VPN Verbindung nur in ein Netz zulassen

[Matze85 10]

Hallo zusammen,

ich komm zurzeit an folgendem Problem nicht weiter:

 

Es soll ausschließlich für den VPN Client möglich sein in NetzB zu gelangen, auf NetzA soll er überhaupt keinen zugriff haben.

 

Konfiguration sieht wie folgt aus:

VPN Client: Windows interner Client PPTP Verbindung, bekommt feste IP aus NetzB

VPN Server: 2K3 Server als VPN Server konfiguriert, dieser steht im NetzA

NetzB: Hier steht ein Rechner ebenfalls mit fester IP Adresse des NetzesB, dieser Rechner soll sich mit den VPN Clients, die eine IP, des NetzesB bekommen unterhalten können.

 

Das Problem ist nun das die VPN Verbindung zwar aufgebaut wird und der VPN Client auch die richtige NetzB IP erhält, er jedoch nicht den anderen Rechner im NetzB anpingen kann. Auch erhält der Rechner im lokalen NetzB keine Antwort vom VPN Client.

 

Mir ist bewußt das das Problem aus einem nicht erfolgten routing stammt, jedoch an welcher Stelle und wie bekomm ich es behoben?

[asmoneus 10]

hi, ist evt. Ping in einer Firewall gesperrt?

[grizzly999 11]

Kennt denn der Zeilrechner im Netz B die Route ins das VPN-Netz? Ich vermute hier liegt das Problem.

 

grizzly999

[lefg 276]

Und kennt der antwortende Rechner die Rückroute zum Anforderer? Weiss er, an welches Gateway die Antwort gehen muss.

[Matze85 10]

@asmoneus

Firewall kann ich ausschließend auf den Windowskisten hab ich die immer gleich deaktiviert und die "Hauptfirewall" tunnel ich ja mit der VPN Verbindung, der Win2k3 VPN Server hat keine Firewall-RAS Regeln aktiviert die irgendwas sperren könnten

 

@grizzly, lefg

Genau hier liegt auch meine Vermutung, dass Problem ist wie soll ich die Routen bekannt machen, vielleicht nochmal konkreter zum derzeitigen Aufbau:

 

VPN Client: Bezieht vom VPN Server (192.168.1.1) immer eine gleiche IP Adresse (192.168.2.1); er ist nun also im Netz 192.168.2.1 und erreicht weder den VPN Server zugriffstechnisch noch andere Rechner im .2er Netz

 

VPN Server: (192.168.1.1) erteilt dem VPN Client immer 192.168.2.1, mit einer statischen Route habe ich es auch schon probiert (diese habe ich für diese VPN Verbindung konfiguriert: 192.168.2.0 255.255.255.0), leider führte dies auch nicht zum Erfolg, wenn ich die statische Route für die VPN Verbindung auf 192.168.1.0 255.255.255.0 setze und der VPN Client wählt sich ein ist der VPN Server gar nicht mehr erreichbar (weder 1er noch 2er Netz).

 

Zielrechner im 2er Netz: WinXP Rechner, feste im aus dem 2er Netz 192.168.2.2; DNS and Gate zeigt auf 192.168.1.1 wobei er dies ja technisch gar nicht erreichen kann da er sich im anderen Netz befindet.

 

Wie Ihr also richtig angemerkt habt, sind die routen unbekannt, nur wie mache ich sie wo bekannt?

 

Danke und Gruß

–

Ich habe es mir jetzt mal einfach gemacht, allerdings nicht ganz das was ich will: Habe auf dem VPN Server (der auch Gateway,DNS usw. ist) der Netzwerkkarte eine 2.IP gegeben die im NetzB liegt, er hat also eine NetzA und B adresse auf der Karte. Somit funktioniert zumindest das routing ins NetzB, allerdings hat der VPN Client somit auch Zugriff auf das Filesystem des VPN Servers was er nicht haben soll!

 

Bringt mir also eigentlich gar nichts, da der VPN Client zwar zum Server im NetzA seine verbindung aufbauen soll aber dann ausschließlich im NetzB aggieren darf. NetzB sollte man sich also wie eine DMZ vorstellen was keinen zugriff auf NetzA hat...

