Windows Server Routing und Ras VPN mit IPSec - VPN Clients per Ping nicht erreichbar

[RobyTheHood 10]

Hallo zusammen,

ich setze einen Routing und Ras VPN mit IPSec auf Windows Server 2012r2, NAT ist auch aktiviert.

Interne LAN Adress Bereich xxx.xxx.50.0/24

DC DNS Server xxx.xxx.50.183
Bereich für VPN Clients xxx.xxx.11.64/26 (11.65 bis 11.126 benutzbar - 64 bis 127 in Container)
VPN Routing und Ras Server auf xxx.xxx.50.185 Konfiguriert auf Ethernet2.
Dazwischen ein PFSense Firewall, Regeln angepasst Port 4500 500, IPSec L2PT, xxx.xxx.50.0/24 mit xxx.xxx.11.64/26 und umgekehrter Trafik weitergeleitet.
Soweit so gut alles funktioniert, VPN Clients xxx.xxx.11.64/26 loggen Sie sich per VPN IPSec an Domäne, Netzordner, Netzdrucker usw. benutzen wie gewohnt.
VPN Clients auf xxx.xxx.11.64/26 können Einwandfrei PCs oder Servern auf xxx.xxx.50.0/24 anpingen, nur von xxx.xxx.50.0/24 auf xxx.xxx.11.64/26 wird's nicht.
Routing und Ras Server kann in beiden Richtungen pingen.
Windows Firewall geprüft, auch ausgeschaltet, Externe Firewall sogar mit ICMP freigeschaltet, brachte keine Hilfe.
Ping ist wichtig um Programme per Remote zu installieren., sonst wird nicht

Eine DNS Reverselookupzone xxx.xxx.11.64/26 hab ich auf DC DNS Server xxx.xxx.50.183 eingerichtet, auf VPN Clients in VPN Einstellung DNS xxx.xxx.50.183 und zusätzlich DNS Suffix angehakt, Verbindung steht ganz gut, wird in DNS Reverselookupzone eingetragen.
trotzdem ich kann immer noch nicht einen VPN Client anpingen.

hat jemand Erfahrung damit? wo ist der Fehler?
Für jeder Hilfe wäre ich sehr Dankbar sein...

bearbeitet 21. April 2020 von RobyTheHood

[magheinz 110]

Machst du das zum lernen oder für ein Produktivsystem? 

[RobyTheHood 10]

hi  Mag, wäre Dienstlich...

[XP-Fan 217]

Hi,

 

wenn die Clients im Netzwerk 50.x das 11.x suchen wenden diese sich an das default Gateway das wohl das 11.x nicht kennt.

 

- Wäre der IPSEC Tunnel ( oder SSL VPN ) auf dem Gateway keine Option?

 

Probiere mal eine Route auf einem Client 50.x mit dem Ziel 11.x über den RAS Server laufen zu lassen.

[RobyTheHood 10]

Hi XP-Fan

- Wäre der IPSEC Tunnel ( oder SSL VPN ) auf dem Gateway keine Option?

wo soll ich suchen? Ras Server oder Client?

-Probiere mal eine Route auf einem Client 50.x mit dem Ziel 11.x über den RAS Server laufen zu lassen.

wenn du eine Statische Route meinst,  habe ich mehrmals ausprobiert 

xxx.11.0 mask 255.255.255.0 xxx.50.183  185 254

xxx.11.0 mask 255.255.255.255 xxx.50.183  185 254

xxx.11.0 mask 255.255.255.192 xxx.50.183  185 254

 

 

wenn ich auf NAT die Funktion für Ethernet 2 auf "An ein Privates Netzwek angeschlossesne, Private schnistelle" einschalte, Ping auf 11.x funktioniert, aber die VPN Client können nicht mehr auf Domäne ressources zugreifen.

 

 

bearbeitet 21. April 2020 von RobyTheHood

[Nobbyaushb 1.471]

Moin,

das wirst du nicht hören wollen, aber ich würde eine Firewall kaufen oder Open-Source auf Linux verwenden.

 

Windows Server ist kein guter Router und wird selbst von preiswerten Geräten locker in die Tasche gesteckt.

Der Server ist ja auch nicht kostenlos (wobei - kommt drauf an...) und man bedenkte die Kosten, die deine Arbeit ja auch verusacht (zumindest muss man das rechnen...)

 

Wenn es was aus DE sein soll, Securepoint - sonst Sophos, WatchGuard, Palo Alto, Cisco - die Liste ist lang...

 

My2Cents

[XP-Fan 217]

vor 2 Stunden schrieb RobyTheHood:

Hi XP-Fan

- Wäre der IPSEC Tunnel ( oder SSL VPN ) auf dem Gateway keine Option?

wo soll ich suchen? Ras Server oder Client?

 

 

 

 

Hi,

 

streiche Windows RAS Server und nutze die Firewall für die VPN Clients direkt.

[magheinz 110]

vor 4 Stunden schrieb RobyTheHood:

hi  Mag, wäre Dienstlich...

Will man für diese Aufgabe wirklich Windows nutzen?

[RobyTheHood 10]

vor 6 Stunden schrieb magheinz:

Will man für diese Aufgabe wirklich Windows nutzen?

hi mag, ich habe PFSense IPSec ausprobiert, ist auch ziemlich kompliziert...

[testperson 1.675]

Hi,

 

da alle auf Windows VPN eindreschen will ich doch glatt mitmachen. Es sei denn es handelt sich um DirectAccess. :) Allerdings würde ich eher auf Always On VPN mit (/ oder komplett auf) 3rd Party setzen.

 

Gruß

Jan

[XP-Fan 217]

Hallo,

 

schau mal hier, da ist ein howto für SSL VPN Einrichtung PFSense Firewall.

PFSense SSL VPN einrichten

[RobyTheHood 10]

vor 3 Stunden schrieb XP-Fan:

Hallo,

 

schau mal hier, da ist ein howto für SSL VPN Einrichtung PFSense Firewall.

PFSense SSL VPN einrichten

danke für den Tip, Open VPN, was nutzt für ein Protokoll? lässt sich dann per Windows VPN Client auch nutzen?

 

[Nobbyaushb 1.471]

vor 55 Minuten schrieb RobyTheHood:

danke für den Tip, Open VPN, was nutzt für ein Protokoll? lässt sich dann per Windows VPN Client auch nutzen?

bestimmt, unsere Securepoint VPN nutzt auch OpenVPN drunter.