VPN bei nur Terminalserver (kein Routing, DHCP etc.)

[Grinskeks 10]

Hallo,

 

da ich selbst nach intensiver Recherche nicht dahinter komme was ich falsch mache, frage ich mal die Profis :D

 

 

Meine VPN-Verbindung funktioniert nur über LAN (192.168.90.150), wenn ich mich über Inet (***.dyndns.org) anmelde bricht sie mit Fehler 721 ( bei der Verifizierung des Passworts ) ab - unabhängig davon ob der Benutzername existiert oder nicht.

 

Hier die Ipconfig vom Server, sobald mein Client sich über LAN ins VPN eingewählt hat:

 

PP-Adapter Ras-Server Einwahl-Schnittstelle:

ip: 192.168.90.180

Subnet: 255.255.255.255

Standardgateway:

 

Ethernet Adapter LAn Verbindung:

 

ip 192.168.90.150

subnet 255.255.255.255

Standardgateway 192.168.90.1

 

 

Ich habe hier folgende Komponenten und Einstellungen:

 

DSL über Fritz Box mit dyndns, GRE,UDP + TCP Forwarding, was auch funktioniert

IP: 192.168.90.1

 

2k3 Server mit einer Netzwerkkarte, der ausschliesslich als Terminalserver und VPN-Server dient.

IP: 192.168.90.150

 

Diverse WinXP-Clients (Laptops) für die VPN Anwahl über Internet.

IPs: Variabel

 

Unter Routing und RAS habe ich nur RAS-Server aktiv, Routing disabled

IP-Adresszuweisung mittels statischem Adresspool von ....180 - 192.168.90.190

 

DHCP-Relay-Agent hat die 192.168.90.150

 

 

Im Netzwerk gibt es weder Active Directory noch Domänen. Ip-Zuweisungen übernimmmt die FritzBox.

 

 

Es scheint, als ob der Server bei der authentifizierung des Clients "falsch" oder gar nicht antwortet. Weiss von euch vielleicht jemand, was ich hier falsch mache?

 

Mein Cheffe guckt schon so komisch... ;-)

[Hr_Rossi 10]

Hi,

 

was für ports hast du gezielt weiter geleitet ?

von wo hat der server die user-infos ?

wie und wo hast du den userkonten die einwahlberechtigung erteilt ?

 

lg

[Grinskeks 10]

Hi, also ich habe folgendes weitergeleitet:

 

UDP 500 an 192.168.90.150

GRE an 192.168.90.150

TCP 1723 an 192.168.90.150

ESP an 192.1668.90.150

 

 

Die User-Infos? Die Habe ich in der Computerverwaltung unter Lokale Benutzer und Gruppen eingetragen. Zusätzlich möchte ich noch erwähnen, dass der Connect im Lan auf den Terminalserver funktioniert - die User also in einer Terminal-Server Instanz arbeiten können.

 

Dem User habe ich unter "Einwählen" "zugriff gestatten" ausgewählt. Zwischenzeitlich hatte ich auch "über RAS-Richtlinien steuern" aktiviert allerdings brachte mir das irgendwie nichts.

 

Falls du andere User-Infos brauchst, bitte nochmal Bescheid geben, sonst bin ich überfordert ;-)

 

 

Des weiteren habe ich noch eine RAS-Richtlinie erstellt und zwar Zugriff nur an folgenden Tagen gewähren : 24/7 sowie Zugriff nur mit diesen Medien gewähren: Virtuell (VPN)

 

 

Gruss,

 

Grinskeks

[hh2000 10]

Hallo,

 

...

Ethernet Adapter LAn Verbindung:

 

ip 192.168.90.150

subnet 255.255.255.255

Standardgateway 192.168.90.1

...

 

Moin,

 

soll das so (255.255.255.255) heissen? <- Nur ein Host!

Du solltest dort z.B. 255.255.255.0 eingeben, so findet er auch das Standardgateway

 

Weiter Info findest Du hier (Post #16, eine Anleitung hinter dem Link):

 

http://www.mcseboard.de/windows-forum-lan-wan-32/vpn-winxp-to-win2k3-2-98104.html

 

Gruß Kai

[Grinskeks 10]

Danke schonmal für die schnellen Antworten!

 

Ups sorry - es sollte bei der Lan-Verbindung 255.255.255.0 heissen!