[lefg 276]

Aus der Zurückhaltung der Kameraden möchte ich schliessen, es geht ihnen wie mir. Ich ahne zwar die Lage, kann aber nicht richtig durch den Nebel (des Krieges) blicken, es scheintan Fakteninformation zu fehlen. Was ist Netz A, was ist Netz B, wie stehen die in Beziehung?

[Matze85 10]

Hm leider weiß ich nicht genau wie ich euch Klarheit schaffen soll.

 

Vielleicht hilft dies:

Netz A ist das Netz in dem sich der VPN Server befindet, hier soll ein bestimmter Client (Benutzername) ausschließlich mit dem NetzB kommunizieren können

 

Wenn ich mich mit dem VPN Client, der vom NetzA VPN Server eine NetzB IP Adresse bekommt, einwähle soll es mir nicht möglich sein, auf das NetzA zuzugreifen, auch nicht auf das Filesystem des VPN Server (der ja im NetzA steht).

 

Vielleicht hier nochmal die Kommunikationsichtungen (X steht für "darf nicht möglich sein") auf die es ankommt:

 

VPN Client (NetzB) -> VPN Server (NetzA) -> PC's (NetzB)

PC's (NetzB) -> VPN Server (NetzA) -> VPN Client (NetzB)

VPN Client (NetzB) -> VPN Server (NetzA) -> X ALLES im NetzA

 

Hilft dies es zu verstehen?

[lefg 276]

Ich muss nochmals nachfragen, habe eine lange Leitung:

 

Was sind Netz A und Netz B, sind das physikalische Netze oder nur ein IP-Netze? Sind Netz A und B räumlich, geographisch getrennt und durchs Inet verbunden?

 

Wo steht der VPN-Client, wo ist der Rest? Ist der VPN-Client in einer Aussenstelle, an einem Heimarbeitsplatz und der VPN-Server steht in der Zentrale und dort gibt es ein Netz A und ein Netz B?

[IThome 10]

Der VPN-Server muss in beiden Netzen stehen oder das 2er Netz wenigstens erreichen können. Wir müssen also als erstes wissen, wie der VPN-Server Netzwerk 2 erreicht. Weiterhin ist es wichtig zu wissen, wie die Routingtabelle und die IP-Konfiguration des Clients bei bestehender Verbindung aussieht. Poste also die Ausgabe von IPCONFIG /ALL und ROUTE PRINT des VPN-Clients bei bestehender Verbindung. Mal ganz vom Routing abgesehen wirst Du zusätzlich statische Paketfilter auf dem VPN-Server einsetzen müssen ...

[Matze85 10]

Sorry deine Frage ist selbstverständlich gerechtfertigt:

 

NetzA und B sind ausschließlich IP-Netze, die Hardware ist bei beiden Netzen die selbe, es gibt also keine physikalische trenner dieser beiden IP Netze.

 

Der VPN Client steht an einem beliebigen Ort und kommt immer über das Internet auf den VPN Server.

 

Alle anderen Komponenten sind physikalisch und geogr. an einem Standort.

[IThome 10]

"Poste also die Ausgabe von IPCONFIG /ALL und ROUTE PRINT des VPN-Clients bei bestehender Verbindung". Warum hat der VPN-Server eine 1er Adresse, wenn er mit dem 2er Netz verbinden soll ? Gib ihm doch gleich die richtige Adresse, dann ist der Client da, wo er hin soll ...

