VPN über RAS funktioniert nicht

[zachi_d 10]

Hallo!

 

Ich hab mir letztens nen Windows Server 2003 eingerichtet. Läuft auch schön nur das VPN von meinem Vater geht nicht.

Ich erklär mal wie das geht:

Also, mein Vater hat vom Betrieb her nen VPN Client bekommen und soll/will ab und zu auf den Firmenrechnern von Zuhause arbeiten können. Kurzform: VPN Client will über meinen Server zum VPN Server verbinden ;)

 

RAS hab ich nach anfänglichen Schwierigkeiten ans laufen bekommen. Es kommen nun alle Rechner Problemlos ins Internet, ABER der VPN Client connected nicht! *grml*

Woran liegt das? muss man da irgendwo statische Routen setzen oder dem Server sagen das ein bestimmter Rechner über VPN ins Netz will?

Ich hoffe es findet sich jemand der mir helfen kann :)

 

 

Wenn noch fragen sind, stellt sie...

[Sascha1971 10]

n'Abend!

 

Verstehe ich richtig, Euer W2k Server soll über RRAS einen Client (Vater) mit einem Firmen VPN verbinden? Also ist der W2k ein besserer Router?

 

VPN ist immer so ne Sache. Welches Protokoll setzt der Client ein? PPTP oder IPSec? Macht Euer W2k Router NAT? Dann kann es schon Probleme geben mit IPSec. Auch PPTP ist nicht immer problemlos?

 

Welcher VPN ist das denn?

 

Sascha

[zachi_d 10]

Du hast es genau getroffen! Der Server soll ein besserer Router sein ;) die ****** SMC dinger *****n bei mir ständig ab und jetzt wieder nen neuen kaufen ist mir zu teuer... egal.

 

-> Laut den IT Menschen benutzt das VPN IPSec.

-> soweit ich das als 'Anfänger' überblicken kann macht der Server auch NAT. Ich hab da einfach mal den Assistenten bemüht und dem gesagt das ich VPN und NAT machen will :cool:

-> Die Benutzen da den 'Mobile User VPN' da steht auch noch was von 'SafeNet Soft Remote 6.1.3 (Build 2)' und das des von Watch Guard Technologies Inc. ist.

 

 

P.S.: VPN is der größte Dreck, hab damit nur Probleme bis das mal läuft :mad:

[SIT-MAN 10]

Hallo,

 

also generell ist VPN schon eine schöne Sache. Wir nutzen allerdings das Bordmittel VPN-Router von Windows über eine BinTec X1200. Mit DynDNS kann man da ganz tolle Sachen machen. Nur hilft Dir das jetzt wohl wenig weiter.

 

Ich gehe mal davon aus, dass die VPN-Anbindung Firmenseitig läuft und andere Clients "rein" kommen. Prinzipiell muss Firmenseitig der Port 1723 aufgemacht werden. Ob Du das in Deinem "W2K3-Router" auch machen musst kann ich leider nicht sagen. Beim X1200 Router muss ich das zumindest auch ausgehend regeln.

 

Hast Du evtl. einen Vergleichs-Client um die VPN-Settings in der Connector-Software mal zu prüfen?

 

Gruß,

Bernd

[Sascha1971 10]

@SIT-MAN

 

1723 ist PPTP nicht IPSEC (500 & 1701).

 

@zachi_d

 

Kann es sein, dass Du dem Wizard gesagt hast, dass Du einkommendes VPN machen möchten (also einen VPN Server)?

 

Mit dem Watchguard Client bin ich gerade am testen für ein Projekt, hoffe selbst das da ein Tunnel möglich ist.

 

Sascha

[zachi_d 10]

@ Sit-man: du hast das richtig geblickt. der Server steht in der Firma :)

Die VPN client settings sind alle ok. Ich bekomme mit meinem SMC router (wenn der mal nicht abgestürzt ist) eine verbindung zum VPN Server, aber den Router will ich ja mit dem Server ersetzen...

 

 

@Sascha1971: Kann schon sein, das ich dem das gesagt hab. Ich kenn mich da kaum aus. Ist mein erster Versuch nen Server aufzusetzen. Ich hab die 3. oder 4. Auswahlmöglichkeit von oben ausgewählt ( in dem Wizzard) wenn dir das hilft.

 

 

Wenn ich möglicherweise diese Ports freischalten muss wo und wie mach ich das??

Habt Ihr noch andere Ideen woran es liegen könnte?

[zachi_d 10]

ich hab grad noch gesehen das dieser Client mit dem L2TP Protokoll arbeitet.... weiß zwar (noch) nicht was das heißt aber vielleicht inspiriert diese Info jemanden zu einer Lösung :D

[grizzly999 11]

Wenn sich dein Vater nicht direkt mit seinem L2TP VPN-Client mit dem VPN-Server über die Firma verbindet, sondern über deinen Server als Router (mit NAT?), oder wenn nicht über den dann zumindest über den Barricade, der zum Internet hin NAT macht, dann wird das nichts mit L2TP.

