VPN Zywall/SSH Sentinel und Exchange

[cenobite 10]

Hallo!

 

Wir haben eine Zywall 10W und ich stelle eine VPN Verbindung über den SSH Sentinel her. Was nun auch (sowei ich das beurteilen kann) funktioniert. Ich kann z.b. schon übers internet im Browser unter http://zywall auf die Firewall zugreiffen.

 

Bin nach dieser Anleitung vorgegangen:

 

http://www.zyxel.com/support/supportnote/zywall1/app/zw_static_ssh_dynamic.htm

 

Jetzt kommt aber mein Problem:

 

Der Windows 2003 Server im Netzwerk hinter der Firewall ist Domänencontroller und Mailserver. Leider kann ich nun aber trotz bestehender VPN Verbindung zur Zywall nicht auf den Server zugreiffen. Weil mein externer Rechner nicht in der Domäne ist und ich natürlich auch nicht angemeldet bin.

 

Wie kann man soetwas bewerkstelligen:

 

Externer Recher -> Zywall -> Windows Server 2003 (Domäne) *> Zugriff auf Exchange/Netzlaufwerkfreigaben ?

 

Kannte bisher VPN Verbindung nur in zusammenhang mit ISA Server und da man sich dort mit XP eigenem VPN CLient einwählen kann hat der Rechner auch gleich vollen Zugriff auf die Domäne.

 

Irgendwie ist das alles sehr verwirrend für mich. Als Client wird Windows XP verwendet.

 

€: Ich kann nun auf Netzlaufwerke zum 2003er Server zugreifen. War ein Fehler mit Ip Adresse.

 

Aber Exchange am gleichen Server lässt sich noch immer nicht dem externen Office 2003 hier verbinden!!

[GuentherH 61]

Hi.

 

Hast du bei der Zywall unter der Einstellung LAN (WEB Interface) den Punkt "NETBIOS - allow between LAN and WAN" aktiviert ?

Das gleiche im Punkt WAN -> WAN IP aktivieren.

 

LG Günther

[cenobite 10]

Vielen Dank Günter!! diese Punkte waren nicht aktiv.

 

Hab das nun eingeschalten aber es funktioniert nun etwas besser aber immer noch nicht ganz.

 

Nun kann ich am Client den Exchange Server im Mail Setup finden und es kommt auch ein anmeldefenster.

 

Wenn ich im Mail Setup "Neue Nachrichten übermitteln an" : Postfach - Administrator auswähle kommt die Meldung Der Angegebene Standardspeicher kann nicht geöffnet werden Es lässt sich nur der "Persönliche Ordner" = lokales pst File auswählen.

 

Komisch, muss ich vielleicht noch etwas an der Zywall verstellen?! Versteh das nicht, man kann sich beim Setup am Exchange Server anmelden aber der Posfachspeicher lässt sich nicht öffnen??!

 

 

€: Vielleicht ein DNS Problem? Wenn die VPN verbindung besteht kommt mit nslookup nur die meldung das er nichts finden kann.

[GuentherH 61]

Hi.

 

Hast du schon DNS überprüft. Mach einmal über die VPN Verbindung ein "ping FQDN_dein_Exchange".

Bekommst du da eine Fehlermeldung ?

- wenn ja, dann trage deine DC und den Exchange in der lokalen Host Datei ein. z.B. bei XP %systemroot%\system32\drivers\etc\hosts

 

LG Günther

[cenobite 10]

Super!! An der hosts Datei ist es gelegen.

Nochmals vielen Dank für die Hilfe!!!

 

Beste Grüsse aus Wien nach Graz! :)

[GuentherH 61]

Jö schau.

 

A Weana - servas, grias di - was tat's den wonns di Steira nit gab ? :D

 

Günther

[ChristianHemker 10]

Hallo,

 

wobei das mit HOST Datei nur eine Notlösung ist. Stell dir mal vor du hast noch ein paar dutzend VPN Clients mehr oder willst auf einen anderen Server zugreifen...

[yaps 10]

Hallo zusammen,

 

Hab wie oben beschrieben eure Punkte befolgt (Zyxel-Anleitung, etc.) und krieg auch eine VPN-Verbindung mit SSH - Sentinel (Connection established & Firewall zeigt eine aktive Verbindung an) aber jedoch keine lokale IP. Ich kan nichts anpingen...

 

Konfig:

-ZyWall 10

-SSH Sentinel 1.3.2

 

 

Kann mir jemand helfen oder Anregungen geben, was ich vergessen habe ? DANKE.

[GuentherH 61]

Hi.

