VNC durch VPN Tunnel - funktioniert nicht

[IThome 10]

Aktiviere in Allgemein den Router - LAN und bei Bedarf wählendes Routing ...

[cenobite 10]

Danke für den Tip, funktioniert aber leider auch nicht.

[IThome 10]

Starte den RRAS-Server neu ...

Der RRAS muss generell als Router (weil Du Geräte jenseits des RRAS erreichen willst) und RAS-Server konfiguriert werden, im IP-Tab muss definiert sein, für welche Verbindungen das Routing aktiviert werden soll (also beide Haken rein).

Wenn es nach dem Neustart nicht klappt, installiere auf dem 2000er Ethereal und beobachte, ob überhaupt etwas ankommt.

[cenobite 10]

Hmm, das klingt sehr plausibel....

 

neugestartet hab ich den ras schon.....werde es nächste Woche mit dem Ethereal probieren, danke jedenfalls für die hilfe!!

[IThome 10]

Bin auch gerade am Testen, melde mich gleich noch mal ...

[grizzly999 11]

Ja, Ethereal ist da das, was am meisten bringt.

 

Ein Versuch kannst du außerdem noch unternehmen,ich ahtte da auch schon mehr als einmal Routingprobleme beim RAS 2000: Du gehst im RAS Server her und nimmst einen statischen IP-Pool von Adressen für die RAS-Verbindung, und zwar einen Bereich, der nicht aus dem internen Netz stammt. Z.B. 172.16.0.1-100 o.ä.

 

Der Server mit VNC braucht dann statisch den Routeneintrag für dieses Netz mit

route add 172.16.0.0 MASK 255.255.255.0 10.10.1.10

 

 

Könnte dann klappen

 

 

grizzly999

[cenobite 10]

Das wars!!! Danke Grizzly999!!!!

 

Und vielen vielen Dank an IThome, deine RRAS Routing hilfe hat mir auch sehr geholfen!!!

 

Tausend dank an euch beide!!!

 

:)

[IThome 10]

Was haste jetzt gemacht, den Adressbereich geändert und eine Route auf dem 2000er eingetragen ?

[Knopfdruecker 10]

Hi!

 

Ein Versuch kannst du außerdem noch unternehmen,ich ahtte da auch schon mehr als einmal Routingprobleme beim RAS 2000: Du gehst im RAS Server her und nimmst einen statischen IP-Pool von Adressen für die RAS-Verbindung, und zwar einen Bereich, der nicht aus dem internen Netz stammt. Z.B. 172.16.0.1-100 o.ä.

 

Der Server mit VNC braucht dann statisch den Routeneintrag für dieses Netz mit

route add 172.16.0.0 MASK 255.255.255.0 10.10.1.10

 

Und noch eleganter wäre, diese statische Route (mit Netmask 255.255.255.0) nicht auf den einzelnen Rechnern sondern auf dem Default-Gateway zu setzen.

 

Dann sind alle Rechner im LAN übers VPN erreichbar.

 

Viel Spaß!

 

Knopfdrücker ;)

[grizzly999 11]

Korrekt. Aber ich wußte nicht, wie "beschlagen" der Writer darin ist. Meine Erfahrung hier im Board hat mich gelehrt, es meist erst mal "simpel zu keepen" ;)

 

BTW: Habe ich vergessen, wenn man die Route auf dem/den Rechner(n) einträgt, dann mit route add -p, sonst steht man nach dem Reboot mit kurzen Hosen da.

 

 

grizzly999

[Knopfdruecker 10]

Hi!

Korrekt. Aber ich wußte nicht, wie "beschlagen" der Writer darin ist. Meine Erfahrung hier im Board hat mich gelehrt, es meist erst mal "simpel zu keepen" ;)

Off-Topic:

ok, mit OSI-Layer 8 fehlts mir leider(?) noch an Praxis

 

Knopfdrücker :p

[IThome 10]

Mir ist auch gerade aufgefallen, dass der Haken "Router" unter "Allgemein" in der RRAS-Konsole nicht gesetzt werden muss, selbst dann nicht, wenn jenseits des RRAS ein weiterer Router existiert und dahinter ein Client erreicht werden muss. In jedem Fall muss nur der Haken "IP-Routing" unter "IP" in der RRAS-Konsole gesetzt werden und gegebenenfalls eine statische Route im RRAS.

