VPN-Server auf Server 2008 einrichten, ich bekomme es einfach nicht hin

[toasti 11]

Hallo zusammen,

 

wieder lerne ich für meine nächste Prüfung (70-642) und bin grad dabei einen VPN-Server einzurichten.

 

Rolle "Netzwerkrichtlinien- und Zugriffsdienste" inkl. NPS und Routing und RAS sind installiert.

 

Den VPN-Server habe ich nach Anleitung im MS-Press Buch zur 70-642 eingerichtet. Habe es mit einer NIC, wie auch mit 2 ausprobiert, beides Mal kommen folgende Fehler:

 

Eventlog-Server:

 

Protokollname: System
Quelle:        RemoteAccess
Datum:         03.05.2011 21:27:56
Ereignis-ID:   20258
Aufgabenkategorie:Keine
Ebene:         Warnung
Schlüsselwörter:Klassisch
Benutzer:      Nicht zutreffend
Computer:      DCSRV1.nwtraders.msft
Beschreibung:
CoID={075A8603-4CFD-4F94-AB46-496C53BCBE7C}: Das Konto für Benutzer \NWTRADERS\vpnuser (verbunden über Port VPN2-127) hat keine Remotezugriffsberechtigung. Die Verbindung wurde getrennt.
Ereignis-XML:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
 <System>
   <Provider Name="RemoteAccess" />
   <EventID Qualifiers="0">20258</EventID>
   <Level>3</Level>
   <Task>0</Task>
   <Keywords>0x80000000000000</Keywords>
   <TimeCreated SystemTime="2011-05-03T19:27:56.000Z" />
   <EventRecordID>48987</EventRecordID>
   <Channel>System</Channel>
   <Computer>DCSRV1.nwtraders.msft</Computer>
   <Security />
 </System>
 <EventData>
   <Data>{075A8603-4CFD-4F94-AB46-496C53BCBE7C}</Data>
   <Data>
   </Data>
   <Data>NWTRADERS\vpnuser</Data>
   <Data>VPN2-127</Data>
 </EventData>
</Event>

 

Protokollname: System
Quelle:        RemoteAccess
Datum:         03.05.2011 21:27:56
Ereignis-ID:   20271
Aufgabenkategorie:Keine
Ebene:         Warnung
Schlüsselwörter:Klassisch
Benutzer:      Nicht zutreffend
Computer:      DCSRV1.nwtraders.msft
Beschreibung:
CoID={075A8603-4CFD-4F94-AB46-496C53BCBE7C}: Der Benutzer NWTRADERS\vpnuser, der eine Verbindung mit 192.168.0.81 hergestellt hat, konnte sich aus folgendem Grund nicht authentifizieren: Die Verbindung wurde durch eine auf dem RAS/VPN-Server konfigurierte Richtlinie verhindert. Insbesondere stimmt möglicherweise die vom Server zum Überprüfen des Benutzernamens und des Kennworts verwendete Authentifizierungsmethode nicht mit der Authentifizierungsmethode überein, die in Ihrem Verbindungsprofil konfiguriert ist. Wenden Sie sich an den Administrator des RAS-Servers, um diesen Fehler zu melden.
Ereignis-XML:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
 <System>
   <Provider Name="RemoteAccess" />
   <EventID Qualifiers="0">20271</EventID>
   <Level>3</Level>
   <Task>0</Task>
   <Keywords>0x80000000000000</Keywords>
   <TimeCreated SystemTime="2011-05-03T19:27:56.000Z" />
   <EventRecordID>48986</EventRecordID>
   <Channel>System</Channel>
   <Computer>DCSRV1.nwtraders.msft</Computer>
   <Security />
 </System>
 <EventData>
   <Data>{075A8603-4CFD-4F94-AB46-496C53BCBE7C}</Data>
   <Data>NWTRADERS\vpnuser</Data>
   <Data>192.168.0.81</Data>
   <Data>Die Verbindung wurde durch eine auf dem RAS/VPN-Server konfigurierte Richtlinie verhindert. Insbesondere stimmt möglicherweise die vom Server zum Überprüfen des Benutzernamens und des Kennworts verwendete Authentifizierungsmethode nicht mit der Authentifizierungsmethode überein, die in Ihrem Verbindungsprofil konfiguriert ist. Wenden Sie sich an den Administrator des RAS-Servers, um diesen Fehler zu melden.</Data>
   <Binary>2C030000</Binary>
 </EventData>
</Event>

 

 

Auf dem Client:

 

 

Bin jetzt schon seit Tagen dran und komme einfach nicht weiter.

Irgendwas passt wohl nicht mit der Authentifizierung, aber nur was?

 

Hoffe, mir kann jemand helfen! :(

 

 

Herzlichen Dank!

 

Grüße

toasti

[Sunny61 812]

In der zweiten Fehlermeldung steht es recht deutlich:

Die Verbindung wurde durch eine auf dem RAS/VPN-Server konfigurierte Richtlinie verhindert. Insbesondere stimmt möglicherweise die vom Server zum Überprüfen des Benutzernamens und des Kennworts verwendete Authentifizierungsmethode nicht mit der Authentifizierungsmethode überein, die in Ihrem Verbindungsprofil konfiguriert ist. Wenden Sie sich an den Administrator des RAS-Servers, um diesen Fehler zu melden.

 

Wie genau sieht die Richtlinie auf dem VPN Server aus? Mach mal Screenshots davon und lades sie hoch.

[toasti 11]

Hi Sunny,

 

soeben habe ich es hinbekommen, es lag an der Richtlinie :D

 

Weil ich schon so viel ausprobiert habe, versuche ich mir grad klar zu werden, was genau gefehlt hat.

 

Ich habe eine Netzwerkrichtlinie, in der habe ich festgelegt, dass eine bestimmte Gruppe sich verbinden darf.

Als Authentifizierungsmethode habe ich hier EAP-MSCHAP v2 eingestellt und die unten drunter nochmal die Haken für MS-CHAP-v2 und MS-CHAP gesetzt.

 

Dann habe ich eine Verbindungsanforderungsrichtlinie in der ebenfalls EAP-MSCHAP v2 eingestellt ist.

Und genau hier lag glaube ich der Knackpunkt (aber sicher bin ich mir nicht mehr mit dem ganzen Ausprobieren...).

Hatte den Haken bei der Authentifizierungsmethode nicht gesetzt:

 

 

Eins ist mir aber nicht ganz klar.

 

Warum brauche ich beide Richtlinien, reicht nicht eine aus? Und warum setze ich die Netzwerkrichtlinien-Auth-Einstellungen außer Kraft und dann funktioniert es??

 

 

EDIT: Grad in der Hilfe gefunden:

Wenn Sie den Netzwerkzugriffsschutz (NAP) mithilfe der VPN- oder 802.1x-Erzwingungsmethoden mit der PEAP-Authentifizierung bereitstellen, müssen Sie die PEAP-Authentifizierung in Verbindungsanforderungsrichtlinie konfigurieren, selbst wenn Verbindungsanforderungen lokale verarbeitet werden.

 

hmmm??

 

EDIT2: Ah ok, die Verbindungsanforderungsrichtlinie ist für die reine Verbindung zum Server, die Netzwerkrichtlinie sagt aus WER sich z.B. verbinden darf. Z.B. eine bestimmte Gruppe, ist das richtig?