Dynamic VPN über DSL/I - 1611 Office keine Verbindung

Hellfire · Beitrag von **Hellfire** » 23 Sep 2005, 10:58

Hallo, hab mal wieder ein Problem mit VPN...

Wir haben 2 LANCOM DSL/I - 1611 Office FW 5.02, die wir über Dynamic VPN vebinden wollen.

Beide Gegenstellen sind T-DSL Anschlüsse, beide mit dynamischer IP Adresse. Provider sind einmal T-Online und einmal Congster.

Die Router sollen sich über den D-Kanal der ISDN Leitung die IP Adresse übermitteln und dann das VPN Verbinden.

Beide Router hängen direckt am S0 Bus des NTBA.

Lanmonitor gibt aus, das ein abgehender Ruf auf dem ISDN Kanal stattfinden, es zu einer protokollverhandlung kommt und schliest sich dann wieder.

VPN gibt danach aus:
Agehender Ruf zu *Gegenstelle* über *DSL Verbindung*

Das steht dann da ne weille, passieren tut nix und dann heißt es.
Zeitüberschreitung während Signalisierung oder Authentifizierung (Initiator) (0x1105)

Entferner Gateway ist dabei nicht zugewiesen (unter VPN - Verbindungsliste)

Wenn ich im Router unter VPN in der Verbindungsliste als Entferntes Gateway
die Router IP der Gegenstelle angebe versucht er über die Gegenstelle online zu gehen (denke ich zumindest?!?!) gebe ich meinen eigenen Gateway ein, kommt anstelle der Meldung:
Zeitüberschreitung während Signalisierung oder Authentifizierung (Initiator) (0x1105)

die Meldung (sinngemäß)
Zeitüberschreitung bei der IKE-Schlüssel Verhandlung.

Also ich bin völlig am Ende mit meinem Latein, ich kann mir eigentlich nur noch vosrstellen das einer der Router nen schuss hat.

Wir haben beide Router schon resettet und alles neu eingegeben, Firewall ist nicht aktiv, bzw nur mit den Einstellungen versehen die der Setup Assistent bei der VPN einrichtung vergibt.
Beide Anschlüsse übertragen die Rufnummer einwandfrei und da es zu einer Protokollverhandlung kommt und ich das an der Gegenstelle auch sehe das der ISDN Kanal geöffnet wird, denk ich ist es ein VPN bzw LAN Problem und kein ISDN Problem.

Kann mir jemand helfen oder hat jemand ne Konfig für mich die garantier funktioniert bei der ich nur noch meine MSN`s und IP`s eingeben muss?

Hat das jemand in dieser Konstellation am Laufen und kann mir seine Konfig mal zur einsicht geben?

Danke schonmal für eure Hilfe.

eddia · Beitrag von **eddia** » 23 Sep 2005, 17:26

Hallo Hellfire,

Das steht dann da ne weille, passieren tut nix und dann heißt es.
Zeitüberschreitung während Signalisierung oder Authentifizierung (Initiator) (0x1105)

mach mal einen VPN-Status Trace während des Verbindungsaufbaus auf dem entfernten Gateway.

Gruß

Mario

backslash · Beitrag von **backslash** » 24 Sep 2005, 22:12

Hi Hellfire

Beide Anschlüsse übertragen die Rufnummer einwandfrei und da es zu einer Protokollverhandlung kommt und ich das an der Gegenstelle auch sehe das der ISDN Kanal geöffnet wird, denk ich ist es ein VPN bzw LAN Problem und kein ISDN Problem.

Also wenn es wirklich zu einer Protokollverhandlung kommt, dann stimmt die Konfiguration im angerufenen Router nicht: Der Router erkennt nicht anhand der Rufnummer, daß es der "Trigger-Ruf" ist. Daher versucht er auch nicht, die im D-Kanal übermittelte IP-Adresse zu extrahieren, sondern versucht sie über die PPP-Verhandleung (also im B-Kanal) zu ermitteln.

Da nach der Protokollverhandlung aber auch keine Verbindung zustandekommt, stimmen offenbar auch die PPP-Parameter (Stichwort: Username und Paßwort) nicht.