Allerdings hatte ich keine Probleme auf Geräte hinter dem RRAS zuzugreifen, selbst wenn der Adressbereich der Clients in derselben Range liegt, wie die LAN-Schnittstelle des RRAS (so wie beim TO). Rein logisch müsste es auch so funktionieren ... Bug ?

[Knopfdruecker 10]

Hi!

 

Mir ist auch gerade aufgefallen, dass der Haken "Router" unter "Allgemein" in der RRAS-Konsole nicht gesetzt werden muss, selbst dann nicht, wenn jenseits des RRAS ein weiterer Router existiert und dahinter ein Client erreicht werden muss. In jedem Fall muss nur der Haken "IP-Routing" unter "IP" in der RRAS-Konsole gesetzt werden und gegebenenfalls eine statische Route im RRAS.

Allerdings hatte ich keine Probleme auf Geräte hinter dem RRAS zuzugreifen, selbst wenn der Adressbereich der Clients in derselben Range liegt, wie die LAN-Schnittstelle des RRAS (so wie beim TO). Rein logisch müsste es auch so funktionieren ...

 

Hmm, sicher? :suspect:

 

das klappt, wenn der Client hinterm RRAS eine Adresse aus dem gleichen Subnetz hat; das ist dann ein "Extruded Subnet" und der RRAS-Rechner spielt Bridge. Das geht übrigens massiv auf die PErformance, da auch Broadcasts durch den Tunnel gehen.

 

Im klassischen Fall hat der VPN-Client eine IP-Adresse außerhalb des lokalen Subnetzes.

Dann klappt die Routenlose Konfiguration afaik so nur, wenn der RRAS-Rechner gleichzeitig Default Gateway im Subnetz ist.

Wenn nicht (z.B. ein DSL-Router), muß dort eine Route explizit vergeben werden. Woher sollen die Rechner im Subnetz wissen, wohin sie ihre Antwortpakete schicken sollen?

 

Knopfdrücker

[IThome 10]

Ganz sicher:

Aufbau war wie folgt:

W2K Prof: VPN-Client (192.168.102.10)

W2003: NAT/Basisfirewall mit Portforwarding (192.168.102.1/192.168.200.1)

W2003: VPN-Server (192.168.200.2)

W2KSRV: LAN-Router (192.168.200.10/192.168.250.1)

XP-Prof: Client zum Anpingen (192.168.250.10)

Der VPN-Server terminiert die Verbindung des W2K, der W2K bekommt eine Adresse aus dem Bereich des VPN-Servers (192.168.200.221) und kann den W2KSRV (192.168.200.10) anpingen (der hat kein Gateway).

Füge ich auf dem VPN-Server eine statische Route ins 192.168.250.0 Netz zu und hat der XP-Prof die 192.168.250.1 als Default Gateway, kann ich auch den vom VPN-Client anpingen (der Haken "Router" unter "Allgemein" ist auf dem VPN-Server nicht aktiv)

[Knopfdruecker 10]

Ganz sicher:

Aufbau war wie folgt:

 

Also zum Verständnis:

das .200.x-Netz wird vom .200.1 als .102.1 geNATet; nicht andersherum?

 

Ist auf dem .200.2 ein Default Gateway gesetzt? Vermutlich der .1?

 

In jedem Fall hast Du hier beim VPN ein extrudiertes Subnetz innerhalb dessen Du vom VPN-Client aus alle Rechner siehst. Das Default-Gateway auf dem VPN-Client wird (laut net print) vermutlich der .200.2 sein, der das weitere Routing (z.B. nach .250.x) gemäß seiner Routentabelle vornimmt.

 

Interessant war aber im Thread der Fall, daß Du dem VPN-Client eine Adresse aus einem anderen Subnetz zuweist, z.B. 10.0.0.100. Um den jetzt z.B. von .200.10 aus zu erreichen (bzw diesen Rechner vom VPN-Client aus); muß im Subnetz .200.x eine Route zu 10.0.0.100 mit Gateway .200.2 existieren.

 

glaube ich :)

 

Knopfdrücker