mit gründlich Nachlesen und der guten Hilfe von Euch habe ich es geschafft, dass der LC1821 8 Gateways per VPN erreicht. Danke dafür! Darunter auch eine Netscreen 25 und eine PIX. Allerdings erst nachdem ich die Proposal Listen editiert habe - meist genehmigt er sich PSK-AES-SHA / Gruppe 5. Klappt alles wunderbar ohne großartige Verzögerung. Er baut die Strecken auf und ich kann ohne Probleme dahin wo ich will.
Jetzt möchte ich das ganze auch von unterwegs nutzen. Da habe ich auf der CD den Advanced VPN Client gefunden und als 30 Tage DEMO Version installiert. Den Zugang habe ich per Wizard gebastelt und bin erst mal auf die Nase geflogen. Leider funktionierte es erst, als ich im Config unter //VPN/Verbindungs- Parameter/Zugangsname die IKE Gruppe auf die Listen für IKE und IPSEC auf meine vordefinierten "nur" PSK-AES-SHA bzw. AES-SHA-96 gestellt habe und das adaptiv am Advanced Client auch gemacht habe. Auth mache ich beidseitig wie vom Wiz. gewünscht per FQUN. Ist auch XAUTH möglich? Der LC Advanced VPN Client baut via Bluetooth wunderbar mit meinem imat Jasjar eine UMTS Verbindung via EPlus auf und macht einen Handshake. Im trace + VPN sehe ich, dass der 1+2 Phase Handshake ohne Probleme klappt - ebenso auf dem Client im Logbuch.
Im Client habe ich definiert, welche Netze er erreichen soll - das wichtigste ist erstmal das Netz hinter dem 1821. Hab' ihm gesagt dass da 192.168.10.0/24 ist und er das über den Client machen soll.
Firewall ist zum Testen aus.
Problem 1: Im Netz durch die Landschaft surfen kann ich - nur hinter dem Router erreichen kann ich nix per LC Advanced VPN Client. Er sagt aber auf beiden Seiten, dass Handshake geklappt hat. Welche Daten werden benötigt, damit das Problem gelöst werden kann? Welche Fehler macht der blöde User da meistens?
Problem 2: Demo Version/ Verständnis Problem - Hab' ich nicht schon 5 Nutz- Kanäle, die ich gleichzeitig nutzen kann? Bei Netscreen gibt's dazu passend auch immer einen Client. Muss ich da einen Schlüssel freischalten ähnlich wie bei dynamischer VPN Option? Ich find' da nämlich nix. Ich geh' mal davon aus dass ich den doch kaufen muss mir reicht ja erstmal eine Lizenz für mich selbst. Bei Geizhals finde ich keinen Anbieter. Wo krieg' ich einen Lizenzschlüssel am günstigsten - wenn ja zu welchem Preis? Mich regt ja schon tierisch auf, dass da "DEMO" im Lan- Monitor bei den VPN Verbindungen steht - das muss da weg - Igitt fuba.
Problem 3: Der Juniper Client (nicht mehr installiert) baute bei Bedarf eine VPN Verbindung auf - wenn er gemerkt hat, dass ich genau da oder da hin wollte. Beim LC Advanced VPN Client muss ich immer selbst "start" drücken. Geht das irgendwie auch automatisch? Wäre schon lässig cool, wenn die Applikation nur geöffnet werden müsste
Problem 4: Dazwischen gibt's bei der Netscreen Gegenstelle noch ein kleineres Problem. Der LC baut durch einen IPSEC Tunnel eine PPTP Verbindung zu einem Gateway dahinter auf. Da ich die Verbindung am seltensten brauche möcht' ich die aber wieder zu haben - wenn ich sie nicht mehr brauche (Ist nur mein Arbeitgeber) - da ich meist die 5 Nutzkanäle für andere Strecken brauche bzw. Orwell mir da nicht lieb ist. Dauerverbindung mit Polling ist also nicht. Offensichtlich sieht er aber nicht, dass durch den IPSEC Tunnel Daten/ GRE Pakete laufen und macht ihn nach der eingestellten Haltezeit wieder zu. Da ich noch eine AS400 Verbindung auf der Strecke offen habe, ist das ziemlich blöde - denn die Sitzung kracht dann und meine Jobs laufen nicht weiter. Wie sollte ich das konfigurieren, damit der VPN Tunnel bei bestehender PPTP Verbindung durch den Tunnel nicht zu geht?
[edit] zu Problem 1: Log sagt später "Endpoint Security: Connect to Server failed", Suche im Forum hat mir nicht geholfen. Offensichtlich bekannt, bringt mich aber nicht weiter [/edit]
Wieder so ein Thema, was ich mir nicht erklären kann.
Dann käme bei mir jeweils nur letzteres in Frage, warscheinlich habe ich auch deswegen obiges in Frage gestellt. So ganz habe ich den "Dynamischen" Teil ja auch noch nicht verstanden (arbeite nicht mit main mode), wohl aber, dass ich jeweils am besten mit FQUN arbeite, bei festen Gegenstellen mit IP. Ich glaube, das ist ein Buch, das man nie zuende lesen kann.
sitze hier immer noch ohne AVC.