VPN mit ISA 2004

[deamon 10]

Hallo zusammen

So, nach 3 Tagen suchen und probieren ohne erfolg möchte ich mich an

euch wenden.

 

Zuerst ein par Fakten:

ISA 2004 auf Windows 2003

3 Netzwerkkarten:

- 1xVLAN (unwichtig)

- 1xLAN 192.168.1.1, Subnet 255.255.255.0

- 1xWAN öffentliche, fixe IP vom Provider

 

VPN-User erhalten IP 192.168.2.x

 

Ich habe nun VPN eingerichtet und der PC im VLAN, sowie ein Testgerät

mit öffentlicher IP (direkt im Netz, anderes Modem) funktionieren.

 

Wenn ich nun aber von einem PC (bei mir zu Hause zum Beispiel, PC im Net 192.168.1.x) die Verbindung aufbaue, dann können alle PCs im Firma-

LAN nicht mehr surfen. Ebenfalls kann ich mit dem Client nicht auf die

Server zugreifen (weder via Namen, noch via IP).

 

Ich habe viel gelesen, und vermute nun, dass der XP-VPN Client dies

nicht unterstützt. Aber einen - freien - VPN-Client der dies kann habe

ich nirgends gefunden.

 

Wo liegt der denkfehler?

 

Vielen Dank für eine Antwort, ich bin nun wirklich etwas verzweifelt!!

 

Freundliche Grüsse

Christian Lehmann

[-farbsu-ch-tt 10]

Hallo Daemon

 

Ich kann Dir leider nicht weiterhelfen. Ich habe in der Firma meines AG das selbe Problem..

[grizzly999 11]

@deamon:

Zuerst ein par Fakten:

Fakten sind immer gut, aber du gibst uns ganz objektiv gesehen keine :(

du solltest unbedingt lernen, klare, unmissverständliche, konkrete und genau Aussagen zu machen.

 

 

- 1xVLAN (unwichtig)

Welche Netzadresse? Ist es dem internen Netzwerk zugeordnet?

 

VPN-User erhalten IP 192.168.2.x

... aus einem statischen Adress-Pool im ISA?!

 

Ich habe nun VPN eingerichtet

Du meinst, eingerichtet auf dem ISA mit Hilfe des dortigen Wizards?!

 

und der PC im VLAN, sowie ein Testgerät

mit öffentlicher IP (direkt im Netz, anderes Modem) funktionieren.

Funktionieren? Sie booten also? Und man kann sich daran lokal/als Domainuser anmelden?! Das verstehe ich unter "funktionieren"

 

Wenn ich nun aber von einem PC (bei mir zu Hause zum Beispiel, PC im Net 192.168.1.x)

Selbes IP-Netz wie bei ISA intern? Auch eine Firewall routet. Aber ein IP-Router verbindet immer zwei Netze mit unterschiedlichen Netz-IDs, nicht mit gleichen Netz-IDs.

 

die Verbindung aufbaue, dann können alle PCs im Firma-

LAN nicht mehr surfen.

Das ist für mich jetzt auch nicht erklärbar :confused:

 

Ebenfalls kann ich mit dem Client nicht auf die

Server zugreifen (weder via Namen, noch via IP).

Das dagegen schon. Wie oben gesagt, ein Router routet, bei dir gibt's da nichts zum Routen .....

 

Ich habe viel gelesen, und vermute nun, dass der XP-VPN Client dies

nicht unterstützt

.

"Diese" nicht unterstützt. Was "Diese" :confused: Diese Automarke? Diese Adminfinger?

 

Aber einen - freien - VPN-Client der dies kann habe

ich nirgends gefunden.

Es braucht keinen "frieen" Admin Client. Alle meine unzähligen ISA-Installationen mit eingerichtetem VPN-Zugriff für Clients draussen unter 2000, XP, 2003 und Vista mit dem integrierten VPN-Client, den Microsoft eingebaut hat, funktionieren ohne zu murren!

 

 

@[farbsu-ch]tt: Bitte keine Overtakes. Du willst doch nicht sagen, dass du die exakt selbe Konfiguration hast? Also hast du ziemlich sicher nicht das gleiche Problem. Und wir lösen hier in einem Thread nicht zwei Probleme von zwei Kandidaten.

 

 

grizzly999

[deamon 10]

Fakten sind immer gut, aber du gibst uns ganz objektiv gesehen keine :(

du solltest unbedingt lernen, klare, unmissverständliche, konkrete und genau Aussagen zu machen.

Tut mir leid... danke auf jeden Fall für den input, ich werde es mir merken!

 

Welche Netzadresse? Ist es dem internen Netzwerk zugeordnet?

172.20.x.x (ich weiss es nicht ausswendig, bin nicht in der Firma ;) editiere es morgen!), Subnetz auf alle Fälle auch 255.255.255.0

 

... aus einem statischen Adress-Pool im ISA?!

ja, die werden statisch vergeben. die IPs stehen in der AD-Userverwaltung (einwählen).

 

Du meinst, eingerichtet auf dem ISA mit Hilfe des dortigen Wizards?!

ja genau.

 

Funktionieren? Sie booten also? Und man kann sich daran lokal/als Domainuser anmelden?! Das verstehe ich unter "funktionieren"

ja, sie booten und man kann anmelden... ach... ich meine halt dass man mit dem vpn-Server verbinden kann, und die Auflösung der Servernamen, sowie jegliche Verbindungen (exchange etc.) funktionieren.

