VPN Problem

[katze78 11]

hallo zusammen

bin daran mal eine vpn verbindung aufzubauen als test

 

ich bleibe stecken bei "Fehler 721: Der Remotecomputer antwortet nicht"

Die Autenthifizierung habt er gemacht. sprich, er hat es mir wenigestens so angegeben, und dann kam diese meldung.

er hat mir aber nicht bestätigt, das der benutzername/passwort falsch ist.

 

was kann der Fehler sein.

danke für eure antwort.

 

 

 

folgende infos über meine systeme:

 

hostsystem: win srv 2003 sp2

router: netopia 3397GPB

Portweiterleitung: TCP 1723 UDP 1701, so wie es beschrieben ist bei microsoft.

Clientsystem: win XP pro

[IThome 10]

Baust Du PPTP oder L2TP/IPSec Verbindungen auf ? Bei PPTP muss GRE durchgeleitet werden (IP-Protokoll 47 bzw. PPTP-Passthrough, VPN-Passthrough oder wie auch immer das bei dem Router heissen mag). Im Falle von L2TP/IPsec die Ports UDP 4500 und UDP 500, UDP 1701 in der Regel nicht (ausser wenn Du nur L2TP benutzt oder der RRAS auch NAT macht, dann auf dem RRAS). Weiterhin muss auf dem Client ein Regkey gesetzt sein ("AssumeUDPEncapsulationContextOnSendRule") ...

[katze78 11]

eigentlich habe ich zuerst mit pptp es aufgebaut.

nun habe ich beim lient l2tp aussgewählt und die entsprechenden ports auf router umgeleitet.

nun bekomme ich ein Fehler 789

Der l2tp verbindungsversuch ist fehlgeschlagen, während der ersten sicherheitsaushandlung mit remote.

 

was soll das nun heissen?

muss ich auf server auch was ändern?

[IThome 10]

Bei L2TP/IPSEC benötigst Du UDP 500 und UDP 4500, den Regkey auf dem Client auf 1 oder 2, einen Preshared Key (konfiguriert auf dem Client und dem RRAS) oder Zertifikate. Für PPTP benötigst Du TCP 1723 und GRE ... Wenn Du lieber PPTP benutzen möchtest, dann muss der Router mit der GRE Durchleitung klar kommen ...

Funktioniert der Verbindungsaufbau, wenn sich der Client im Netz des RRAS befindet ?

[katze78 11]

wo finde ich den regkey

mir ist egal ob pptp oder l2tp, haupt sache ich kann mal das vpn testen von windows, welches standardmässig integriert ist

[grizzly999 11]

IThome meint den hier in Bezug auf L2TP/IPSec und NAT(gilt aber nur für XP mit SP2 ):

The default behavior of IPsec NAT traversal (NAT-T) is changed in Windows XP Service Pack 2

 

Der gilt aber nicht für XP mit SP1, da brauchts einen Hotfix, den man separat über den Windows Catalog herunterladen muss (kein Windows Update!): L2TP/IPsec NAT-T update for Windows XP and Windows 2000

 

Was IThone auch vergesseb hat zu schreiben, aber ich weiß, dass er es weiß ;), bei IPSec muss der Router neben UDP 500 und UDP 4500 auch ESP-Pakete (Protokollkennung 50) weiterleiten können.

grizzly999

[IThome 10]

Hey Grizzly,

 

warum eigentlich bei einem NAT ? Wenn kein NAT vorhanden ist, ist das eigentlich klar (naja, dann gibt´s ja auch kein Portforwarding), aber wenn ein NAT vorhanden ist, wird in der Phase 1 auf UDP 4500 umgeschaltet und sämtliche IPSec-Pakete werden in solchen Paketen gekapselt. Im Grunde sieht der Router ja nur IKE Pakete beim initialen Verbindungsaufbau, danach nur noch NAT-T Pakete. Ich musste bisher (im Falle von IPSec oder L2TP/IPSec) bei noch keinem Router, der zu einem internen VPN-Server weitergeleitet hat, explizit ESP angeben oder irgendein Passthrough einschalten.

 

Gruss

 

Sven