Die einzige Möglihkeit wäre, den neuen VPN Client von Microsoft zuinstallieren, der NAT-T fähig ist, der 2003 Server unterstützt das auch, aber der Barricade, und erst der VPN Server? Da habe ich so meine Zweifel und sage mal lieber: das geht so nicht. L2TP und NAT in der jetzigen Form funktioniert nicht zusammen und das ist das,w as du gerade feststellst.

 

grizzly999

[zachi_d 10]

@grizzly999: Du hast das flasch verstanden. Router und Server sollen NICHT gleichzeitig laufen. Ich will den Router durch den Server ersetzen.

Das verbindungsschema schaut so aus:

 

PC mit VPN Client -----> SERVER----->INTERNET------>VPN Server in Firma

 

 

das mit dem router hab ich nur gesagt um zu bestätigen das es nur am Server liegt und nicht an den VPN Client einstellungen!

;)

 

 

 

Hab grad nochwas gespielt und gesehen das im RAS Server unter 'Ports' massenweise VPN Ports eingestellt sind... aber gehen tut trotzdem nix.

Aso, nochwas interessantes: Wenn ich den diesen Security Policy Kram aktiviere ist mein Netzwerk tot! ich kann nichtmal meinen Server mehr pingen. Daran kann es natürlich liegen das der nix mehr findet, der Server ist ja schließlich der Gateway....

 

Was muss ich denn nun tun um das VPN über den Server laufen zu lassen? muss da ein DNS Server aufgesetzt werden? oder Ports freigeschaltet? oder sonstwas gemacht werden???

[zachi_d 10]

OK, vergesst mal alles was ich bis jetzt geschrieben habe :D

 

Ich hab das Problem eingegrenzt und denke das ich nun weiß woran es liegt!

Folgendes:

Der VPN Client hat die Adresse des VPN Servers der Firma. Das intelligente ist nun das diese Adresse nur vom Nameserver der Firma aufgelöst werden kann weil das der einzige DNS ist der die IP zu dem Namen kennt.

Der DNS Server der Firma ist in den Netzwerkeinstellungen des VPN Client PCs angegeben, aber die Auflösung klappt nicht!

 

Wie oben schon erwähnt funzt das ganze mit meinem alten SMC Router einwandfrei. Was kann der SMC Router, was mein ****** 2003 Server nicht kann ????

[grizzly999 11]

Meine persönliche Meinung: das Ganze ist etwas zu kompliziert, als dass man es hier einfach so lösen könnte. Warum es mit deinem "alten" Router geht, weiß ich nicht, und ist auch mir angesichts den uns vorliegenden Fakten ein großes Rätsel, denn erstens macht der SMC mit Sicherheit NAT bei den ins Internet gehenden Paketen, und NAT und IPSec zusammen funktionieren definitiv nicht (nur das ganz neu spezifizierte NAT-T), zweitens, wenn es sich mit der Namensauflösung so verhält, wie du sagst, dann würde das mit deinem SMC auch nicht funktionieren.

Ergo: entweder du hast falsche Informationen, oder du hast nicht vollständige Informationen, oder du hast beides. Auf jeden Fall, in Hinsicht der Hilfestellung hier im Board hast du Zweiteres von beiden. Und damit geht halt nix, außer im Nebel rumgestochere, aber damit ist niemandem geholfen und da werde ich mich auch nicht mehr beteiligen, da ist mir ehrlich gesagt meine Zeit zu Schade.

 

Mein Vorschlag an dich: mit deinem alten SMC geht es. Dann mache es doch mit dem alten SMC ;)

 

grizzly999

[zachi_d 10]

die ganzen SMC Schrott router stürzen leider bei mir immer ab und SMC weiß keinen Rat. Deshalb will ich ja auf den Server umsteigen.

 

 

Aber deine Aussage das NAt mit IPSec nicht harmoniert hat mich inspiriert und ich habe ein wenig bei SMC gestöbert. Die Jungs arbeiten bei Ihren Routern auch mit NAT allerdings haben die eine Technik die sich 'Pass Thru' nennt. Mit dieser Technik funktioniert IPSec mit NAT. Nur weiß ich (noch) nicht wie ich das meinem lieben Server beibringen kann ;)

 

Hat zufällig jemand weitergehende Infos zu NAT mit Pass Thru auf Windows Servern?

[CaIvin 10]

hab den gesamten Thread gelesen, fast alles wieder vergessen, denn Du sagst daß es wohl an der Adress-Auflösung liegt.

Was ich Dir vorschlage ist folgendes:

Dein w2k3-server macht DNS, ich nehme an er leitet die Anfragen weiter an andere DNS-Server! Also laß ihn doch einfach weiterleiten an den Server in der Firma!

 

Greetz CaIvin

 

PS: Ich glaub aber daß Du einfach mal die Ports durchstöbern solltest! Denn wenn der SMC einfach alles weiter routet, ohne Begrenzungen und Dein Server da vielleicht Abstriche macht und/oder einige Ports für sich selbst verwendet ... Nunja.

Auf jeden Fall wünsch ich Dir viel Erfolg, ich setz auch noch heute Abend meinen Server auf, allerdings für ADS. Hatte mal einen 2k-Server der mir das Routing gemacht hat. Damals hatte alles geklappt: Mail, ICQ, HTTP .... war wie ein normaler Router (zwar nichts mit IPsec aber immerhin ;))!