Umzug des VPN von W2k nach W2k8 Server

[beowulf1980 10]

Hallo,

 

ich habe ein Problem beim Umzug des VPN-Zuganges vom alten W2k Server zum neuen W2k8 Server.

 

Die Situation ist die das ich eine Domäne komplett neu aufgesetzt habe, eben mit dem W2k8 Server. Leider kam ich bis jetzt noch nicht dazu mich all zu sehr mit dem neuen Routing und RAS und dem NPS auseinanderzusetzen. Die Einstellungen die da getätigt werden können unterscheiden sich ja schon doch sehr von dem W2k IAS.

 

Ziel ist es das man sich von einem VPN-Client aus in das Netzwerk einwählen kann und die Authentifizierung über die AD gemacht wird.

Im alten System hat es auch soweit funktioniert aber im neuen bekonn ich es nicht zum laufen. Die Meldung ist immer das die User-Authentication fehlgeschlagen ist.

 

Die Firewall ist so eingestellt das sie den alten ISA-Server als Radius-Server genommen hat. Und das Clients die IP aus dem Bereich 10.0.10.1 - 10.0.10.254 und die DNS-Server erhalten.

 

Da ich an der Firewall nix ändern kann, die wird vom Rechenzentrum der Uni verwaltet, habe ich den neuen Server gleich benannt und ihm auch die gleiche IP wie dem alten Server gegeben. Der alte Server hängt nicht mehr im Netz.

 

Ich habe bis jetzt folgendes gemacht

- RAS und Routing mit benutzerdefinierten EInstellungen (nur VPN) installiert.

- Beim NPS die Firewall als Radius-Client eingetragen wie mit den Einstellungen die in der Anleitung unten zu sehen sind.

- Einem Test-User in der AD unter dem Reiter "Einwählen" die Netzwerkzugriffsberechtigung auf "Zugriff gestatten" gesetzt.

 

Vom Rechenzentrum aus gibt es eine Anleitung wie man den IAS unterm W2k einstellen soll. Aber ich finde da nicht alle Einstellungen im W2k8. Ich poste mal hier die Anleitung und hoffe das mir jemand das so ein bisschen für den W2k8-Server sagen kann welche Einstellung ich noch übersehen hab.

 

# Erweitern Sie das IAS SnapIn (Plus-Symbol) und wählen Sie mit einem Rechtsclick über Clients das Menu Neuer Client (New Client) aus. Wählen Sie eine Bezeichnung für den Client aus. Die Bezeichnung dient nur der Darstellung in der mmc, sie hat keine weiteren Auswirkungen.
# In das Feld Adresse (Client Address tragen Sie die interne IP der Firewall ein. Als Client-Vendort wählen Sie RADIUS Standard aus. Das Shared Secret ist der Wert, den Sie bei der Einrichtung der Firewall mit dem RZ vereinbart haben. Mit Beenden (Finish) kehren Sie ins Hauptfenster der mmc zurück.
# Klicken Sie nun auf Remote Access Policies auf der linken Seite und doppelklicken Sie auf die Policy mit dem Namen Allow access if dial-in permission is enabled
# Klicken Sie auf Profil bearbeiten (Edit Profile) und wählen Sie den Reiter Authentication aus. Bei Authentifizierungs Methoden (Authentication Methods) darf nur Unverschlüsselte Authentifizierung (PAP, SPAP) Unencrypted Authentication (PAP, SPAP) ausgewählt sein.
# Bestätigen Sie nun alle Fenster mit übernehmen und OK (Apply/OK) bis Sie wieder im Hauptfenster der mmc sind
# Danach installieren Sie das Snap-In Lokale Benutzer und Gruppen(Local Users and Groups snap-in)
# Erweitern Sie das Snap-In durch Klick auf das Plus-Symbol und Klicken auf Benutzer (Users)
# In der rechten Bildschirmhälfte wählen Sie nun mit Doppelklick den Benutzer aus, der Zugriff erhalten soll.
# Klicken Sie auf den Dial-In Reiter und wählen Sie Allow Access unter Remote Access Permission (Dial-in or VPN) aus
# Mit übernehmen und OK beenden Sie die Aktion
# Wenn alle Benutzer eingetragen sind, können Sie die mmc schließen.


Die eingerichteten Benutzer sollten nun in der Lage sein, über VPN Zugang ins interne Netz aufzubauen. Beachten Sie, dass die Firewall die Gruppenauthentifizierung durchführt (Gruppenname und Gruppenpasswort). Der IAS Radius-Server überprüft den Benutzernamen und das Passwort. 

 

 

 

Ich hoffe das jemand noch ne Idee für mich hat.

 

Gruß

Beowulf

[beowulf1980 10]

Waren zuviel Zeichen, deswegen hier noch ein kleiner Nachtrag.

 

Nach Rückfrage beim Rechenzentrum wurde mir gesagt das die Firewall wohl keinen RADIUS-Server erreichen kann. Allerdings weiss ich nicht wo ich noch schauen soll. Der NPS-Dienst läuft, der Server ist als IAS-Server im AD registriert.

 

Mal so als Nebenfrage. Da ich den Server ja nur als RADIUS einsetzen will muss ich da Routing und RAS überhaupt mitinstallieren ?