VPN und Routing Problem

[earlgrey 10]

Hallo,

 

ich habe ein kleines Problem, welches ich irgendwie nicht genau lokalisieren kann um eine Lösung zu finden.

 

Folgendes Netzwerk:

 

Ein Windows 2003 Server mit 3 Netzwerkkarten für 3 getrennte Netze. Der Server ist als Router (IP LAN Routing, kein NAT) konfiguriert.

 

2 Netze sind für 2 verschiedene Gruppen konfiguriert (192.168.10.x, 192.168.20.x). Das dritte Netz geht zum DSL Router (192.168.5.x). Der DSL Router hat die beiden anderen Netze als Rückroute drin. Internet geht von jedem Netzwerk aus ohne Probleme. Die 2 Netzwerkgruppen haben als Standardgateway die Adresse des Win2003 Servers.

 

Nun will ein Laptop aus dem einen Netz (192.168.10.x) eine VPN Verbindung herstellen. Die entsprechenden VPN Daten sind im Client eingetragen und auch korrekt.

 

Die Einwahl zum entfernten Knoten funktioniert und es wird "Benutzername und Passwort" ausgehandelt. Auch ein Netzwerkkarten Trace auf der DSL Karte zeigt eine Verbindung zum entfernten Knoten.

 

Nach einiger Zeit bricht der VPN Client ab (Fehler 681, ups vergessen korrekt aufzuschreiben). Wenn ich die VPN Verbindung vom Server aus initiiere, funktioniert die Einwahl ohne Probleme. Vom Notebook aus allerdings nicht.

 

Das Problem scheint im IP-Routing des Windows 2003 Servers zu liegen. Nur wo genau ? Wo kann ich anfangen zu suchen und was blockiert der Windows Server unter Umständen.

 

Noch ein paar Hinweise zum Windows 2003 Server:

Der Server ist ebenfalls als VPN Einwahl System konfiguiert. Der DSL Router hat entsprechende Portumleitungen auf den Server. Die Einwahl auf den Windows Server funktioniert einwandfrei.

 

Vielleicht hat hier jemand eine Lösungsidee. Was muss in einem Netzwerktrace eventuell geschaut werden ?

 

Gruß

Chris

[IThome 10]

Was für eine VPN-Verbindung ist das , L2TP/IPSEC oder PPTP ?

[earlgrey 10]

Hallo,

 

Ups, vergessen zu schreiben: PPTP wird aufgebaut.

 

Gruß

Chris

[IThome 10]

Hat ein anderer Rechner aus dem Netzwerk des Notebooks das gleiche Problem ? Poste bitte auch mal den gesamten Wortlaut der Fehlermeldung ...

[earlgrey 10]

Hallo,

 

Ja, ein anderer Rechner hat das gleiche Problem in diesem Netzwerk. Gleich Einstellung direkt an einem Router (Einwahl von zu Hause) funktioniert einwandfrei.

 

Es muss an dem Windows 2003 Server Routing liegen. Nur wo da ? Wo kann man vielleicht was prüfen. Sämtliche Filter sind meiner Meinung nach ausgeschaltet. Gibt es da vielleicht irgendwo noch versteckte ? Der Server ist übrigens ein 2003 R2.

 

Der genaue Wortlaut wird etwas schwieriger, da ich erst zum Kunden fahren muss und ich da heute/morgen nicht hinkomme. Würde auch gerne den einen oder anderen Versuch der Lösung dann auch gleich ausprobieren wollen.

 

Gruß

Chris

[IThome 10]

Hm, so eine Konfiguration habe ich selbst noch nicht gesehen. Der DSL-Router leitet TCP 1723 nach innen zum Server, der PPTP terminiert und hat wahrscheinlich auch VPN-Passthrough aktiviert. Clients sollen sich über den Server mit einem externen PPTP-Server verbinden ...

Klappt es, wenn Du die Weiterleitung auf dem Router entfernst ?

[earlgrey 10]

So , eine kleine Auflösung des Problems.

 

Der Client wählte eine einwandfreie PPP Verbindung zum externen Server auf. Auch über meine beiden Router (Win2k3 und DSL). Die erste Antwort vom Server ist auch gekommen, aber dann schickte der Client seine Anmeldedaten, auf die der Client einfach keine Antwort mehr bekommen hat.

 

Wenn ich diese PPTP Einwahl vom Server direkt ausgeführt hatte, bekam ich auch sofort eine Bestätigung meiner Anmeldedaten.

 

Ursache des ganzen war, dass der DSL Router scheinbar die GRC (Generic Routing Encapsulation) Pakete vom Server nicht mehr an den Client schicken konnte. Es waren im DSL Router zwar alle IP-Rückrouten korrekt eingetragen, aber das Protokoll scheint nicht mehr in das andere Netz weitergeleitet worden zu sein. Ein Netzwerkmittschnitt auf der Netzwerkkarte direkt beim Server brachte dort immer keine Antworten. Für das eigene Netz schaffte der Router aber das routen dieser Pakete, daher kam der Windows 2003 per PPTP direkt zu entfernten Server.

 

Abhilfe der ganzen Geschichte hab ich nun durch doppeltes NAT erreicht. Damit muss der DSL Router nicht aus "seinem Netz" routen und der Windows Router ist gefragt die Pakete auf der korrekten Schnittstelle an den anfragenden Client zu schicken.

 

Eigentlich schade, denn die Konstellation den Windows Server als reinen IP-Router zu nutzen und nur dem DSL Router eine NAT zu geben hat mir eigentlich besser gefallen.

 

Gruß

Chris