Kein VPN durch den Router

[headake 10]

Hi erstmal,

 

endlich hab ich mal nen thread mit dem selben Prob gefunden :)

 

Ich bin auch dabei eine RAS-Verbindung via VPN aufzubauen, allerdings ist meine Konstellation noch etwas anders. So schauts bei mir aus:

 

Server - Windows 2000 SmallBusinessServer SP3 (2 NIC mit IP Breich x.x.1.x und x.x.2.x [local]; Domain local.net / local)

 

Client - Windows 2000 Prof. SP3 (Verbindung zu server via iNet[VPN])

 

Internetzugang über Firewallserver an Standleitung T3

 

 

Lokal kann ich mich sowohl über vpn anmelden als auch über den Terminaldienst.

Ich bin allerdings etwas verwirrt was die bereitstellung von VPN fürs WAN angeht. Hab mir die Windows offlinehilfe angeschaut und dort wird das seeehr komplex erklärt. Die schreiben etwas von folgenden Servern die inzurichten sind:

 

- IAS-Server

- RADIUS-Proxyserver

- POP-NAS

 

Aber eigentlich authentifiziere ich mich doch lediglich mit PPTP über VPN am RAS-Server ?

 

ALSO im Grunde will ich mich nur am Server anmelden um von dort aus Daten transferieren zu können und den terminaldienst nutzen zu können, das ganze abgesichert durch VPN. Das muss doch eigentlich recht simpel sein?

 

Nun ein paar direkte Fragen:

 

- Welche server muss ich dafür konfigurieren?

 

- Welche Ports muss ich forwarden ?

 

- Ist es eigentlich egal ob ich das interne Routing für VPN unkonfiguriert lasse ?

 

So, lannge Rede, Sinn nicht erkennbar, aber ich hoffe man versteht mich irgentwie :D

 

Ich danke im Vorraus

[Maniac 10]

Hi Nino,

 

also der Router muss VPN-Fähig sein , ja?

 

Ich hab da mal nach geschaut. Und zwar habe ich ja nen Software Router am laufen (WinRoute). Der kann angeblich VPN-weiterleiten

 

der kann PPTP TCP/IP UDP und "ANDERE".

aber was meinst du mit Protokoll 47 und 50?????

 

wenn ich sage, daß ich nen anderes Protokoll weiterleiten will, dann kann ich da die 47 und 50 eingeben, aber hat es dann noch den selben effekt?????

 

ich probiers natürlich gleich mal aus ;-)

 

ich meld' mich dann.

 

achso, was mir da noch einfällt: du meintest ja, dass der DHCP-Server den Clienten die über VPN kommen (IP des Bereiches 192.168.1.0) auch eine IP aus dem Bereich 192.168.1.0 zuordnen muss. Ich habe also bei meinem DHCP-Server eingetragen, dass er den Bereich 192.168.1.0 ver waltet und den Bereich 192.168.0.0. er vergibt den einem lokalen VPN-Clienten aber keine Adresse aus dem Bereich 192.168.1.0 (was er eigentlich sollte), sondern aus dem Bereich 192.168.0.0, er kann sich im rest des netzwerks dann aber trotzdem umsehen.

 

ich werd mal sehen, ob es einschränkungen gibt

 

 

bis dann

 

aLEx :D :D :D :D :D

[Maniac 10]

HAAAAAAAAAAAAALLLLLLLLLLLLOOOOOOOOOOOO ;-)

 

spitze....... :D

 

es funktioniert nun.

 

ich habe pptp forwarden lassen und Protokoll 47 und 50 habe ich mauell angegeben. --> es geht.

 

der win98 client aus dem Internet konnte sich durch den Router auf meinem Server einloggen, wunderbar.

 

Der Server wird dann auch im Netzwerk gefunden.

Was ich nur nicht ganz verstehe, ist dass er auf den Server nicht zugreifen kann. der server fragt immer nach einem passwort, er akzeptiert jedoch keins (nicht mal das Admin Passwort), aber gut, das probiere ich dann gleich auch weiter....:D

 

:D

danke, danke und nochmal danke für die Unterstützung.

