VPN Tunnel steht - kein Zugriff auf LANs

[RalphT]

Moin,

ich habe hier zwischen zwei Lancoms (1811 <-> 1783) einen Tunnel aufgebaut. Der Tunnel steht laut Monitor ohne Fehler.
Allerdings ist keine Verbindung in das jeweils andere Netzwerk möglich. Ich habe da bestimmt schon mal zig mal drauf gesehen, finde jedoch den Fehler nicht.

Auf der Gegenseite waren einmal alle Rechner dahinter aus. Nur der Switch hinter der Lancom hatte noch Strom. Seltsamerweise brach der Tunnel auch zusammen. Das kann doch eigentlich nicht sein.

Wo könnte ich hier noch suchen?

[MariusP]

Hi,
Was sagen die IP-Router traces auf den jeweiligen Seiten, wenn du einen Ping durch den Tunnel schickst.
Gruß

[RalphT]

Hallo Marius,

ich bin im Umgang mit den Traces nicht so bewandert. Das war auch mein Gedanke, nur ich weiß nicht genau, welchen Befehl ich eingeben muss um zu einem Ergebnis zu kommen.

Kannst Du eine Hilfestellung geben?

[hyperjojo]

hi,

ich bin im Umgang mit den Traces nicht so bewandert. Das war auch mein Gedanke, nur ich weiß nicht genau, welchen Befehl ich eingeben muss um zu einem Ergebnis zu kommen.
Kannst Du eine Hilfestellung geben?

tr # ip-r

Den gleichen Befehl kannst du zum Beenden des Trace nutzen.

Gruß hyperjojo

[MariusP]

Hi,
http://lmgtfy.com/?q=trace+lancom
Die ersten 4 Links sollte dich in das Thema der Traces gut einführen.
Und weil Google nicht alles direkt anzeigt habe ich dir einen sogar direkt herrausgesucht:
https://www2.lancom.de/kb.nsf/1275/7CFB ... enDocument
Gruß

[RalphT]

Erst mal Danke!

Heute abend habe ich Zeit dafür. Ich melde mich.

[garfield0815]

du schreibst
ist keine Verbindung in das jeweils andere Netzwerk möglich
wie überprüfst du das anhand der dns oder ip adresse

passen die routing einträge

kommst du von einem netz auf den gegenüberliegenden router
ist der router auf der jeweiligen seite auch der default gw

gibt es in der firewall allow einträge für die gegenstele

kommst du ip mäsig (mit ping) bzw //server IP /freigabe/ auf die andere seite

mach mahl start cmd
und dan in der dos box
tracert "ip der gegenseite"

wie weit kommst du

sollte aber eigendlich auch ohne funktioniren
aktivre aber trotzdem mahl nat traversal

[RalphT]

Jetzt bin ich etwas weiter.

Ich starte ein PING in der Zweigstelle zur Hauptstelle.

Wenn ich an dem Router Zweigstelle sitze, dann sieht man, dass die Pakete raus gehen. Jedoch kommt nichts an.
Sitze ich jedoch in der Haupstelle, dann sehe ich, dass das Paket ankommt und mit echo reply beantwortet wird.

Ich habe nochmal auf beiden Seiten die Routingeinträge kontrolliert. Auf beiden Seiten gibt es eine DENY-ALL Regel, die jedoch nicht anschlägt (Monitor zeigt nichts an)

Der Haken bei NAT-Traversal half nicht weiter.

[garfield0815]

wenn du eine DENY-ALL strategie hast

würde ich die firewall zum test mahl auschalten

und auf jedenfall eine alow vpn bzw gegenstelle gegenstelle einrichten

ein ping kan aber auch vom lancom geblockt werden
firewall -> algemein -> ping blockiren

[RalphT]

Das hatte ich schon mal testweise probiert. Daran liegt das nicht. PING wird auch nicht verboten. Es läuft übrigens kein Protokoll. Probiert habe ich RDP, NET-BIOS, ICMP und ein spezielles.

[MariusP]

Hi,
Wohin wird denn der Echo Reply geroutet?
Denke das du quasi jede Schicht nacheinander tracen kannst.
Wird der Ping abgeschickt? ICMP Trace
Wird der Ping in das VPN geschickt? IP-R Trace
Wird das VPN an die Gegenstelle abgeschickt? VPN-Packet trace

Kommt das VPN Packet an? VPN-Packet trace
Wird das Paket an das Lan geschickt?IP-R Trace?
bearbeitet ICMP das Paket? ICMP Trace

usw usw.
Gruß

[RalphT]

Ehrlich gesagt, so richtig weiter wusste ich hier nicht mehr. Habs erstmal etwas sacken lassen und dann kam mir die Idee ganz von vorne anzufangen. Auf beiden Seiten alle Einträge gelöscht und mit neuen Bezeichnungen alles wieder händisch angelegt. War eine Tipparbeit von ca. 15 Min.

Gleich der erste Versuch klappte. Alles in Ordnung. Was da nun war - keine Ahnung.

[MariusP]

Hi,
Wie gesagt die trace chain hilft dir häufig.
Gruß

[RalphT]

Hallo,

leider muss ich das Thema doch nochmal aufgreifen.

Ich hatte einen Routertausch. Auf dem Router waren 5 VPNs konfiguriert. Der alte Router war noch da, zum Anschreiben.
Die Gegenstellen wurde nicht verändert.

Also einen Tunnel nach dem anderen auf den neuen Router angelegt und die Werte vom alten Router abgeschrieben.
Es kam so, wie es kommen musste: 3 funktionierten auf Anhieb, die anderen beiden nicht. Der gleiche Fehler, wie eingangs beschrieben. Dann hatte ich einen Tunnel komplett gelöscht und wieder neu angelegt. Danach lief dieser auch.

Jetzt ist noch einer übrig. Dieser Tunnel hat als Gegenstelle kein Lancomrouter. Ist ja auch kein Problem, lief vorher ja auch. Übrigens, der Tunnel steht, lt Monitor und Gegenstelle.

Ich habe einen Ping zur Gegenstelle geschickt und dabei einen Trace IP-Router laufen lassen. Die Packete verließen den Tunnel.
Auf der Gegenseite habe ich mir die Paket im Monitor angesehen. Dort kommen sie auch an. So wie es aussieht, verlassen die Antwortpakete auch die Gegenstelle wieder.

Nur hier kommt nichts an. (Trace IP-Router)

Ich habe jetzt ein Problem, dieses zu deuten. Wo muss ich jetzt weiter suchen?

Eine weitere Frag tat sich bei der Fehlersuche auf: In der PPP-Verbindung muss ein Benutzername und Passwort hinterlegt werden. Da habe ich doch freie Wahl oder? Kann die Gegenstelle auch eine andere Namen/Passwortkombination haben?

Nachtrag:

Alles ist so geblieben, wie es vorher war. Also auch alle Netzbeziehungen zueinander usw.

[MariusP]

Hi,

So wie es aussieht, verlassen die Antwortpakete auch die Gegenstelle wieder.

Da wir leider nicht wissen wie dein Netz auschaut und wir keinen Trace von dir gezeigt bekommen, können wir so nicht sagen ob das Paket auch den Router in Richtung der richtigen IP verlässt.
Gruß