 

Selbes IP-Netz wie bei ISA intern? Auch eine Firewall routet. Aber ein IP-Router verbindet immer zwei Netze mit unterschiedlichen Netz-IDs, nicht mit gleichen Netz-IDs.

Ja, selbes Netz. Ich weiss dass ein Router verschiedene Netze verbindet. das ist ja meine grosse Frage. Ist es möglich, wenn ich zuhause (wie viele mitarbeiter unserer Firma auch) ein 192.168.1.x netz haben? Wenn nicht brauche ich gar keine Antworten mehr, dann kann man es jetz sofort lassen...

 

Das ist für mich jetzt auch nicht erklärbar :confused:

Wird ein Routen-Problem im ISA sein... aber das ist im Moment sekundär...

 

"Diese" nicht unterstützt. Was "Diese" :confused: Diese Automarke? Diese Adminfinger?

ich meine die verbindung zu meinem Firmen-Netzwerk, das die selbe Netz-ID hat.

 

Vielen Dank für deine Antwort und deine Geduld

C. Lehmann

[grizzly999 11]

Okay, jetzt wird es etwas klarer. :)

 

Aber da ist dann die Frage, welche IP-Konfigurationen hat der betreffende Client bei der Einwahl und wie sieht seine Routingtabelle aus?

Das solltest mal posten .....

 

 

 

grizzly999

[deamon 10]

Okay, jetzt wird es etwas klarer. :)

Aber da ist dann die Frage, welche IP-Konfigurationen hat der betreffende Client bei der Einwahl und wie sieht seine Routingtabelle aus?

 

Okay. Die Clientkonfiguration des Clients ist eigentlich genau dieselbe, wie sie auch im Firmen-Netzwerk: 192.168.1.2, 255.255.255.0, Gateway 192.168.1.1, einzig der DNS ist nicht auf 192.168.1.16 (wie im Firmennetzwerk) sondern auch auf dem Gateway.

 

Die Routing-Table des Clients sieht wiefolgt aus:

Aktive Routen:
    Netzwerkziel    Netzwerkmaske          Gateway   Schnittstelle  Anzahl
         0.0.0.0          0.0.0.0      192.168.1.1     192.168.1.2       20
       127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1       1
     192.168.1.0    255.255.255.0      192.168.1.2     192.168.1.2       20
     192.168.1.2  255.255.255.255        127.0.0.1       127.0.0.1       20
   192.168.1.255  255.255.255.255      192.168.1.2     192.168.1.2       20
       224.0.0.0        240.0.0.0      192.168.1.2     192.168.1.2       20
 255.255.255.255  255.255.255.255      192.168.1.2     192.168.1.2       1
Standardgateway:       192.168.1.1
===========================================================================
Ständige Routen:
 Keine

 

Liebe Grüsse und Dankeschön!

Christian Lehmann

[-farbsu-ch-tt 10]

@grizzly

 

Der deamon und ich sitzen ein Büro auseinander. Wir hatten eine Reihe doppelt ausgeführter Arbeiten (Ich fand Problemlösungen für von ihm kurz zuvor gelösten Problemen) und habe mir deshalb diesen Scherz erlaubt.

 

Abgesprochen mit daemon:

Funktionieren? Sie booten also? Und man kann sich daran lokal/als Domainuser anmelden?! Das verstehe ich unter "funktionieren"

[/Quote]

Es ist momentan noch nciht unser Ziel, eine Remoteanmeldung mit dem Domänenbenutzerkonto zu erstellen. Uns fehlt die Bandbreite für die Synchronisierung des Outlooks im Cached Mode, wir nutzen OWA. Unsere Benutzerprofile sind teilweise imens gross, da müssen wir noch optimieren. Zudem fehlen noch GPOs, die Remotanmeldungen berücksichtigen. Das kommt später. Im Moment gehts drum, dass ein Benutzer sich auf seinem Notebook mit der Domänenprofil-Kopie anmelden kann und nur bei Bedarf die VPN-Einwahlverbindung gestartet wird. Vorerst arbeiten wir mit der Aktenkofferfunktion und dem Synchronisierungscenter, VPN sollte nur im Notfall benutzt werden, wenn die Benutzer einzelne Dateien brauchen aber nicht synchronisiert haben.

 

Danke für deine Hilfe und Gruss

Daniel

[grizzly999 11]

Ja, klappt den VPN-Verbindung überhaupt? Oder wo ist jetzt genau das Problem?

 

 

grizzly999

[deamon 10]

Ja, klappt den VPN-Verbindung überhaupt? Oder wo ist jetzt genau das Problem?

 

wieder ich: ja, die verbindung klappt, sehr schnell sogar. was aber nicht klappt ist wie gesagt das nutzen von shares, exchange etc. sprich, lokale anfragen an 192.168.1.15 zb werden nicht durch den tunnel geschickt.

 

gruss

deamon

[grizzly999 11]

Ja, wie schon gesagt, wenn der Client lokal im gleichen Netz wie das Firmennetz geht das eben nicht :rolleyes:

Änderre das Netz und es sollte gehen ....

 

 

grizzly999

[deamon 10]

Hmm okay. In der alten Firma haben wir mit Cisco gearbeitet, und ich meinte im Kopf zu haben, dass es dort gieng... Aber vielleicht haben wir damals VPN-mässig auch auf ein VLAN zugegriffen..

 

Danke jedenfalls für deine Antwort

deamon