Watchguard VPN

[bernd79 10]

JA das ist ein BOVPN. Wenn der Client den DNS - Server der Domäne nicht als primären eingetragen hätte, dann würde er gleich gar nicht in der Domäne suchen sondern würde nur die lokalen Benutzer anzeigen (habe ich getestet). Da stellt sich mir aber schon wieder die Frage ob es irgendwas mit den Ports zu tun hat??? Ob da vielleicht wieder irgendeiner gesperrt ist??

[IThome 10]

Du kannst ein Tool benutzen, welches die Ports testet (eigentlich sollte aber alles erreichbar sein, sofern auf dem Server die Windows-Firewall nicht läuft) ...

http://www.mcseboard.de/post7-668580.html

[bernd79 10]

Habe das Tool heruntergeladen und getestet. Wenn ich dort eingebe, dass Domain und Trusted testen sollen erhalte ich keine Fehlermeldung!! Also so wie es aussieht sind alle nötigen Ports freigeschalten!?!?!?

Habe auch nochmal mit Kollegen geredet und anscheinend hat es mit den früheren Versionen von Watchguard auch ohne Probleme funktioniert!! Seit der xedge(E) Version gibt es da Probleme. Auch bei der grossen X700 besteht das gleiche Problem..Hat von euch niemand eine Watchguard wo dieses Problem reproduzieren könnte??

[IThome 10]

Hm, wir setzen diese Dinger fast ausschliesslich ein, eigentlich ohne nennenswerte Probleme. Sniffe den Vorgang doch einfach mal ...

[bernd79 10]

Also was ich jetzt herausgefurden habe ist, dass wenn ich bei dem Server den Port 389(ldap) UDP abfrage ich keine Rückantwort erhalte. Bei TCP kein Problem. Aber selbst im lokalen Netzwerk erhalte ich da keine Antwort. Bei dem Kunden wo noch die alte WG steht erhalte ich eine Rückantwort (wobei ich mir nicht sicher bin ob es an der WG liegt, da ich selbst im lokalen Netz keine Antwort auf dem Port erhalte). Ist der Port 389 UDP unbedingt notwendig um über VPN das ActiveDirectory abzufragen??

Bei dem Sniffer (WireShark) werden folgende Zeilen rot markiert:

Protokoll aber überall TCP!!!!!!????

 

Source: Server(Port 389) Dst: Client(Port 1073) TCP Previous segment lost

Source: Client(Port 1073) Dst: Server(Port 389) TCP Dup Ack 225#1

 

Weiter unten kommt dann nochmal 3x hintereinander!!

 

Source: Server(Port 389) Dst: Client(Port 1073) TCP Retransmission (TCP segment of a reassembled PDU)

 

Vielleicht jetzt ne Idee??

[bernd79 10]

Ich bekomme es einfach nicht hin!!! Habe schon überall versucht Informationen einzuholen aber leider ohne Erfolg.

Vielleicht kann mal jemand mit mir die Konfiguration dieser VPN Verbindung durchgehen!!

Im Prinzip ist es doch nichts anderes als an der Box einen User anzulegen - SharedKey einzugeben - virtuelle IP - Adresse - Verschlüsselung - Angeben wann der Schlüssel abläuft (KB und Min) !! Bei "All Traffic uses tunnel (0.0.0.0/0 IP Subnet) hab ich kein Häkchen reingemacht!! Und sonst ist doch von der Box her nichts mehr zu ändern???

Also die Verbindung funktioniert ja sonst soweit!!

Was habt ihr denn bei MTU - Size eingestellt?? Für die Internetverbindung wird normals ADSL über 1&1 oder T-Online eingesetzt!!! Vielleicht gehen die Pakte bei LDAP Anfragen auch einfach verloren??? Wie setzt Ihr die Watchguard ein? Benutzt Ihr diesen Virtuellen Adapter?? Wenn ja wie??

Sorry...Fragen über Fragen aber ich weiss echt nicht mehr weiter!!

[IThome 10]

Ich setze vor KEINE Edge noch einen weiteren Router , allenfalls vor eine Core als Zugangsrouter. Auf dem Zugangsrouter wird dann UDP 500 und UDP 4500 nach innen geleitet und fertig. Es ist bei der Edge nur notwendig, die Einstellungen vorzunehmen, die Du beschrieben hast und im Tunnel ist alles erlaubt. Ich benutze möglichst immer den virtuellen Adapter (im Gegensatz zum Shim Mode) , da er sich wie eine "normale" Netzwerkkarte verhält. Wenn Du eine Edge hast, hast Du sicher auch eine gültige Livesecurity. Besuche die Watchguardseite, dort meldest Du Dich an und suchst nach SHIM, der erste Eintrag erklärt den Unterschied ...

edit: Stelle in den Settings unter Firebox Users den DNS-Server ein und zusätzlich im Virtuellen Adapter einen Verbindungssuffix. Dann lädst Du Dir das neue WGX-File über die Verwaltungsseite erneut herunter und wendest sie auf dem Client an ...