VPN L2TP/IPSec mit Router möglich?

[chief-mike 10]

Hallo zusammen!

 

Ich möchte meinen Small Business Server 2000 von PPTP aus L2TP/IPSec umstellen. Jetzt habe ich gelesen, dass es da evtl. Probleme mit einem NAT geben kann. Ist ein Port Forwarding denn auch wie ein NAT anzusehen? Gibt es Mittel und Wege das Problem mit 2000 zu lösen oder bleibt mir nur der Wechsel auf Windows 2003?

 

Viele Grüße!

 

Michael

[Perin 10]

Hi chief-mike,

 

L2TP und NAT schliessen sich bei Win2000 aus.

 

cu,

 

Perin

[grizzly999 11]

Original geschrieben von Perin

Hi chief-mike,

 

L2TP und NAT schliessen sich bei Win2000 aus.

 

cu,

 

Perin

Nein, das war mal so, inzwischen gibt es einen Patch, der auch Windows 2000 NAT-fähig macht ;)

http://support.microsoft.com/default.aspx?scid=kb;en-us;818043&Product=win2000

 

grizzly999

[chief-mike 10]

Ich meinte eigentlich die Serverseite....

 

Gruß Michael

[heavy.t 10]

Bei einer L2TP/IPSec Verbindung kann es mit NAT probleme geben, wenn ein Router oder eine zweistufige Firewall eingesetzt wird. Mein Problem war:

Die Linux-Firewall leitete die zu übertragenden Datenpakete der VPN-Verbindung unvollständig bzw. nicht korrekt weiter, somit konnte die VPN-Verbindung nicht aufgebaut werden. In der Log-Datei des Remote-ISA-VPN-Servers konnte man geblockte Pakete mit dem Typ „Malformed“ feststellen. Dies war auch der Grund, warum der Remote-ISA-VPN-Server die Pakete ablehnte. Weiterhin konnte man mit dem Tool Ethereal mehrfach ein „segment lost“ eines Paketes feststellen. Somit musste ich die Linux-Firewall durch einen MS ISA Server tauschen, dann gab's keine Probleme!

 

NAT= NAT (Network Address Translation) ist in Computernetzwerken ein Verfahren, bei dem private IP-Adressen auf öffentliche IP-Adressen abgebildet werden. Werden auch die Port-Nummern umgeschrieben spricht man dabei von maskieren oder PAT (Port Address Translation).

 

Portforwarding= Auf einem Router wird Portforwarding aktiviert, um Datenpakete vom einen Netz in das andere Netz zu forwarden.

((engl. Portweiterleitung) erlaubt es Verbindungen über frei wählbare Ports zu Computern innerhalb eines Netzes weiterzuleiten. Die eingehenden Datenpakete werden hierbei per Destination NAT und die ausgehenden Pakete per Source NAT maskiert, um sie an den anderen Rechner weiterzuleiten bzw. den Anschein zu erwecken die ausgehenden Pakete kämen von dem Computer, der das Portforwarding betreibt.)

 

Beachten bei NAT: Auf dem Client muss das Windows-NAT-T-Update (Microsoft Knowldege Base Artikel 818043) installiert werden. Dieses Update verpackt die zu sendenden Pakete nochmals in ein neues IP-Paket (Encapsulation), damit die eigentlichen Pakete unverändert transportiert werden.

 

hofe, ich konnte weiterhelfen...

 

grüße Heavy.t

[heavy.t 10]

Original geschrieben von chief-mike

Hallo zusammen!

 

Ich möchte meinen Small Business Server 2000 von PPTP aus L2TP/IPSec umstellen. Jetzt habe ich gelesen, dass es da evtl. Probleme mit einem NAT geben kann. Ist ein Port Forwarding denn auch wie ein NAT anzusehen? Gibt es Mittel und Wege das Problem mit 2000 zu lösen oder bleibt mir nur der Wechsel auf Windows 2003?

 

Viele Grüße!

 

Michael

 

was soll denn ein Wechsel von 2000 auf 2003 bewirken?

[chief-mike 10]

Ich meine von der Serverseite her.... Ich möchte den VPN-Server über das Portforwarding ansprechen.

 

Ich habe irgendwo gelesen, dass es für den Windows 2000-Server kein Update für das NAT-T gibt. Bei 2003 gibt es das ja standardmäßig (soweit ich weiß).

[heavy.t 10]

Win2003 und win2000 bringen das meins Erachtens beide von Haus aus mit!

 

greetz

[chief-mike 10]

Schön wärs gewesen....

 

Auf der Seite für das NAT-T Clientupdate steht es ganz deutlich drauf, dass man dieses Update zwar auch auf einem Windows 2000 Server ausführen kann, er dann aber nur noch als IPSec-Client fungiert.

 

Ich werde am Wochenende auf Small Business Server 2003 Premium umstellen. Damit sollten die Probleme dann weg sein...

 

Vielen Dank für eure ganzen Antworten!

[grizzly999 11]

Win2003 und win2000 bringen das meins Erachtens beide von Haus aus mit!

Ist mir aber neu, das mit dem 2000

 

@chief-mike: Ja, ist nur für den Client. Daher besser: 2003

 

grizzly999