückkanal für den gegenüberliegenden Server erreichbar.

 

Ich werde mir das jetzt mal ein paar Tage ansehen ob das für das Routing ausreichend ist. Auch wenn dadurch das ursprüngliche Problem der Fritzboxen nicht gelöst ist, so ist zumindest ein Umgehen des Problems möglich.

[IThome 10]

Ich habe hier 2 2003er RRAS, beide sind mit der benutzerdefinierten Konfiguration installiert worden, bei der NAT und Zweigstellenrouting ausgewählt wurde. Allerdings machen hier beide RRAS NAT. Als private Schnittstellen sind jeweils die interne Schnittstelle und die RRAS-eigene Schnittstelle "Intern" deklariert worden, als öffentliche die externe Schnittstelle. Auf der öffentlichen Schnittstelle ist unter Dienste und Ports PPTP zur 127.0.0.1 geleitet worden. Als Adressvergabe ist statisch definiert, wobei jeweils ein freier Bereich aus dem internen Bereich des jeweiligen RRAS gewählt wurde. Die statische Route auf den jeweiligen Routern zeigt als Ziel auf das gegenüberliegende private Netzwerk, erreichbar über die Wählen bei Bedarf Schnittstelle (KEIN Gateway).

Es ist vollkommen egal, welche Seite die Verbindung aufgebaut hat, es kann immer von jeder Seite auf die andere zugegriffen werden ...