Firewallproblem mit Priv. und Öffentlichem Profil Server 2012 R2

[blitz 10]

Hallo zusammen,

ich kämpfe schon seit geraumer Zeit an einem Problem im Zusammenhang mit Openvpn und der Windows Firewall.

Folgendes Szenario:

 

Ich habe einen Windows 2012 R2 Server mit zwei öffentlichen IP Adressen (1.2.3.4 und 1.2.3.5). Beide sind als öffentliche Netzwerke eingestellt.

Auf der IP 1.2.3.5 läuft ein OpenVPN Server der ein Netz mit dem Bereich 10.55.0.0/24 verteilt. Der Server bekommt die 10.55.0.1.

Diese Netzwerkschnittstelle ist als Privates Netzwerk eingestellt.

Auf der IP 1.2.3.4 läuft ein IIS 8.

 

Wenn ich mich jetzt mit dem VPN verbinde und die Redirect-Gateway-Option aktiviert habe (Sämtlicher Traffic des Clients wird über den VPN-Server geroutet) habe ich vollen Zugriff aufs Internet via den Server. Allerdings mit einer Ausnahme, und zwar bekomme ich keinerlei Verbindung, nicht mal einen Ping, zur IP 1.2.3.4 des Servers. Auf der VPN-Internen IP 10.55.0.1 kann ich den Server und z.b. auch den IIS Problemlos erreichen.

 

Wenn ich nun in der Firewall das Private Profil deaktiviere kann ich die IP 1.2.3.4 problemlos erreichen. Sobald ich das Profil wieder aktiviere nicht mehr.

Ich habe (m.E.) sämtliche Regeln überprüft auf ihre anwendung für das Privates Profil, aber das sieht alles soweit gut aus. Auch habe ich überprüft ob die Profile auf den richtigen jeweiligen Netzwerkschnittstellen aktiviert sind.

 

In der Logfile des öffentlichen Profils taucht bei meinem Ping-Versuch dieser Eintrag auf:

 

2015-01-17 20:27:26 DROP ICMP 1.2.3.4 1.2.3.4 - - 0 - - - - 0 0 - RECEIVE

 

Das sieht für mich so aus als könnte er sich selbst nicht erreichen. Aber ich finde nirgendwo in den Firewall-Regeln eine Regel die das verbieten würde. Das gleiche passiert auch, wenn ich den IIS auf 1.2.3.4:443 aufrufe. Ein Ping vom Server selbst an die 1.2.3.4 funktioniert.

 

Routen sollten auch soweit gut sein, da ich ja, wenn die private Firewall aus ist, die IP erreiche.

 

Kann mir da jemand einen Tip geben woran es happern könnte?

 

vielen dank schonmal,

 

blitz