Gelöst: R883+ Zielnetz nicht erreichbar

[ned_devine]

Hallo,
die Lancom-Umgebung ist neu für mich und ich habe folgendes Problem:
Router-Einrichtung vorgefunden, nicht selber erstellt. Nun sollen VPN-Zugänge über den Advanced-Client und über Shrewsoft ermöglicht werden.
Angefangen mit dem Lancom-Client und IKEv2 bekomme ich wenigstens eine Verbindung zum Router, jedoch nicht zu dem dahinterliegendem Netz.
Firmware und Client-Software sind aktuell, ich vermute ein Routing- oder Firewall-Problem, kenne mich da aber nicht wirklich aus.
IPv4-Regeln sagen mir z.B. für "GENERIC-RAS-ACCESS-FOR-WIZ", dass das lokale Netz 0.0.0.0/0 zum entfernten Netz 0.0.0.0/32 verbunden werden soll, das ist ja wohl erstmal nicht so falsch, oder?

Vielen Dank und viele Grüße

[backslash]

Hi ned_devine

Angefangen mit dem Lancom-Client und IKEv2 bekomme ich wenigstens eine Verbindung zum Router, jedoch nicht zu dem dahinterliegendem Netz.
(...)
ich vermute ein Routing- oder Firewall-Problem, kenne mich da aber nicht wirklich aus.

Das läßt sich eigentlich ganz einfach prüfen... schalte im LANCOM den IP-Router-Trace ein (am besten auf ICMP gefiltert) und versuche vom VPN-Client auf einen Host in deinem LAN zu pingen. Wenn der Trace das Ping von VPN-Client zum Host zeigt, nicht aber die Antwort, dann liegt das Problen beim Host. Der nutzt dann entweder nicht das LANCOM als sein Default-Gateway oder aber er eine Desktop-Firewall aktiv, die Zugriffe aus fremden Netzen verbietet (das ist z.B. bei vielen NAS-Boxen der Fall)
Falls das LANCOM das ping schon filtert, wird das auch im Router-Trace angezeigt (Port-Filter). Dann hast du selbst eine Sperr-Regel in der Firewall des LANCOMs und mußt eine passende ALLOW-Regel für den VPN-Client anlegen:

Code: Alles auswählen

Name:    ALLOW-VPN-Client
Aktion:  übertragen
Quelle:  eine bestimmte Gegenstelle: Name der VPN-Client-Verbindung
Ziel:    alle Stationen im lokalen Netz
Dinetse: alle Dienste

Gruß
Backslash

[ned_devine]

Vielen Dank.
Das habe ich getestet, Das Trace-Log zeigt mir, dass ich gar nicht über den Router hinaus komme.
Also habe ich eine Allow-Firewall-Regel nach Deinen Vorgaben angelegt.
Das Problem bleibt.
Ping auf den Router funktioniert, alle anderen Netzwerkadressen sind nicht erreichbar.

[hyperjojo]

hallo,

ist der Router über die LMC verwaltet? Oder ist aus einem anderen Grund keine 0-getaggte Default-Route vorhanden? Dann kommst du bei der Client-Einwahl zwar in das entsprechende Netz, aber der Router routet dich (auf Grund fehlender Route aus deinem ARF-Kontext) nicht in weitere Netze. Ist mir die Tage auch so passiert.
Abhilfe: In der WAN-Tag-Tabelle für deine VPN-Einwahl Verbindung ein entsprechendes Tag setzen...

Gruß hyperjojo

[ned_devine]

Vielen Dank, das war's.
Richtiges Tag gesetzt und schon läuft es.