RDP über VPN durch ISA 2006

[PathFinder 10]

Hallo zusammen,

 

Ich befinde mich hier hinter einem ISA Server 2006 und möchte mit meinem Client auf einen Server bei einem Kunden zugreifen.

 

VPN funktioniert wunderbar. Der Server des Kunden ist pingbar und ich kann per Windows Explorer und \\server auf ihn zugreifen.

 

Versuche ich es aber per mstsc bekomme ich nach einigen Sekunden mitgeteilt der Server sei nicht verfügbar.

 

Schaue ich im ISA Server Log dann sehe ich dort das eine RDP Verbindung (3389) von meinem Client aus initiert wurde. Dann passiert nix mehr.

 

Auf meinem Client befindet sich der Firewall Client vom ISA. Schalte ich ihn aus passiert auch nichts.

 

Im RegelSet des ISA Server habe ich RDP hinzugefügt neben dem was ich sonst noch brauche. Reicht das oder brauche ich für Remote Desktop noch etwas das ich gerade nicht sehe ? Brauche ich einen Anwendungsfilter in den Eigenschaften von RDP ?

 

Wenn ich die VPN aufbaue sollte ich den Remotegateway nutzen oder nicht ?

 

Hab auch schon fleißig gegoogelt aber nicht wirklich was gefunden.

 

Jemand eine Idee wo ich noch ansetzen könnte ?

 

Danke fürs lesen, der Path

 

P.S.

 

Kann das was damit zutun haben ?

 

ISA Server verhindert die Verbindung zu einem Remotedesktop, die auf einem Windows Small Business Server 2003-Computer über einen Remote-Webarbeitsplatz hergestellt werden soll

 

Die beschriebenen Punkte finde ich aber irgendwie garnicht wieder ??

 

mit Augenmerk auf den Packetfilter ...

[asot00 10]

Wie sieht es mit einer Serververöffentlichung aus. Weiterleitung auf RDP-Server. Geht das...

Kannst du lokal auf den RDP Server zureifen?

[PathFinder 10]

Ich weiß nicht ob ich dich recht verstehe =)

 

Also lokal vom Kunden aus, aus dessen Netz, von einem seiner PCs kann ich ohne weiteres per RDP zugreifen.

 

Serververöffentlichung ?

 

Der Plan ist über die VPN durch unseren ISA auf den Kunden Server zu kommen.

 

Der Kunde hat keinen ISA, der steht nur auf unserer Seite.

 

In unserem RegelSet hab ich RDP hinzugefügt und bekomme in der Protokollierung auch "Initialisiert" angezeigt, aber dann passiert nichts mehr.

 

Wäre für jede Hilfe dankbar =)

[asot00 10]

Was hat der Kunden für eine Firewall?

[qmaestroq 10]

Das wäre auch meine Frage, scheinbar ist beim deinem Kunden der Port 3389 nicht freigegeben.

Probier doch mal telnet über diesen Port, sollte dann auch nicht gehen.

 

Gruß

 

qmaestroq

[grizzly999 11]

Sieht mir nach einem MTU-Problem aus.

Spiele auf dem Zielserver und dem ISA Server den Registry Key ein aus Punkt "Method 1: Enable Path Maximum Transfer Unit (PMTU) black hole detection" ein:

Recommended TCP/IP settings for WAN links with a MTU size of less than 576

 

Danach neu starten

 

 

grizzly999

[PathFinder 10]

Hallo, danke für eure Antworten.

 

Zur Firewall:

 

Der Kunde hat eine schnöde AVM FritzBox, aber da ich eine VPN von meinem Client, durch unseren ISA, durch die FritzBox zum Server des Kunden aufbaue und auch auf den Server zugreifen kann (Windows Explorer) ist es ja keine Frage der Port Freigabe beim Kunden da ich ja durch den VPN Tunnel komme ??

 

@grizzly999

 

In dem ISA stecken einige Netzwerkkarten und es steckten auch mal einige in ihm wie finde ich heraus welche ID zu welcher NIC gehört ? und wie sollte die MTU Größe eingestellt werden ? Kann es wirklich sein das das Problem dort liegt obwohl aller anderer Netzwerkverkehr tadelos funktioniert ?

 

Danke für eure Hilfe ! der Path

[grizzly999 11]

Wenn du die Method1 aufmerksam liest, stellst du fest, dass dieser Key direkt in den Parameters-Teilschlüssel eingetragen wird und damit für alle Karten gilt ;)

 

 

grizzly999

[asot00 10]

Also ich hatte schon mal so ein Problem. Nach nem Neustart der Firewall lief alles wieder.

[PathFinder 10]

Hallo Boardgemeinde,

 

Hallo grizzly =)

 

Hab versucht was du vorgeschlagen hast doch leider ohne Erfolg. wenn ich das richtig verstanden habe, dann sorgt der Eintrag für die PMTU Blackhole Discovery dafür das Datenpacke so übermittelt werden das sie nicht fragmentiert werden müssen ?