 

Hast du überprüft, dass dein Subnet und das Subnet auf das du verbindest unterschiedlich ist ?

 

LG Günther

[yaps 10]

Hmmm...

Meine IP (Client im Internet) ist 217.110.xxxx und die des Zielnetzes 192.168.123.xxx

Die Subnets sind identisch (255.255.255.0).

Gehts dann nicht? Müssen die Subnets zwingend verschieden sein?

 

Gruss & Danke

[GuentherH 61]

Hi.

 

Nein ist so schon richtig, habe mich da nicht richtig ausgedückt.

 

Wenn du bem Sentnel Client auf Diagnostic geht, werden dann sowohl IKE-Phase-1 und IKE-Phase-2 als richtig angezeigt ?

 

Vergiss nicht nach Abschluss des Diagnostic Vorganges den Apply Button zu klicken. Sonst werden Änderung nicht übernommen.

 

Hast du als Zielnetz das richtig angegeben ? Also in deinem Fall 192.168.123.0 Mask 255.255.255.0

 

Wenn du einen Notebook mit WLAN Karte hast, dann deaktiviere diese einmal. Sentinel hat da immer wieder Probleme damit.

 

LG Günther

[yaps 10]

Wenn ich das IKE log anschaue:

 

Received vendor id `b8 58 d1 ad dd 08 c1 e8 ad af ea 15 06 08 aa 44 97 aa 6c c8' from No Id (server 217.110.238.21:500)

unknown (unknown) <-> unknown { unknown [unknown] / unknown } unknown; Packet to unknown Isakmp SA, ip = 217.110.238.21:500

0.0.0.0:500 (Initiator) <-> 217.110.238.21:500 { d39084f5 40000001 - 05eaa6d6 92e82448 [-1] / 0x00000000 } IP; MESSAGE: Phase 1 version = 1.0, auth_method = Pre shared keys, cipher = des-cbc, hash = md5, prf = hmac-md5, life = 0 kB / 14400 sec, key len = 0, group = 1

Phase-1 [initiator] between ipv4(udp:500,[0..3]=217.110.238.19) and ipv4(any:0,[0..3]=217.110.238.21) done.

0.0.0.0:500 (Initiator) <-> 217.110.238.21:500 { d39084f5 40000001 - 05eaa6d6 92e82448 [0] / 0x77e82586 } QM; MESSAGE: Phase 2 connection succeeded, No PFS, group = 0

0.0.0.0:500 (Initiator) <-> 217.110.238.21:500 { d39084f5 40000001 - 05eaa6d6 92e82448 [0] / 0x77e82586 } QM; MESSAGE: SA[0][0] = ESP des, life = 409600 kB/3600 sec, group = 0, tunnel, hmac-sha1-96, key len = 0, key rounds = 0

Phase-2 [initiator] done bundle 2 with 2 SA's by rule 19:`ipsec ipv4(any:0,[0..3]=217.110.238.19)<->ipv4_subnet(any:0,[0..7]=192.168.123.0/24)(gw:ipv4(any:0,[0..3]=217.110.238.21))'

SA ESP[f716cdc7] alg [des-cbc/8]+hmac[hmac-sha1-96] bundle [2,0] pri 0 opts src=ipv4(any:0,[0..3]=217.110.238.19) dst=ipv4_subnet(any:0,[0..7]=192.168.123.0/24)

SA ESP[bd2d6541] alg [des-cbc/8]+hmac[hmac-sha1-96] bundle [2,0] pri 0 opts src=ipv4_subnet(any:0,[0..7]=192.168.123.0/24) dst=ipv4(any:0,[0..3]=217.110.238.19)

unknown (unknown) <-> unknown { unknown [unknown] / unknown } unknown; Packet to unknown Isakmp SA, ip = 217.110.238.21:500

unknown (unknown) <-> unknown { unknown [unknown] / unknown } unknown; Packet to unknown Isakmp SA, ip = 217.110.238.21:500

 

 

 

scheint unknown zu kriegen und ich hab keine Ahnung was das bedeutet..

Ne virtuelle IP hab ich mir aber nicht explizit zuteilen lassen (da dies bei ZyWall 10 nicht gehen soll 1.52).

Die Firewall / VPN ist unter "local address" mit 192.168.123.0 konfiguriert. WLAN hab ich im Notebook nicht (ich häng mich mit ner statischen IP aussen an die Firewall (wir haben ne IP-Range vom Provider gekriegt)

 

--> die Authentifizierung sollte geklappt haben, da ich eine Erfolgsmeldung kriege?

 

gruss oli