 

Dieses Forum ist eine absolute Goldgrube.

 

Die meisten Foren die Ich so kenne haben keinen Sinn, da sieht man dann Leute die noch nie nen Schraubenzieher in der Hand hatten, dann aber fragen wie man Kondensatoren aus dem Mainboard lötet *lol* :D, sollen sie doch machen.

 

Damit will ich sagen, daß dies hier das einzige Forum ist, wo man keine blöden Antworten kriegt.

 

schöne Grüße

 

aLEx

[zuschauer 10]

Hi Alex !

Was ich da mit dem DHCP und Subnetz 192.160.1.x erzählt hab, war Quatsch/Unsinn. 192.168.1.x ist ja für den VPN-Server "The Internet". Die IP aus 192.168.0.x sind schon richtig.

 

Zu den Port-Nummern und Protocol-Nummern. Es gibt neben TCP und UDP noch weitere Protokolle. Manche haben einen Namen, ICPM (ping benutzt ICPM über Port 0) oder GRE (Protocol 47).

Eine Liste der allgemein verwendeten Protokolle findest Du hier:

http://www.microsoft.com/windows2000/techinfo/reskit/en-us/default.asp?url=/windows2000/techinfo/reskit/en-us/cnet/cnfc_por_GDQC.asp

 

Jedes dieser Protokolle hat über 65000 Ports (64K), die benutzt werden könnten, d.h. Tore oder Übergabepunkte, über die Daten transferiert werden können.

Die üblichen Portnummern für TCP und UDP findest Du unter "Tipps & Links" im Board.

 

PPTP ist eine Entwicklung von MS zur verschlüsselten Tunnelung von Verbindungen über fremde Netzwerke (z.B. das Internet).

Dabei erfolgt über den TCP-Port 1723 die Bekanntmachung der Tunnelpartner (VPN-Anmeldung) und der Datentransport dann über GRE.

L2TP ist eine Weiterentwicklung dieses Modells von MS in Zusammenarbeit mit Cisco. Dort wird in der MS-Implementierung der UDP-Port 500 zur Authorisierung der Tunnelenden benutzt und entweder das Protokoll 50 oder 51 für die Datenübertragung.

Protokoll 51 ist aber nicht NAT-fähig (d.h., wenn dort die Quell - Adressen maskiert werden durch den Router, wird die Verbindung von der Gegenstelle als manipuliert erkannt und abgebrochen.

Es gibt Router, die könne mit beiden Arten von VPN umgehen.

Wenn Du sagst, WinRoute ist PPTP-fähig, bedeutet das, daß das Protokoll GRE durchgereicht wird vom Router und zwar an den LAN-Client, den Du beim Portforwarding für Port 1723 angibst (hoff ich zumindest :D ).

Also immer schön Port-Nummer und Protocol-Nummern auseinanderhalten. ;)

Ob das so nun wirklich funktioniert hinter einem Router, weiß ich aber nicht, weil ich der Meinung bin, der Server lehnt die Verbindung ab, da die Zieladresse (echte Internet-IP) und die eigene Adresse (192.168.1.???) nicht übereinstimmen.

Mal sehen, wie DJ-Silver das hingebogen hat, falls er mal wieder reinschaut.

 

Gruß Nino

 

Edit: Jetzt hab ich eben diesen Roman geschrieben, da kommt Dein neues Posting. Ich laß das so stehen, vielleicht ist es ja auch für andere interessant. :)

[zuschauer 10]

Bei der Anmeldung am Server darfst Du nicht einfach nur Admin als Usernamen angeben, sondern \\Servername\Admin oder \\Domain\Admin. Sonst wird eine Anmeldung mit dem lokalen Admin der WS versucht.

[zuschauer 10]

Hi headake !