Richte die Verbindungen am besten nochmal mit dem Wizard neu ein und beachte dabei, jeweils den eigenen Bezeichner und den der Gegenstelle über kreuz einzusetzen...

Ach ja: für alle dynamic VPN-Verbindungen sollte jeweils ein anderes Paßwort verwendet werden

Wichtig ist auch, daß die ankommende Nummer korrekt eingetragen wird, d.h. mit Vorwahl aber ohne führende Nullen, d.h. hat die Gegenseite die Rufnummer 123456 und steht in Aachen, dann ist die ankommende Nummer 241123456.

Gruß
Backslash

Hellfire · Beitrag von **Hellfire** » 26 Sep 2005, 11:36

danke für eure Hilfe, hab das Problem gelöst...

Ein Router wurde mit LanConfig 5,04 konfiguriert (so wie es sein sollte) aber die Gegenstelle hat ihren Router mit LanConfig 5.02 configuriert und das war auch schon das ganze Problem.

Beide Router resettet, beide noch all mit LanCobfig 5.04 konfiguriert und es funktionierte auf anhieb.

Kleiner Tip falls mal jemand das Problem haben sollte hinter ner Octopus F200 Anlage zu hängen.

Gebt dem Router unter "Kommunikation" KEINE MSN sondern nur dem Internen S0 Bus der Anlage ne Durchwahl.
Wenn ihr dfem Router ne MSN gebt kommt die Anlage nicht mehr mit...

Und falls es nicht auf 100% Sicherheit ankommt und eure Telefonanlage auch nur das macht was sie will und nicht das was ihr wollt, lasst das Feld bei "Ankommende Rufnummer" einfach leer... dann funktioniert es mit Sicherheit.

K

Beitrag von **LoUiS** » 26 Sep 2005, 12:36

Hi,

Ein Router wurde mit LanConfig 5,04 konfiguriert (so wie es sein sollte) aber die Gegenstelle hat ihren Router mit LanConfig 5.02 configuriert und das war auch schon das ganze Problem.

das kann ich nicht so recht glauben, da sich zwischen 5.02 und 5.04 an den Assistenten nichts geaendert hat.

Kleiner Tip falls mal jemand das Problem haben sollte hinter ner Octopus F200 Anlage zu hängen.

Gebt dem Router unter "Kommunikation" KEINE MSN sondern nur dem Internen S0 Bus der Anlage ne Durchwahl.
Wenn ihr dfem Router ne MSN gebt kommt die Anlage nicht mehr mit...

Das halte ich fuer eine schlechte Loesung, da nun das LANCOM alle auf diesem S0 Bus ankommenden Rufe annehmen wird, egal welche MSN sie haben. Wenn man als MSN, die entsprechende Durchwahl eintraegt (die man vorher fuer diesen Port in der Anlage festgelegt hat), funktioniert das einwandfrei. Es kann dann im LANCOM per Telnet/SSH unter "/status/call-info"geprueft werden, welche MSN uebermittelt wird. Das sieht dort so aus:

Code: Alles auswählen

root@1821:/Status/Call-Information
> l

System-time           Ifc        CLIP-Caller           Dial-Caller           Capab.      B-chan.
------------------------------------------------------------------------------------------------
9/22/2005 21:33:01    S0-1       241123456             34                    HDLC64K     2

Aus dem Beispiel ist ersichtlich, das der Anrufer (CLIP Caller) die Nummer (0)241 123456 hatte und der Ruf auf die Durchwahl 34 gehen sollte. Die "34" ist intern in der TK Anlage konfiguriert.

Und falls es nicht auf 100% Sicherheit ankommt und eure Telefonanlage auch nur das macht was sie will und nicht das was ihr wollt, lasst das Feld bei "Ankommende Rufnummer" einfach leer... dann funktioniert es mit Sicherheit.

Finde ich ebenfalls uebel, weil ja wie oben erklaert nun das LANCOM an jeden Ruf rangeht. Wenn an dem Bus nun noch andere Geraete haengen gibts Aerger.

Ciao
LoUiS