VPN Verweigerte Verbindung

[frauke 10]

Hallo,

 

wir setzten den ISA Server 2004 (BS Windows 2003 Server) ein, die Clients arbeiten mit WIndows XP.

Ein externer MA möchte sich per VPN in sein Firmennetz einwählen. Das hat auch schon mal funktioniert, nun aber leider nicht mehr.

Die Verbindung wird verweigert, dabei läßt die Firewallregel die Verbindung sowohl über das Protokoll 500 (IKE-Client) als auch über den Port 4500 (NAT-T) vom Client zum VPN-Server als auch vice versa zu.

 

Anbei ein Auszug aus unserem Protokoll.

 

Ziel-IP Protokoll Aktion Regel Client-IP

vpn-Server IKE-Client Initiierte Verbindung VPN 192.168.2.152

192.1.2.152 IKE-Client Verweigerte Verbindung vpn-Server 192.1.2.152 IKE-Client Verweigerte Verbindung vpn-Server

192.1.2.152 IKE-Client Verweigerte Verbindung vpn-Server

 

 

Was mich verwundert: Warum greift bei der Antwort des Servers keine Regel? Was stört den ISA-Server?

 

Falls mehr Angaben benötigt werden, schicke ich sie natürlich sofort.

 

Danke,

Frauke

[LukasB 10]

Neben 500/UDP brauchst du auch die IP-Protokolle ESP und AH (AH eigentlich eher selten).

 

Dennoch sollte es mit NAT-T trotzdem tun.

[IThome 10]

Eigentlich reichen die beiden Ports und AH ist generell nicht NAT-tauglich ...

IPSec NAT-T is not recommended for Windows Server 2003 computers that are behind network address translators

Zitat:

"If you put a server behind a network address translator, you may experience connection problems because clients that connect to the server over the Internet require a public IP address. To reach servers that are located behind network address translators from the Internet, static mappings must be configured on the network address translator. For example, to reach a Windows Server 2003-based computer that is behind a network address translator from the Internet, configure the network address translator with the following static network address translator mappings:

• Public IP address/UDP port 500 to the server's private IP address/UDP port 500.

• Public IP address/UDP port 4500 to the server's private IP address/UDP port 4500."