 

Aber bei der RAS-Einwahl-Schnittstelle findet er kein Gateway und Subnet ist definitiv 255.255.255.255.

 

Der Server bekommt die IP aus dem statischen Adresspool (Eigenschaften des Servers in Routing und RAS). Dort kann ich nur eine start-ip und eine end-ip angeben. Hier: 192.168.90.180 - 192.168.90.190 . Daraufhin setzt mir der Server automatisch im statischen Adresspool eine ip 192.168.90.176 und eine subnet 255.255.255.240. Leider habe ich keinen Schimmer, wofür das gut ist....

 

Gruss

 

Grinskeks

[hh2000 10]

Das Subnetz (4x255) bei RAS ist wohl richtig, schau mal in die Anleitung in Post 16

 

Gruß Kai

[Grinskeks 10]

Ja, ipconfig/all führt bei mir zu den selben ERgebnissen (abgesehen natürlich von MAC-Adressen und Ip-Adressen) . Unterschied ist bei mir, dass der DNS-Server und das Standard-Gateway jeweils die Fritz.Box sind.

 

Wenn ich mich über LAN ins VPN einwähle und die DEtails der Verbindung anzeige, erhalte ich folgende Daten:

Gerätename: Wan Miniport (pptp)

Gerätetyp vpn

Servertyp PPP

Übertagungen TCP/IP

Authentifizierung MS CHAP V2

Verschlüsselung MPPE 128

Komprimierung MPPC

PPP-Multilinkframing Aktiv

Server-IP Adresse 192.168.90.180

Client IP-Adresse 192.168.90.182

 

 

Die Anleitung aus Post #16 brachte mir keine neuen ERkenntnisse. Irgendwo ist der Wurm drin....

 

Gruss

 

Andreas

[hh2000 10]

Welche Lan-IP hat denn Dein Client, sie darf nicht 192.168.90.x sein.

[Grinskeks 10]

Mein Laptop ist über Wlan an der Fritzbox und hat die 192.168.90.26 ........Allerdings habe ich gestern von zu Hause aus über 192.168.178.x versucht, mit selbem Ergebnis Fehler 721.

 

 

 

Jetzt wirds wirr - also ich habe vom Lan zu Hause über die Internetip versucht, den TerminalServer über dyndns anzuwählen, wobei die Kiste bei der Authentifizierung bzw. verifizierung des Passsworts bis zum Timeout nach einer Minute nicht mehr reagierte.

 

Wenn ich das PortForwarding der "Fritzbox vor dem Server" deaktiviere, komme ich nicht einmal bis zur Authentifizierung, daher scheint zumindest die FritzBox ihren job zu machen ;-)

[hh2000 10]

WLan = lokal?

 

gibt es ein Log auf der Fritz-Box, das evtl. blockierte Pakete anzeigt?

Du benutzt PPTP oder L2TP? Für L2TP brauchst Du auch noch Port TCP 1701.

 

Gruß Kai

[Grinskeks 10]

Jo, das WLan ist lokal.

 

Die FritzBox macht hier eigentlich alles, von der ip vergabe übers routing zum Inet über LAn und Wlan-Bereitstellung.

 

Den Port tcp 1701 habe ich vorsorglich auch mal forwarded - bisher brachte mich das nicht zum ERfolg.

 

Unter Routing und Ras habe ich in den Eigenschaften von Ports PPTP Ras-Verbindungen (nur eingehend) und "Bei Bedarf herzustellenden Routingverbindungen (ein und ausgehend) aktiviert. Bei Rufnummer dieses Geräts steht ***.dyndns.org und die Maximale Portanzahl ist bei 12.

 

Kann ich sonst irgendwo einsehen, ob ich pptp oder l2tp nutze?

 

Danke

 

Gruss

 

Andreas

[hh2000 10]

In den Client Netzwerkeinstellungen auf einer der Karteikarten (müsste jetzt auf "automatisch" stehen), habe gerade kein XP-Client vor mir, beim Server weiß ich das nicht.

[Grinskeks 10]

Ich nutze pptp.

 

Habe auch ein How-To von Gruppenrichtlinien - Übersicht, FAQ und Tutorials durchgemacht ... ohne Erfolg. Es muss irgendeine Servereinstellung sein, die mich ärgert.