Zweigstellenrouting

[Der-Sensenmann 10]

siehe unten

[Der-Sensenmann 10]

Hallo,

 

hab folgendes Problem:

 

Also: Wir haben hier den Stammsitz der Firma und eine Kleine Zweigstelle mit 3 Clients :).

 

 

Die Zweigstelle soll Mittels VPN angebunden werden (Jetzt noch PPTP - Später L2TP)

 

Hab mir dass so vorgestellt:

 

Der Server in der Zweigstelle Verbindet zum Stammsitz. Und fertig :cool:

 

 

Zustand:

Stammsitz:

 

SBS 2003

192.168.2.19 Server IP / Router 192.168.2.1

192.168.3.1 Server IP / 192.168.3.xxx Clients

192.168.3. ab 200 sind die VPN clients (Vpn Verbindungen, Zweigstelle hat die ip 210)

 

alle Masken 255.255.255.0

 

VPN geht auch soweit :) (wenn ich von einem externen Client verbinde komm ich ins ganze netz :D )

 

Zweigstelle

Clients:

 

3 X XP

1 X w2k3 r2

 

DSL Anschluss, Linksys Router.

 

Das ganze soll so lauffen, dass der w2k3-r2 die VPN verbindung selbstständig herstellt. Er dient auch als DC (läuft schon)

 

nur hab ich das problem wenn ich bei RRAS das zweigstellen routing akitiviere und verbinde, dass er zwar verbunden sagt, aber ich nicht den sbs 192.168.3.1 anpingen kann:

 

Zweigstelle verwendet 192.168.94.1 - Server ip / 10,11,12 Clients

192.168.178.1 Router

 

 

Wenn ich die VPN verbindung manuell aufbaue (über netzwerkverbindungen) kann ich den SBS pingen.

 

Pings jeweils vom Server aus.

 

Wie muss ich das Konfigurieren,dass alles läuft

 

MFG

 

Alex,

 

 

danke im vorraus :)

[Wolke2k4 11]

Kann es sein, dass da ein oder zwei Routingeinträge fehlen? Weiss Netz 1, wo und wie es Netz 2 findet und umgekehrt?

 

Nur so aus Neugier. Warum hast Du Deine PCs und die Server in zwei unterschiedliche IP Netze gepackt?

 

Ansonsten sieht das alles etwas umständlich aus. Hast Du mal über eine Terminal Server Lösung nachgedacht? Hätte für Dich sicher einige Vorteile.

Statt die W2K3 Server die VPN Verbindungen aufbauen zu lassen kannst Du dann zwei VPN Router einsetzen.

[Der-Sensenmann 10]

hallo.

darf kein geld mehr einstezten ;) ... Server musste sein, da auch freigaben daruf liegen, daher fällt TS weg.

 

Ich dachte die Netzte wissen des selber. Da beide Server für ihre Clients die Router sind , also alle clients haben den server ihres Standortes drin.

 

Wenn ich die routen setzte, wie sollen die aussehen, und wo muss ich sie setzen?

 

Danke dir Wolke2k4

 

MfG

 

aLex

 

edit: Kann das Subnetz in der Zweigstelle natürlich ändern :)

[Der-Sensenmann 10]

so.. da bin ich wieder :)

 

also. Ich kann nun von der zweigstelle in den Stammsitz pingen, freigaben, usw :)

 

nur ich kann nicht vom stammsitz in die zweigstelle :( . Kommt immer "zeitüberschreitung der aufforderung" . hat jemand eine idee ???

[Knopfdruecker 10]

Hallo Sensenmann,

 

Präambel: Ich hab mit Windows Servern noch kein VPN aufgesetzt (aber mit Linux und Appliances), daher alle systemnahen Aussagen bitte mit Vorsicht genießen: :rolleyes:

 

:shock: Hast Du nen guten Grund für das ungewöhnliche Subnetting?

 

Außerdem fehlen Dir Routen ins jeweils andere Netz.

Das VPN mit Einwahl von außen geht nur, weil die Clients jeweils zum lokalen Subnetz der Gegenseite gezählt werden; für mehrere remote-Clients kommst Du so nur mit üblen Performance-Einbrüchen weiter. Die Site-to-Site-Versuche scheitern am Subnetting und den fehlenden Routen.