 

Hab den Eintrag auf beiden Servern hinzugefügt und neu gestartet.

 

Wichtig ist ja das der Eintrag auf den "Routern" vergenommen wird, sprich auf unserem ISA über den ich route und auf dem SBS des Kunden auf dem ich mich per VPN Einwähle.

 

Das vor unserem ISA noch eine Fritzbox klemmt und vor dem SBS des Kunden auch ist doch nicht schlimm oder ?

 

Probiere ich die VPN Verbindung von zu Hause und wähle mich per RDP zum Kunden funkt das super.

 

Nur durch unseren ISA nicht =/

 

noch eine Idee ?

 

liebe Grüße, der Path

[grizzly999 11]

Hast du mal den Verbindungsaufbau bis zum Abbruch und der Fehlermeldung auf dem Client mitgesnifft? Tue das mal ...

 

 

grizzly999

[PathFinder 10]

Das sniffen bringt mich leider nicht wirklich weiter habe ich auch schon versucht.

 

Aber:

 

Wenn ich den Firewall Client ausschalte funktioniert es tadellos !

 

kA warum es letztens nicht ging das mag noch etwas anderes gewesen sein.

 

Damit lautet die konkrete Frage nun:

 

Warum verhindert der ISA Firewall Client RDP über VPN ???

 

Danke für eure Hilfe

[PathFinder 10]

Hat noch jemand eine Idee ?

 

Behelfen kann ich mir nun aber es wurmt mich schon.

 

Eine Verständnisfrage an dieser Stelle.

 

Wenn ich eine VPN von meinem Client durch unseren ISA zum Kundenserver aufbaue. Ist dann im VPN Tunnel alles erlaubt ? Kann der ISA da eingreifen ? Ist dafür unteranderem der FW-Client ?

 

Sry für die dummen Fragen, aber ich hoffe es kann mir jemand helfen =)

[grizzly999 11]

Warum verhindert der ISA Firewall Client RDP über VPN ???

Weiß ich nicht, tut bei uns einwandfrei. Aber bei tieferen muss man das ganze in der Gesamtheit der Konfiguration, Regeln usw. usw. sehen. Deshlab ist von hier aus keine Aussage zu treffen ....

 

Wenn ich eine VPN von meinem Client durch unseren ISA zum Kundenserver aufbaue. Ist dann im VPN Tunnel alles erlaubt ?

Im Normalfall schon.

 

Kann der ISA da eingreifen ?

nein, das wäre VPN ad absurdum geführt.

 

Ist dafür unteranderem der FW-Client ?

Nein, der kommt da gar nicht ins Spiel, der greift sich nur TCP- und UDP-Verkehr. VPN-Verkehr ist keiens von beiden. Da brauchts auch einen Secure NAT Client

 

 

grizzly99

[PathFinder 10]

Jetzt habe ich das selbe Problem schon wieder, hatte es damals unter ISA 2006 aber nicht mehr weiter verfolgt.

 

Jetzt mit TMG 2010 will ich mal den Firewall Client umfangreich nutzen und siehe da, ein bisschen gegoogelt und mein eigenes Post von 2008 ist gleich der erste Hit bei Google ^^

 

Problem ist wie gehabt sobal der TMG Firewall Client läuft (Nicht das Tray-Icon der Dienst!!) Ist der Aufbau einer VPN möglich. PING möglich, Dateisystemzugriff auf dem gegenüberligenden System möglich, nur vermeintlich kein RDP!

 

Schalte ich den Firewall Client ab geht es wieder.

 

Der Firewall Client greift TCP und UDP Datenverkehr ab und leitet diesen zum ISA / TMG Server weiter, deshalb geht PING und Dateizugriff aber kein RDP.

 

Unter "C:\ProgramData\Microsoft\Firewall Client 2004" die "LocalLAT.txt"

editieren oder anlegen wenn noch nicht vorhanden und hier die Netzwerkbereich ausschließen die vom Firewall Client umgangen werden sollen.

 

Bei mir sieht das jetzt so aus weil 192.168.130.0-255 und 192.168.135.0-255 interne Netze von uns sind.

 

192.168.1.0 - 192.168.129.255

192.168.131.0 - 192.168.134.255

192.168.136.0 - 192.168.255.255

 

Dadurch wird Datenverkehr der an diese Netzwerkbereiche gesendet wird nicht durch den Firewall Client in die flasche Richtung geschickt.

 

Dienst neustarten!

 

Konfigurieren der Einstellungen für den Forefront TMG-Client zum Auflösen von lokalen Anforderungen

Bypassing the Firewall Client using Locallat.txt File

 

ich hoffe das hilft nochmal jemandem und schließt diesen Thread mit einer Lösung ab.

 

der Path