Erfahrungen mit Shrew?

[Message]

Hi. Habe nun ein Lancom 1711 VPN hier und würde gern über einen externen PC via VPN auf unser Netzwerk zugreifen. Gibt es hier Leute die Erfahrungen mit dem kostenlosen Tool Shrew haben? Speziell würde mich interessieren, welche Einstellungen ich im Lancom und im Shrew vornehmen muss, eine offizielle Anleitung für andere als die Lancom eigenen Clients konnte ich leider nicht finden.

www.shrew.net

[eddia]

Hallo Message,

Gibt es hier Leute die Erfahrungen mit dem kostenlosen Tool Shrew haben?

es funktioniert.

Speziell würde mich interessieren, welche Einstellungen ich im Lancom und im Shrew vornehmen muss

http://www.lancom-forum.de/htopic,4835,.html

Gruß

Mario

[Message]

Danke, hatte nur nach Shrew im Board gesucht, nicht nach Shrewsoft. Da kam nix bei raus...
Allerdings funktioniert es bei mir nicht. Habe daher die Testversion vom Lancom Advantage VPN Client installiert, aber damit kommt auch keine Verbindung zu Stande. Hier mal die Logdatei:

14.04.2007 19:27:30 RWSGA using OperatingSystem - 5
14.04.2007 19:27:30 Firewall recognized adapter - NCP VPN Adapter
14.04.2007 19:27:30 FW configures adapter NCP VPN Adapter
14.04.2007 19:27:30 Als Testversion lizenziert - 5.
14.04.2007 19:27:30 License for Oem Version - 0
14.04.2007 19:27:30 Found adapter: Atheros AR5005G Wireless Network Adapter with MTU 1500 bytes
14.04.2007 19:27:30 Firewall recognized adapter - Atheros AR5005G Wireless Network Adapter
14.04.2007 19:27:30 FW configures adapter Atheros AR5005G Wireless Network Adapter
14.04.2007 19:27:30 Found adapter: NDISWAN with MTU 1400 bytes
14.04.2007 19:27:30 Firewall recognized adapter - NDISWAN
14.04.2007 19:27:30 FW configures adapter NDISWAN
14.04.2007 19:27:30 Testversion abgelaufen
14.04.2007 19:27:30 Als Testversion lizenziert - 2588720.
14.04.2007 19:27:30 License for Oem Version - 5
14.04.2007 19:27:30 Monitor : Installed - LANCOM Advanced VPN Client 900 Build 30
14.04.2007 19:27:30 Monitor : Trial version (valid for another 30 days)
14.04.2007 19:29:06 Protecting RAS adapter - 0
14.04.2007 19:29:07 IPSDIALCHAN::start building connection
14.04.2007 19:29:07 IPSDIAL::DNSREQ: resolving dnserver over lan: xxx
14.04.2007 19:29:07 IPSDIAL->DNSREQ: resolved ipadr: 084.137.123.112
14.04.2007 19:29:07 NCPIKE-phase1:name(xxx) - outgoing connect request - aggressive mode.
14.04.2007 19:29:07 XMIT_MSG1_AGGRESSIVE - xxx
14.04.2007 19:29:36 NCPIKE-phase1:name(xxx) - error - retry timeout - max retries
14.04.2007 19:29:36 IPSDIAL - disconnected from xxx on channel 1.

Den Lancom habe ich nach Anleitung konfiguriert (für den Advantage Client). Am entfernten Standort habe ich in der Fritz!box die Ports UDP 500 und UDP 4500 auf mein Notebook konfiguriert.

Muss ich im Lancom noch was einstellen?
Wenn ich mit dem Client versuche eine Verbindung aufzubauen erscheint in der Logdatei vom Lancom kein Eintrag darüber.

[eddia]

Hallo Message,

14.04.2007 19:29:07 NCPIKE-phase1:name(xxx) - outgoing connect request - aggressive mode.
14.04.2007 19:29:07 XMIT_MSG1_AGGRESSIVE - xxx
14.04.2007 19:29:36 NCPIKE-phase1:name(xxx) - error - retry timeout - max retries

auf dieser Adresse hat niemand geantwortet. Bist Du sicher, dass der Lancom die 84.137.123.112 als WAN-IP besitzt?

Wenn ich mit dem Client versuche eine Verbindung aufzubauen erscheint in der Logdatei vom Lancom kein Eintrag darüber.

Es ist unklar, was Du mit Logdatei meinst. Richtig ist ein trace # vpn-status.

Gruß

Mario

[Message]

Hatte in die Logdatei vom Lanmonitor geguckt, da stand nix drin. Habe jetzt per Telnet geguckt, da kommt folgendes:

root@:/
> trace # vpn-status
VPN-Status ON

root@:/
>
[VPN-Status] 2007/04/14 20:58:34,230
IKE info: The remote server 195.4.47.219:500 peer def-aggr-peer id <no_id> supports draft-ietf-ipsec-isakmp-xauth
IKE info: The remote server 195.4.47.219:500 peer def-aggr-peer id <no_id> supports NAT-T in mode draft
IKE info: The remote server 195.4.47.219:500 peer def-aggr-peer id <no_id> supports NAT-T in mode draft
IKE info: The remote server 195.4.47.219:500 peer def-aggr-peer id <no_id> supports NAT-T in mode draft
IKE info: The remote server 195.4.47.219:500 peer def-aggr-peer id <no_id> supports NAT-T in mode rfc
IKE info: The remote server 195.4.47.219:500 peer def-aggr-peer id <no_id> negotiated rfc-3706-dead-peer-detection
IKE info: The remote client 195.4.47.219:500 peer def-aggr-peer id <no_id> is NCP LANCOM Serial Number Protocol 1.0 with serial number 0
IKE info: The remote server 195.4.47.219:500 peer def-aggr-peer id <no_id> supports NAT-T in mode rfc


