Problem beim Einrichten von W2K3 Standard Server mit RRAS und VPN

[IThome 10]

Gib mal ein Beispiel, wie heisst der komplette FQDN eines Hosts in einer der Subdomänen ?

[M. Zink 10]

Subdomains sind z.B. test.cmb-solutions.de oder kunde123.cmb-solutions.de und cmb-solutions.de ist die FQDN.

[IThome 10]

Das sind keine Subdomains, das sind Hosts in der Domäne cmb-solutions.de, also ist KUNDE123.CMD-SOLUTIONS.DE der FQDN und dafür musst Du Einträge in Deinem DNS-System machen, da der interne DNS-Server autorisierend für diese Zone ist ...

[M. Zink 10]

OK dann muss ich das doch so machen. Ist aber denke ich trotzdem immer noch einfacher als die Domäne umzubenennen. Wie dem auch sei, das hätten wir dann jetzt mal.

 

Jetzt mach ich mich an die Sache mit dem VPN. Einen DynDNS Account hab ich bereits und auch ein Tool was den immer aktualisiert. Jetzt fehlt nurnoch die nötige Einrichtung auf dem Server.

[IThome 10]

Genau, in der RRAS-Konsole unter NAT in die öffentliche Schnittstelle und die VPN-Ports nach innen leiten (Dienste und Ports). Schau Dir dann auch mal die RAS-Richtlinien an, die allerdings nur im Domänenbetriebsmodus Windows 2000 pur mindestens funktionieren. Du kannst auch einem User in den Benutzereigenschaften im Active Directory die Einwählberechtigung geben. Der RRAS muss natürlich auch als RAS-Server konfiguriert sein ...

[M. Zink 10]

Falls das mit dem MS VPN nicht will nehm ich halt wirklich den OpenVPN. Ist dann zwar doof weil Domänenanmeldungen damit nicht gehen werden schätze ich aber dann kann ich zumindest per RDP arbeiten. Irgendwie bekomm ich das dann jetzt schon hin und wenn nicht meld ich mich wieder ;)

 

Vielen Dank für die Hilfe auf jeden Fall. Hat bestens funktioniert alles jetzt.

[IThome 10]

Schauen wir mal :) Achso, noch was .. Wenn Du VPN mit dem RRAS machst, arbeite diesen Artikel durch, sonst passieren komische Dinge ...

Namensauflösungs- und Verbindungsprobleme auf einem Windows 2000-Domänencontroller mit installiertem RRAS und DNS

[M. Zink 10]

Nun gut, die Installation von OpenVPN war recht einfach. Ich hab mir dann diese ganzen Keys und Zertifikate und was weiß ich gebaut und das hat echt auf anhieb funktioniert. Was allerdings nicht funktioniert ist die Sache mit dem push.

 

Mein lokales Netz hat den IP Kreis 192.168.1 und der VPN 192.168.10 und ich hab wie bei OpenVPN beschrieben einen push auf eben 192.168.1.0 gesetzt aber trotzdem bin ich scheinbar nicht mit dem lokalen Netz verbunden. Zumindest mal komme ich nicht über RDP auf den Server drauf. Ich hab die Ports von Open VPN schon durch geroutet aber trotzdem keine Chance. Auch ohne push funktioniert das nicht.

 

Ich gehe mal davon aus das ich die Lösung mit der Bridge verwenden muss allerdings hatte ich da erst mal etwas Panik vor da ich grade alles so schön am laufen hab und wenn ich da jetzt anfange mit Netzwerkbrücken und weiß der Teufel dann hab ich bedenken das ich mir das ganze grade wieder zerschieße. Die Anleitungen sind auch dummerweise alle in Englisch. Ich hab englisch zwar mal gelernt aber bei manschen Dingen bin ich mir einfach nicht sicher ob das jetzt so oder so gemeint ist.

[IThome 10]

Netzwerkbrücken ? :shock: Warum kein VPN mit RRAS ? Aber mal ganz davon ab, ich finde es ehrlich gesagt ziemlich gewagt, was Du da vorhast. Ich würde keinen Domänencontroller direkt ins Internet stellen, nur geschützt ducrh einen Basisfirewall ...

[M. Zink 10]

Da gebe ich Dir schon recht das Risiko ist nicht zu verachten. Allerdings wird auf dem DC im Grunde nichts sein auf was wir nicht verzichten können und vor allem auf keinerlei Kundendaten oder sonstiges. Genau genommen ist es total übertrieben für diesen Zweck überhaupt einen Server einzusetzen. Vorher hatten wir dort einen Rechner stehen mit Windows XP Home. Nur wenn man die Lizenzen schon hat warum soll man sie nicht auch nutzen.

