DNS-Auflösung über VPN für Clients im Remotenetzwerk

[GFischer 10]

Wie konfiguriere ich einen Windows-VPN-Client richtig, so dass er Rechnernamen über das VPN im Remotenetzwerk auflösen kann? Schon ein Artikel diesbezüglich vorhanden?

 

Habe folgendes konfiguriert, funktioniert meistens, DNS-Auflösung dauert aber lange (selten geht es auch garnicht):

 

Server: Win2008, DHCP, DNS mit Zone domainXY.local, Routing und RAS über PPTP. Der DHCP-Bereich ist natürlich mit der Option DNS konfiguriert.

 

Client: XP/Vista/Win7, hinter NAT-Firewall/Router (z.B. FritzBox), PPTP-Verbindung ist mit verbindungsspezifischem Domänensuffix domainXY.local konfiguriert, bekommt vom DHCP korrekt seine IP, registriert sich auch korrekt in der Zone domainXY.local bzw. der DHCP macht das für ihn.

 

Rein IP+SMB+etc. mäßig funktioniert alles, nur dauert die Auflösung von Clients im Remotenetzwerk meistens sehr lange, und manchmal gehts gar nicht.

 

Fragen:

 

1. Muß der Benutzer am Client beim Zugriff über Explorer/SMB auf z.B. ein Share nun zwingend den FQDN angeben, oder kann man sich auch darauf verlassen, dass Windows bei den Auflösungsversuchen brav automatisch das verbindungsspezifische Suffix domainXY.local anhängt und ausprobiert?

 

2. Da es im lokalen Netz des Clients keinen DNS mit der Zone domainXY.local gibt, sondern nur einen Router mit einem DNS-Proxy möchte man ja verhindern, dass letzterer überhaupt gefragt wird. Ist es mit dem konfigurieren des verbindungsspezifischen Suffix auf der PPTP-Verbindung getan? Läuft die Auflösung bei Angabe des FQDN nun über den DNS im Remotenetzwerk? Oder gibt es noch etwas anderes, was man tun kann?

 

3. Oder gibt es für eine saubere DNS-Auflösung der Rechner im Remotenetzwerk nur die Lösung mit einem lokalen DNS, z.B. mit einer Sekundären Zone für domainXY.local?

 

Anmerkung: Mir ist schon klar, das das Problem die Reihenfolge der DNS-Server ist. Der lokale Router wird gefragt, und nicht der DNS im Remotenetzwerk. Was mich aber Wurmt: eigentlich sollte es ja gar nicht funktionieren. Vor allem nicht, weil momentan in der PPTP-Verbindung des Clients nicht mal das Häkchen "Gateway für das Remotenetzwerk verwenden" gesetzt ist. Das würde das komplette Routing ja über das VPN jagen, so dass der lokale Router gar nicht erreicht und gefragt wird. Bleibt zu guter letzt nicht mal die Möglichkeit, dass der Name über broadcast aufgelöst wird... dieser geht ja immer auf die broadcastadresse des eigenen Netzes, nicht auf die des Remotnetzwerkes... oder auch zusätzlich auf die broadcastadresse des Remotenetzwerkes?

[Citrix 13]

Hast du es einmal versucht, in die Hostdatei die Ziele einzugeben? Geht es damit schneller?

[Necron 71]

@GFischer

 

Hallo erstmal wäre ein guter Anfang, um einen Thread zu beginnen. ;)

 

Hi und herzlich willkommen an Board,

 

wieso sollte dies ein DNS-Problem sein? Für die Netzwerkumgebung verwendet Windows NetBIOS, um die Rechner anzuzeigen.

 

Was gibt denn ein nslookup zurück?

 

Was mich aber Wurmt: eigentlich sollte es ja gar nicht funktionieren. Vor allem nicht, weil momentan in der PPTP-Verbindung des Clients nicht mal das Häkchen "Gateway für das Remotenetzwerk verwenden" gesetzt ist.

Der Haken bewirkt nur, ob der Zugriff auf das Internet über die VPN-Verbindung läuft oder alternativ, wenn nicht gesetzt, der Zugriff auf das Internet über das lokale Netzwerk stattfindet in dem du dich gerade befindest.