Das bringt nix, wenn Du mitten im Thread mit Deinem Problem einsteigst. Mach bitte einen eigenen Thread auf, das wird sonst absolut unübersichtlich - Danke ! :)

 

Nino

[Maniac 10]

Hallo Nino, ich bins wieder mal :shock:

 

das ist jetzt so, daß sich der win98 client aus dem internet verbinden kann, mein server akzeptiert die verbindung und unter Routing und Ras zeigt mir der Rechner auch an, daß da ein bestimmter user angemeldet ist.

 

wenn der client aus dem Internet jetzt meinen Rechner sucht (welcher nach meinem Ebenbild geschaffen wurde, und somit auch ALEX heißt :D), kann dieser auch gefunden werden, der client hat aber keinen zugriff auf den rechner. der client wird aufgefordert ein PW anzugeben, es wird aber keines akzeptiert.

 

das was du mir gesagt hast, dass der client als Benutzernamen \\Domain\User und anschließend das Passwort angibt funktioniert zwar (also es öffnet sich anschließend ein weiteres fenster wo ich domäne und username etc. angeben kann), der client hat danach aber trotzdem keine Zugriffsrechte auf dem Server. es ist also genauso wie vorher.

 

was auch seltsam ist, ist, daß der client zwar meinen rechner finden kann, aber ich ihn nicht. der server hier kann also in der Netzwerkungebung gefunden werde, der Client aber nicht.

 

Ich habe mir Überlegt, daß das ein generelles Problem sein kann wegen win98, aber wenn ein Client aus meinem Netzwerk (auch win98) einen VPN-Tunnel zum server aufbaut (so wie ich es zuerst probiert hatte), dann kann dieser auf den Server zugreifen (wobei ich sagen muss, dass das vor dem aufbau von VPN über eine gesonderte Passwortabfrage auch möglich war).

 

Ich bin deshalb ein wenig verwirrt, schließlich gibt es keine anderen Passwörter die man da noch eingeben könnte (wie gesagt, das root-passwort geht auch nicht). :suspect:

 

 

schönen Abend noch ;)

 

aLEx

[zuschauer 10]

Hi Alex !

Hast Du eventuell die Möglichkeit, statt des Win98-Clienst einen w2k-Client zu nehmen ? Bei meiner damaligen Teststellung mit Win9x-Clients hat das funktioniert, wie der Blinker an meinem Auto, geht, geht nicht.

Ich hab das nicht stabil zum Laufen bekommen mit diesen Win9x-Clients, mal gings, mal nicht.

Nino

[headake 10]

Original geschrieben von zuschauer

Hi headake !

Das bringt nix, wenn Du mitten im Thread mit Deinem Problem einsteigst. Mach bitte einen eigenen Thread auf, das wird sonst absolut unübersichtlich - Danke ! :)

 

Nino

 

... nagut ...

[Maniac 10]

Hallo Nino, ich habe halt ein bischen weiter probiert mit dem Login des Win98 Clients, bin aber zu keinem Erfolg gekommen. Das mit dem Win2k Client werde ich demnächst teste. Ich muss halt nur jemanden finden der das dann probiert.

 

Eine andere Idee die ich aber auch noch hatte, war, doch endlich mal das Service Pack 3 zu installieren.

 

Bis heute, hat mein Rechner noch nicht ein einziges Update gesehen, aber zu irgendwas werden die Dinger wohl gut sein, ich werde es jetzt also nochmal probieren und melde mich dann wieder

 

Danke fürs Zuhören (oder Besser: durchlesen :D)

 

 

aLEx

[zuschauer 10]

Hi Alex !

Wie schon gesagt, ich hab das ganze nicht bis zum Schluß durchgezogen in meiner damaligen Teststellung. Es gibt hier im Forum schon einen Thread zu diesem Thema von alexstarke. Der war auch bis zu Deinem Punkt gekommen. Danach gab es dann einen Hinweis von anderen, daß dieses Problem mit der Installation eines WINS-Servers im LAN gelöst wurde. Danach endete der Thread, glaub ich zumindest.

Schreib doch AlexStarke mal eine PN/Mail, ob er sich an diesem Thread eventuell beteiligen könnte. DJ-Silver hat ja seine Mitarbeit auch schon angeboten.

 

Gruß Nino