 

Davon abgesehen damit jemand bei uns rein kommt ist es nötig das jemand die Zugänge hat bzw. den DynDNS Account. Und selbst wenn jemand diese Daten dann hat ist es noch fraglich ob jemand den VPN knacken kann. Und selbst wenn das passiert muss er die Benutzerdaten auch noch haben damit er auf irgendwas Zugriff bekommt. Und wenn diese letzte Hürde gefallen ist wird der jenige feststellen das es bei uns nichts zu klauen gibt und nichts zu zerstören. Die Buchhaltung läuft auf einem separaten Rechner und alle Kundendaten befinden sich ebenfalls auf dem zweiten PC. Das einzige was ggf. auf den DC noch drauf kommt ist ein Exchange für Mails. Aber wenn das so weit ist bau ich mir einen kleinen PC aus alten Teilen zusammen und nutze Linux als Zugangspunkt zum Internet. Da kann ich dann eine Firewall einsetzen sowie zur zusätzlichen Absicherung meine Mails abholen lassen und auf Viren prüfen und anschließend an den DC weiter geben. Das ich einen Linux PC davor schalte ist schon so gut wie sicher ich weiß wie gesagt nur noch nicht wann.

 

Wie meinst Du das jetzt mit dem VPN mit RRAS? Ich datte das so verstanden das das unnötig kompliziert ist und ich lieber OpenVPN nutzen soll oder nicht?

 

Hast Du einen Link wie das mit RRAS funktioniert? Denn das hatte ich nicht hin bekommen. Dazu muss ich noch sagen das ich beim Installieren von RRAS gewählt haben "NAT" und nicht die Option "NAT und VPN".

[IThome 10]

Sicher habt Ihr etwas, was jeder Cracker gebrauchen kann: Festplattenkapazität, CPU-Leistung und Bandbreite, was man für alles Mögliche nutzen kann ...

Von mir kam nicht der Vorschlag, OpenVPN zu benutzen, wozu auch ? Du hast den RRAS schon konfiguriert und musst nur noch den VPN-Teil konfigurieren.

Ich würde trotz allem einen Router (Draytek Vigor 2200 EPlus z.B.) davor setzen ...

[M. Zink 10]

Wir werden auch noch einen Router bekommen. Wobei wir sogar momentan einen Router als Modem konfiguriert haben. Ich kann das jederzeit ändern so das der Router die Internet Verbindung aufbaut. Dann muss ich allerdings den RRAS anders konfigurieren. Wobei ich denke das das eh das beste ist wenn ich VPN nutzen möchte.

 

Sollte ich den RRAS dann neu installieren? Als Zugangspunkt wähle ich dann nicht mehr die PPPoE sondern die Netzwerkkarte welche mit dem Router verbinden ist richtig? Und was muss ich beim Installieren mit dem VPN konfigurieren?

[IThome 10]

An Deiner Stelle würde ich den RRAS deaktivieren und dann noch mal neu konfigurieren. Auf der externen Karte musst Du dann den haken bei Internetprotokoll wieder setzen und einen Adressbereich wählen, der sich vom internen Bereich unterscheidet. Dann wählst Du im Assistenten NAT/VPN aus. Ich gehe mal davon aus, dass auf dem Router ein Dyndns-Client integriert ist, mit dem dann die Dyndns-Konfiguration durchgeführt wird. Auf dem Router musst Du die relevanten VPN-Ports zur externen Schnittstelle des Server leiten ...

[M. Zink 10]

An Deiner Stelle würde ich den RRAS deaktivieren und dann noch mal neu konfigurieren. Auf der externen Karte musst Du dann den haken bei Internetprotokoll wieder setzen und einen Adressbereich wählen, der sich vom internen Bereich unterscheidet.

Wie genau meinst Du das mit dem Adressbereich? Auf dem Server hab ich 192.168.1.x und im Router ist als Standard 192.168.2.x und auf der Netzwerkkarte hätte ich jetzt gewählt das die Karte selbst 192.168.2.2 hat und als Gataway den Router. Im RAS muss ich dann beim Installieren die externe Netzwerkkarte angeben. Dann wie Du geschrieben hast die VPN Ports routen. Muss ich bei VPN nicht noch irgend einen Dienst oder so konfigurieren? Wie umgehe ich denn das Problem das viele Hardware Router die Protokolle nicht unterstützen und deshalb VPN nicht funktioniert? Der Router den ich am Server einsetzen würde ist ein Telekom Speedport W500 oder so ähnlich heißt der.

 

Das mit DynDNS ist kein Problem das bekomme ich hin.

[IThome 10]

Mit 192.168.1.0/24 und 192.168.2.0/24 ist in Ordnung. Ob das mit dem Speedport funktioniert, ob er die entsprechenden Protokolle nach innen leiten kann, kann ich Dir nicht sagen (ich benutze sowas nicht). Wenn das Protforwarding nicht funktioniert, versuche es mit einer eventuell vorhandenen DMZ-Einstellung.

VPN wird durch den Assistenten eingerichtet ...