[VPN-Status] 2007/04/14 20:58:34,240
IKE info: Phase-1 remote proposal 1 for peer def-aggr-peer matched with local proposal 1


[VPN-Status] 2007/04/14 20:58:34,240
IKE log: 205834 Default dropped message from 195.4.47.219 port 500 due to notification type INVALID_ID_INFORMATION


[VPN-Status] 2007/04/14 20:58:34,240
IKE info: dropped message from peer unknown 195.4.47.219 port 500 due to notification type INVALID_ID_INFORMATION

Was bedeutet das INVALID_ID_INFORMATION? Username hab ich doch richtig eingeben.

[Message]

Habs geschafft, läuft jetzt auch über Shrew. Nur wie kann ich denn jetzt vermeiden, dass z.B. Internetseiten die ich aufrufe über das VPN Netzwerk aufgerufen werden?

Edit: Bzw. was ich eigentlich vorhabe ist, dass der über VPN eingewählte Client PC im Netzwerk nur ein bestimmtes Programm nutzen kann. Die dafür benötigte Datenbank liegt auf einem Windows 2000 Server. Kennt sich damit Jemand aus? Wie kann diesem Nutzer ermöglichen nur dieses programm zu nutzen?

[ittk]

Hi,

hierzu musst du LANCOM-seitig den VPN-Zugang mit Split-Tunneling einrichten. Das wirst du im Wizard gefagt (Punkt: Welche netze sollen durch den Tunnel erreichbar sein?).

Ferner musst du im Verbindungsprofil --> Policy--> Die automatische Routingtabellenkonfig deaktivieren und dort ebenfalls das identische Netzwerk (include List), welches durch den Tunnel erreicht werden soll eingeben.

[Message]

Danke, so funktioniert es, kann zumindest auf das Webinterface des Servers zugreifen. Aber wie kann ich nun zu einem Netzlaufwerk des Servers verbinden? Habe auf meinem Notebook die gleiche Arbeitsgruppe eingerichtet, jedoch werde ich beim Einrichten des Netzlaufwerks immer nach einem Usernamen + Pass gefragt, obwohl ich die Werte richtig eingegeben habe. Muss ich noch was beachten? ADS it auf dem Server aktiv, jedoch sind bei uns alle Rechner so konfiguiert, dass sie nur Teil einer Arbeitsgruppe sind, nicht Teil von ADS.

[eddia]

Hallo Message,

jedoch werde ich beim Einrichten des Netzlaufwerks immer nach einem Usernamen + Pass gefragt, obwohl ich die Werte richtig eingegeben habe.

versuch's beim Usernamen mal mit der Voranstellung des Domänennamen des Servers - also domain\user.

ADS it auf dem Server aktiv, jedoch sind bei uns alle Rechner so konfiguiert, dass sie nur Teil einer Arbeitsgruppe sind, nicht Teil von ADS.

Das muss ich jetzt nicht verstehen...

Gruß

Mario

[ittk]

Hi,

eddia hat Recht mit seiner syntax. Denn du bist hoechstwahrscheinlich mit deinem Rechner nicht an der Domaene authentifiziert, somit musst du trotz richtiger Arbeitsgruppe den Usernamen als Domainname\username angeben.

Du koennst deinen Rechner in die Domaene einbinden oder ein gecachtes Domainprofil (Netzwerkverbindung vor der Anmeldung ziehen) nutzen.

Das die VPN-Verbindung vor dem Domain-logon aufgebaut sein muss (erster Fall) ist dann wohl klar. Das kann der Shrew Client aber (noch?) nicht.

[Message]

Danke, das war es UND die Firewall hat mir einen Strich durch die Rechnung gemacht. Hab "Deny all" abgeschaltet und dann ging es. Welche Ports muss ich denn im Lancom freigeben damit sich andere mit den lokal freigegebenen Laufwerken verbinden können?

Edit: Also ich komme nun bis zur Useranmeldung des Programms das gestartet werden soll. Allerdings scheint die Verbindung zum MS SQL Server nicht richtig funktionieren, muss ich dafür auch noch Ports weiterleiten?

[backslash]

Hi Message

Welche Ports muss ich denn im Lancom freigeben damit sich andere mit den lokal freigegebenen Laufwerken verbinden können?

Code: Alles auswählen

Quelle:  alle Stationen
Ziel:    IP des Servers (oder: alle Stationen im lokalen Netz)
Dienste: TCP, Zielport 445
Aktion:  übertragen, [x] Aktion nur für VPN-Route

Gruß
Backslash

[Message]

Danke, mit dem Netzlaufwerk kann ich so verbinden, nur mit der SQL Datenbank noch nicht. Hast du dafür vielleicht noch n Vorschlag?

Ohne euch wär ich hier glaub ich echt verloren

[ittk]

HI message,

diesselbe Regel, wie Backslash schon genannt hat außer, dass der Port 1433 fuer MS-SQL ist und 3306 z.B. fuer MySQL.

[Message]

Der MSSQL Server wird aber weiterhin nicht gefunden
Muss ich vielleicht noch bei IP Router -> Maskierung eine Weiterleitung eintragen?