[Matze85 10]

Windows 2000-IP-Konfiguration

 

Hostname. . . . . . . . . . . . . : VPN-Client

Primres DNS-Suffix . . . . . . . :

Knotentyp . . . . . . . . . . . . : Hybridadapter

IP-Routing aktiviert. . . . . . . : Ja

WINS-Proxy aktiviert. . . . . . . : Nein

 

Ethernetadapter "LAN-Verbindung":

 

Verbindungsspezifisches DNS-Suffix:

Beschreibung. . . . . . . . . . . : Realtek RTL8139/810x Family Fast Etherne

Physikalische Adresse . . . . . . : 00-E0-00-9A-57-90

DHCP-aktiviert. . . . . . . . . . : Nein

IP-Adresse. . . . . . . . . . . . : 192.168.3.99

Subnetzmaske. . . . . . . . . . . : 255.255.255.0

Standardgateway . . . . . . . . . : 192.168.3.99

DNS-Server. . . . . . . . . . . . : 192.168.3.99

 

PPP-Adapter "UMTS bevorzugt Connection":

 

Verbindungsspezifisches DNS-Suffix:

Beschreibung. . . . . . . . . . . : WAN (PPP/SLIP) Interface

Physikalische Adresse . . . . . . : 00-53-45-00-00-00

DHCP-aktiviert. . . . . . . . . . : Nein

IP-Adresse. . . . . . . . . . . . : 77.24.216.97

Subnetzmaske. . . . . . . . . . . : 255.255.255.255

Standardgateway . . . . . . . . . : 77.24.216.97

DNS-Server. . . . . . . . . . . . : 139.7.30.125

139.7.30.126

 

PPP-Adapter ":

 

Verbindungsspezifisches DNS-Suffix:

Beschreibung. . . . . . . . . . . : WAN (PPP/SLIP) Interface

Physikalische Adresse . . . . . . : 00-53-45-00-00-00

DHCP-aktiviert. . . . . . . . . . : Nein

IP-Adresse. . . . . . . . . . . . : 192.168.5.2

Subnetzmaske. . . . . . . . . . . : 255.255.255.255

Standardgateway . . . . . . . . . : 192.168.5.2

DNS-Server. . . . . . . . . . . . :

 

------------------------------------------------------------------------------------

 

===========================================================================

Schnittstellenliste

0x1 ........................... MS TCP Loopback interface

0x1000003 ...00 e0 00 9a 57 90 ...... Realtek RTL8139/810x Family Fast Ethern

0x8000004 ...00 53 45 00 00 00 ...... WAN (PPP/SLIP) Interface

0x9000005 ...00 53 45 00 00 00 ...... WAN (PPP/SLIP) Interface

===========================================================================

===========================================================================

Aktive Routen:

Netzwerkziel Netzwerkmaske Gateway Schnittstelle Anzahl

0.0.0.0 0.0.0.0 77.24.216.97 77.24.216.97 2

0.0.0.0 0.0.0.0 192.168.3.99 192.168.3.99 3

0.0.0.0 0.0.0.0 192.168.5.2 192.168.5.2 1

77.24.216.97 255.255.255.255 127.0.0.1 127.0.0.1 1

77.255.255.255 255.255.255.255 77.24.216.97 77.24.216.97 1

80.152.199.9 255.255.255.255 77.24.216.97 77.24.216.97 1

127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1

192.168.3.0 255.255.255.0 192.168.3.99 192.168.3.99 1

192.168.3.99 255.255.255.255 127.0.0.1 127.0.0.1 1

192.168.3.255 255.255.255.255 192.168.3.99 192.168.3.99 1

192.168.5.2 255.255.255.255 127.0.0.1 127.0.0.1 1

192.168.5.255 255.255.255.255 192.168.5.2 192.168.5.2 1

224.0.0.0 224.0.0.0 77.24.216.97 77.24.216.97 1

224.0.0.0 224.0.0.0 192.168.3.99 192.168.3.99 1

224.0.0.0 224.0.0.0 192.168.5.2 192.168.5.2 1

255.255.255.255 255.255.255.255 192.168.3.99 192.168.3.99 1

Standardgateway: 192.168.5.2

===========================================================================

Stndige Routen:

Keine

[Matze85 10]

Der VPN-Server hat ja nun sowohl eine NetzA wie auch eine NetzB Adresse, somit klappt das routing ja ins NetzB vom VPN-Client. Der VPN Client erhält dadurch aber trotzdem zugriff auf das Filesystem vom VPN Server was nur für das NetzA bestimmt ist.