 

Wie muss ich das Konfigurieren,dass alles läuft

 

Üblicherweise nimm für einen Standort ein Subnetz.

 

Also z.B:

für den Hauptsitz: 192.168.2.0/255.255.255.0

für die Zweigstelle: 192.168.3.0/255.255.255.0

 

Jeweils z.B: mit Router an .1 und Server an .19 (ist im Prinzip egal).

Default Route ist dann die .1

DHCP und DNS sollten jeweils vom Windows-Server kommen (.19).

 

Nachdem jetzt die Site2Site-Vernetzung (vergiß pptp, unsicherer geht nimmer; nimm gleich l2tp (oder ip/sec oder OpenVPN) ja von den Servern erledigt wird, müssen die Rechner noch wissen, wohin sie Daten fürs jeweils andere Netz schicken sollen. Du brauchst also noch Routen ins jeweils andere Netz.

Am besten im DHCP eintragen:

für Hauptsitz: Route nach 192.168.3.0/255.255.255.0 an 192.168.2.19

für Zweigstelle: entsprechend andersrum.

 

 

Viel Spaß damit

 

Knopfdrücker

[Der-Sensenmann 10]

*Push*

 

kann nur von der zweigstelle nach stammsitz pingen, andersrum nicht.

 

kann mir denn niemand helfen ?

 

 

*flenn*

[IThome 10]

Wenn Du im RRAS Zweigstellenverbindungen konfiguriert hast, werden die Routen über die "Wählen bei Bedarf" - Schnittstellen konfiguriert. Warum Du unterschiedliche Bereiche benutzt, verstehe ich auch nicht. Wenn im Server mehrere Karten verbaut sind , würde ich ihn zum NAT-Router machen, um etwas mehr Sicherheit hinein zu bekommen. Den Adressbereich für das Zweigstellenrouting würde ich statisch und ausserhalb des internen Bereiches legen. Danach werden dann die Routen kontrolliert/zugefügt.

[Der-Sensenmann 10]

hab mal was in VISIO gemacht :)

 

ich hoffe es hilft euch :)

 

 

http://www.der-sensenmann.com/VPN.jpg

 

MfG

 

Alex :)

[IThome 10]

Arbeiten beide Server als NAT-Router oder machen die Routing ohne NAT ?

[Der-Sensenmann 10]

ja, kann ich aber ausmachen :)

 

 

glaub ich sollte keine probleme geben oder?

 

 

danke dir :)

 

Alex

[IThome 10]

Nein, so ist das gut. Du hast sicher auch die Dienste wie DHCP, DNS und WINS angepasst und hast die nicht notwendigen Bindungen entfernt und die dynamische Registrierung auf den externen Karten deaktiviert ?

Ich gehe jetzt davon aus, dass Du statische Adressierung für die PPP-Schnittstellen benutzt, die sich ausserhalb der Bereiche befinden, die die Server mit ihren LAN-Karten abdecken. Eigentlich reicht dann eine Route über die "Wählen bei Bedarf" Schnittstelle in der Zweigstelle mit dem Ziel 192.168.3.0/24 (dort wird kein Gateway eingetragen). In der Hauptstelle gibt es eine Route über seine "Wählen bei Bedarf" Schnittstelle in das 192.168.94.0/24 (ebenfalls ohne Gateway)

[Der-Sensenmann 10]

also.. hab RRAS neu installiert:

benutzerdefiniert:

VPN, Zweigstellenrouung,NAT und Basisfirewall, LAN.Routing.

 

ist der anfang so richtig?

 

dann die virtuelle Wählverbndung als Intern, genauso wie das LAN lokal (zu den clients) die verbindung zum router mit NAT und Basisfirewall.

 

fortführung auch richtig so?

dann tu ich mal die routen eitnragen

[IThome 10]

Als intern ? Du definierst Deine LAN-Karten als intern bzw. extern ...

[Der-Sensenmann 10]

an der basisfirewall hald, soll ich die remote schnittstelle definieren oder nicht (oder nur bei einem) wenn ja, wie soll ich sie definieren?