Windows 2003 - IPCop - VPN

[Zero-G. 10]

Hallo NG

 

Folgende Konstellation:

Ich möchte von meinem Windows XP Rechner per VPN auf meinen Windows2003 Server zugreifen. - Vor diesem steht ein IPCop (Linux Firewall).

 

Bin bis jetzt so weit:

Über TauVPN kann ich mich zur Linux-Firewall verbinden. - Kann dann auch alle Rechner im Netz anpingen. - Aber NUR mit deren Interne IP-Adresse (192.168.0.*)

Ich komme auch auf die Freigaben vom Server (aber nur vom Server - alle anderen werden blockiert).

 

Der 2003er Server ist als DHCP eingerichtet, mit Active Directory & als DNS (Wo, glaube ich, das Problem liegt)

Irgendeine Einstellung stimmt da nicht. - Denn wenn ich NSLookup eingebe kommt folgende Meldung:

 

*** Der Servername für die Adresse 192.168.0.63 konnte nicht gefunden werden: No response from server

Standardserver: UnKnown

Adress: 192.168.0.63

 

So, ich hoffe, das hilft jemanden mal weiter - denn ich verzweilfe jetzt schon... (Versuche es schon seit über 2 Wochen....)

 

Danke

Bacik Harald

[Hirgelzwift 10]

Wenn du nslookup machst muß dein DNS Server Zonenübertragung zulassen. Alleine da kann der Fehler liegen, bei Windows ist es per default aus. Was für eine IP Adresse hat den der DNS Server und welche IP Adresse hast du denn bei deinem Client eingetragen.

[IThome 10]

Wenn du nslookup machst muß dein DNS Server Zonenübertragung zulassen

Warum das denn, ausser man führt den Unterbefehl ls aus ?

 

Da die Meldung "No Response" lautet und Du ebenso Probleme hast, andere Rechner im Netz zu erreichen, gehe ich davon aus, dass das Problem bei der Firewall/VPN-Gateway liegt. Hast Du im internen Netz auch Probleme mit der Namensauflösung oder dem Testen mit NSLOOKUP ?

[Hirgelzwift 10]

@ITHome: Ich habe mich falsch ausgedrückt. Es könnte sein das du für die Verarbeitung von nslookup Zonenübertragung zulassen musst. versuch mal nslookup <ENTER> ls -d mcseboard.de <ENTER>. Du wirst evtl. keinen Erfolg haben. Ein nslookup mcseboard.de bringt dir zwar einen Eintrag ist aber nur die eine öffentlich Adresse.

[Zero-G. 10]

Hallo

 

Ich habe auch intern das Problem mit der Namensauflösung. Wie mache ich das mit der Zonenübertragung?

Danke

[Hirgelzwift 10]

Zunächst musst du erst mal beim Client Computer den richtigen DNS Server eintragen. wenn das eingestellt ist dann mußt du am dns server in der Zone rechter mausklick eigenschaften zonenübertragen zonenübertragung zulassen markieren.

 

Ich glaube aber du hast ein problem das sehr viel trivialer ist. Fang wie gesagt mit dem richtigen dns server eintrag an und poste das ergebniss.

[IThome 10]

@Hirgelzwift

Wenn ich eine Zonenübertragung simulieren möchte, muss ich das tun, der TO möchte aber nur Namen auflösen :)

@Zero-G

Du brauchst keine Zonenübertragung zulassen, sofern Du keinen zweiten DNS-Server hast, der eine sekundäre Zone hosted. Überprüfe mal folgendes ...

- Der DC hat sich selbst als bevorzugten DNS-Server eingetragen

- Die Clients haben den DC als bevorzugten DNS-Server eingetragen

- Der DNS-Server hat eine Forward und eine Reverse Lookup Zone

- Beide Zonen sind dynamisch aktualisierbar

- Der DNS-Domänenname ist kein Single-Label Name (z.B. microsoft. anstatt microsoft.com.)

- Der DC hat seine RR eingetragen (zu überprüfen mit NETDIAG aus den Supporttools, die auf der Server-CD zu finden sind)

fehlt noch was ? Im Moment fällt mir nichts mehr ein ...

Prüfe das bitte erstmal, bevor Deine interne Namensauflösung nicht funktioniert, brauchen wir uns nicht um die VPN-Namensauflösung kümmern ...

