ISA 2004 Remotestandort

[rt1970 11]

Hallo!

 

Konfiguration:

Remotestandort wählt sich via RRAS-VPN zum ISA-Server ein.

 

Mein Problem:

Remotestandort wird nicht als solches erkannt, sondern nur als VPN-Client.

Konfiguriert sollte alles richtig sein.

Ich habe schon den DynDNS-Namen und die IP des Remotestandortes versucht.

Folge: IPs der Clients am Remotestandort werden als gespooft angesehen...

 

Kann jemand helfen?

[Stephan Betken 43]

Hallo rt1970,

 

dann hast du eine Fehler in deiner Netzkonfiguration.

Ich würde jetzt tippen, du hast das entfernte Netz in deiner Netzkonfiguration unter Netzwerke hinzugefügt, aber keine Site-to-Site-Konfiguration erstellt.

Ohne Site-to-Site-Regel müssen die internen Netze für den ISA direkt an einer internen Schnittstelle erreichbar sein, sonst kommt es zu der genannten Meldung.

 

Richte mal so ein: http://www.msisafaq.de/Anleitungen/2004/vpn/VPN_SiteToSite.htm

[rt1970 11]

Diese Seite ist mir bekannt und ich habe die Konfiguration genau so eingerichtet.

Einzigster Unterschied:

Nur 1 ISA und am Remotestandort eine statische Route zum Heimnetzwerk mit einer Wählverbindung via VPN. Ping und Einwahl vom Remoteserver zum ISA funktioniert.

Ich habe im ISA unter VPN-> Remotestandorte den IP-Bereich und den dyndns-Namen definiert.

IPs bekommen die VPN-Clients vom internen DHCP.

Vielleicht liegt es daran, dass der Server am Remotestandort nur eine Netzwerkkarte hat?

IPs ISA 192.168.: 115=LAN-Intern, 0=LAN-DSL-Router, 1=Remotestandort

Routing am ISA:

Netzwerkziel Netzwerkmaske Gateway Schnittstelle Metrik

0.0.0.0 0.0.0.0 192.168.0.2 192.168.0.1 20

127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1

192.168.0.0 255.255.255.0 192.168.0.1 192.168.0.1 20

192.168.0.1 255.255.255.255 127.0.0.1 127.0.0.1 20

192.168.0.255 255.255.255.255 192.168.0.1 192.168.0.1 20

192.168.115.0 255.255.255.0 192.168.115.2 192.168.115.2 20

192.168.115.2 255.255.255.255 127.0.0.1 127.0.0.1 20

192.168.115.10 255.255.255.255 192.168.115.19 192.168.115.19 1

192.168.115.11 255.255.255.255 192.168.115.19 192.168.115.19 1

192.168.115.17 255.255.255.255 192.168.115.19 192.168.115.19 1

192.168.115.19 255.255.255.255 127.0.0.1 127.0.0.1 50

192.168.115.255 255.255.255.255 192.168.115.2 192.168.115.2 20

224.0.0.0 240.0.0.0 192.168.0.1 192.168.0.1 20

224.0.0.0 240.0.0.0 192.168.115.2 192.168.115.2 20

255.255.255.255 255.255.255.255 192.168.0.1 192.168.0.1 1

255.255.255.255 255.255.255.255 192.168.115.2 192.168.115.2 1

Standardgateway: 192.168.0.2

===========================================================================

Ständige Routen:

Keine

 

Hier fehlt die Route zum Remotestandort (192.168.1.0)...

Müßte die nicht der ISA automatisch eintragen?

[rt1970 11]

Jetzt habe ich den Remotestandort nochmal neu angelegt. Das Routing sieht wie folgt aus:

Aktive Routen:

Netzwerkziel Netzwerkmaske Gateway Schnittstelle Metrik

0.0.0.0 0.0.0.0 192.168.0.2 192.168.0.1 20

127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1

192.168.0.0 255.255.255.0 192.168.0.1 192.168.0.1 20

192.168.0.1 255.255.255.255 127.0.0.1 127.0.0.1 20

192.168.0.255 255.255.255.255 192.168.0.1 192.168.0.1 20

192.168.1.0 255.255.255.0 0.0.0.0 ffffffff 1

192.168.115.0 255.255.255.0 192.168.115.2 192.168.115.2 20

192.168.115.2 255.255.255.255 127.0.0.1 127.0.0.1 20

192.168.115.10 255.255.255.255 192.168.115.19 192.168.115.19 1

192.168.115.11 255.255.255.255 192.168.115.19 192.168.115.19 1

192.168.115.13 255.255.255.255 192.168.115.19 192.168.115.19 1

192.168.115.19 255.255.255.255 127.0.0.1 127.0.0.1 50

192.168.115.255 255.255.255.255 192.168.115.2 192.168.115.2 20

224.0.0.0 240.0.0.0 192.168.0.1 192.168.0.1 20

224.0.0.0 240.0.0.0 192.168.115.2 192.168.115.2 20

255.255.255.255 255.255.255.255 192.168.0.1 192.168.0.1 1

255.255.255.255 255.255.255.255 192.168.115.2 192.168.115.2 1

Standardgateway: 192.168.0.2

===========================================================================

Ständige Routen:

Keine

 

Was soll denn die Schnittstelle fffffff sein???

 

Routing Remotestandort:

Aktive Routen:

Netzwerkziel Netzwerkmaske Gateway Schnittstelle Metrik

0.0.0.0 0.0.0.0 192.168.1.254 192.168.1.1 1

127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1

192.168.1.0 255.255.255.0 192.168.1.1 192.168.1.1 1

192.168.1.1 255.255.255.255 127.0.0.1 127.0.0.1 1

192.168.1.16 255.255.255.255 127.0.0.1 127.0.0.1 50

192.168.1.255 255.255.255.255 192.168.1.1 192.168.1.1 1

192.168.115.0 255.255.255.0 0.0.0.0 192.168.115.13 1

192.168.115.0 255.255.255.0 192.168.115.19 192.168.115.13 1

192.168.115.13 255.255.255.255 127.0.0.1 127.0.0.1 50

192.168.115.19 255.255.255.255 192.168.115.13 192.168.115.13 1

192.168.115.255 255.255.255.255 192.168.115.13 192.168.115.13 50

224.0.0.0 240.0.0.0 192.168.1.1 192.168.1.1 1

224.0.0.0 240.0.0.0 192.168.115.13 192.168.115.13 50

255.255.255.255 255.255.255.255 192.168.1.1 192.168.1.1 1

255.255.255.255 255.255.255.255 192.168.115.13 192.168.115.13 1

Standardgateway: 192.168.1.254

===========================================================================

Ständige Routen:

Keine

 

Das scheint korrekt zu sein...

Mir drängt sich der Verdacht auf, dass der ISA den Remotestandort nicht erkennt. Wie macht der das eigentlich? Anhand der dyndns-Adresse?

[rt1970 11]

Ich habe jetzt eine Lösung gefunden, die mich eher nicht so froh macht:

Der ISA wählt sich nun zum Remotestandort ein.

Da die Anfragen eher vom Remotestandort kommen und somit die Wählverbindung initiiert wird - falls getrennt -, wäre es umgekehrt besser...

[rt1970 11]

... wie geahnt:

Zwangstrennung -> VPN weg...

 

Bleibt die Frage:

Woran erkennt er ISA, dass es sich um den Remotestandort handelt???