[GFischer 10]

Hast du es einmal versucht, in die Hostdatei die Ziele einzugeben? Geht es damit schneller?

 

Ja logisch geht es damit schneller. In die host schaut der Client ja zuerst rein. Das ist aber keine Lösung. Es sollen beliebe Shares im Remotenetzwerk erreichbar sein. U.u. auch unter wechselnden IP Adressen.

 

Andere Vorschläge? Vor allem Erklärungen warum es überhaupt geht? :D

[GFischer 10]

@GFischer

Hallo erstmal wäre ein guter Anfang, um einen Thread zu beginnen. ;)

Sorry, ich bin auf der Arbeit, der Post war auch so lang genug... Ächz, immer dieser Zeitdruck... du weißt schon... :)

wieso sollte dies ein DNS-Problem sein? Für die Netzwerkumgebung verwendet Windows NetBIOS, um die Rechner anzuzeigen.

was wiederum eine broadcast namensauflösung wäre, so denn kein WINS server vorhanden, oder? und der broadcast geht auf die broadcastadresse des lokalen Netzes, und nicht auf die des Remotnetzwerkes. Oder? Ausserdem, nicht ganz richtig. In einem vollständig durch DNS aufgelösten Netzwerk ist meines Wissensstandes Netbios nicht notwendig... solange Outlook keinen Exchangeserver sucht :). Was Windows dennoch versucht, steht auf einem anderen Blatt...

Was gibt denn ein nslookup zurück?

Der lookup greif natürlich auf den lokalen Router zu... non-existent domain. Spricht wiederum für Netbiosnamensauflösung. Kann aber nicht sein. UND der Ping auf clientXY liefert vorallem eine Antwort von clientXY.domainXY.local. Was auch gegen Netbios spricht. Da käme die Antwort von ClientXY, kein FQDN. Oder?

 

Der Haken bewirkt nur, ob der Zugriff auf das Internet über die VPN-Verbindung läuft oder alternativ, wenn nicht gesetzt, der Zugriff auf das Internet über das lokale Netzwerk stattfindet in dem du dich gerade befindest.

Da hats Du allerdings recht, da hab ich quatsch geschrieben.

[Necron 71]

was wiederum eine broadcast namensauflösung wäre, so denn kein WINS server vorhanden, oder? und der broadcast geht auf die broadcastadresse des lokalen Netzes, und nicht auf die des Remotnetzwerkes. Oder? Ausserdem, nicht ganz richtig. In einem vollständig durch DNS aufgelösten Netzwerk ist meines Wissensstandes Netbios nicht notwendig... solange Outlook keinen Exchangeserver sucht :). Was Windows dennoch versucht, steht auf einem anderen Blatt...

Genau! Wie ich aber oben anmerkte: Windows benutzt NetBios für die Anzeige in der Netzwerkumgebung. War vielleicht auch ungünstig ausgedrückt von mir mit dem DNS, sorry.

 

Also das Problem was du hast ist, dass du der Zugriff auf einen Rechner mittels Explorer ziemlich lange dauert, oder was meintest du dann oben mit der Auflösung?

[GFischer 10]

@necron

 

Ich muss mich mal präzisieren, da hast Du recht:

 

Es dauert immer ziemlich gleich lange um Namen aufzulösen, egal ob:

1. ich per Browser auf einen Webserver im Remotenetzwerk zugreife (definitiv keine Netbios-Auflösung)

2. ich per UNC-Pfad über den Explorer auf ein Share zugreife (eventuell Netbios)

3. ich einen ping auf einen Kurznamen absetze, der mit einem FQDN beantwortet wird (ziemlich sicher DNS-aufgelöst)

 

Ich könnte mir folgendes vorstellen: Es wird erst für das lokale Netz das Ballett host-dnschache-dnsserver-(wins)-broadcast-lmhosts aufgeführt, was dauert, und dann das ganze Ballett nochmal für die VPN-Verbindung angefangen, was dann mit einer Antwort vom DNS im Remotenetzwerk endet?

 

Möglich? Wäre zumindest eine Erklärung für die Langsamkeit, und dass es ÜBERHAUPT funktioniert.

Und wie könnte man, außer mit einer sekundären Zone im lokalen Netz für die Remotezone, die Auflösung noch beschleunigen?