[Zero-G. 10]

Hey

 

Also, gleich mal Danke, wie man bei euch im Forum empfangen wird, sieht man nicht alle Tage! :)

 

- Der DC hat sich selbst als bevorzugten DNS-Server eingetragen

Ja!

- Die Clients haben den DC als bevorzugten DNS-Server eingetragen

Ja!

- Der DNS-Server hat eine Forward und eine Reverse Lookup Zone

Ja!

- Beide Zonen sind dynamisch aktualisierbar

??

- Der DNS-Domänenname ist kein Single-Label Name (z.B. microsoft. anstatt microsoft.com.)

Domänenname ist optik-bacik.at

- Der DC hat seine RR eingetragen (zu überprüfen mit NETDIAG aus den Supporttools, die auf der Server-CD zu finden sind)

Also, das Tool hab ich jetzt laufen lassen! - Da ist gleich mal am Anfang folgender Satz:

DNS Host Name: server.Optik-Bacik (Da fehlt das .at)!!!!! Wo ändere ich das?

 

Wenn ich die Eigenschaften des "Servers" im DNS-Management aurfufe und dort auf Überwachung gehe, kann ich die

Einfache Abfrage auf diesem DNS Server &

Rekursive Abfrage auf andere DNS Server

machen - beide werden erfolgreich ausgeführt.

 

 

Danke

[IThome 10]

Bitte poste die Ausgabe von IPCONFIG /ALL des Servers ... :)

[Zero-G. 10]

Hostname = server

Primärer DNS-Suffix = Optik-Bacik

Knotentyp = Hybrid

IP-Routing aktiviert = Nein

WinS-Proxy aktiviert = Nein

DNS-Suffixsuchliste = optik-bacik.at

 

Ethernet Netzwerkverbindung:

DHCP aktiviert = Nein (????)

IP-Adresse = 192.168.0.63

Subnetzmaske = 255.255.255.0

Standardgateway = 192.168.0.2 (IP-Cop)

DNS-Server = 192.168.0.63

Primärer Wins-Server = 192.168.0.63

 

Das ist mein IPConfig /all

 

mfg

[IThome 10]

Der primäre DNS-Suffix ist nicht der, der er sein soll. Was steht denn in Active Directory Benutzer und Computer als Active Directory Domänenname ? Wie heisst die DNS Forward Lookup Zone ?

[Zero-G. 10]

Jetzt wird es schön langsam sehr interessant...

 

Also

Wenn ich die Active Directory-Verwaltung öffne, sehe ich folgendes:

 

Active Directory-Benutzer und -Computer[server.Optik-Bacik]

-> Gespeicherte Abfragen

-> Optik-Bacik.at

 

Bei der DNS-Worward-Lookupzonen stehen 3 Sachen:

_msdcs.Optik-Bacik.at

Optik-Bacik.at

ZoneOptik-Bacik.at

[Zero-G. 10]

So, habe jetzt vom Server mal den DNS-Suffix geändert

 

Von Optik-Bacik auf Optik-Bacik.at

 

Der Server fährt jetzt noch runter.

[IThome 10]

Deine DNS Forward-Lookup Zone muss so heissen wie die Active Directory Domäne. Deine Active Directory Domäne heisst Optik-Bacik, also war der Primäre DNS-Suffix korrekt und Du solltest ihn nicht ändern. Optik-Bacik.AT ist nur die Suffix-Suchliste, die nur benutzt wird, wenn Du nach unvollständigen Namen suchst.

Es handelt sich also um eine Single Label DNS Domäne. Du musst einige Anpassungen vornehmen, damit die automatische Registrierung der Records funktioniert. Falls Deine Clients XP-Professinal Clients sind, kannst Du einige Anpassungen via Gruppenrichtlinie vornehmen. Schau aber erstmal hier ...

http://support.microsoft.com/kb/300684/en-us

[Zero-G. 10]

OK - lese ich mir gleich mal durch..

 

Aber nur gleich mal vorweg. - Jetzt, kann ich wieder die Namen Pingen! - Das geht....

 

Jetzt kommt natürlich die VPN Verbindung dran. - Denn da geht es nach wie vor nicht...

 

lg