VPN Tunnel steht, aber Routen "verschwinden"

[Gabi]

Hallo,
habe eine Hauptstelle mit Terminalserver und 3 Außenstellen, die sich per RDP verbinden. Alle sind mit je einem Lancom 1781VAW per VPN verbunden. Routen und Firewallregeln sind gesetzt und auch noch mal mit dem Knowledgebaseartikel "weitere Netzte über VPN Tunnel routen" verglichen. An jedem Standort sind 2 Netze mit 2 verschiedenen Adressbereiche. Einen für eine VoiP Telefonanlage und einen für das Kundennetzwerk.
Zunächst funktioniert alles. Dann nach ca einer halben Stunde kann in den Außenstellen nicht mehr gedruckt werden (Drucker sind per IP verbunden). Ein Ping zum Server der Hauptstelle geht auch nicht mehr durch. Merkwürdigerweise steht der Tunnel und es kann auch auf dem Terminalserver weitergearbeitet werden. Zeitweise geht auch die RDP Verbindung nicht mehr. Alles funktioniert wieder, wenn man den Router in der Hauptstelle neu startet.
Im Moment hab ich keine Idee wo ich ansetzen soll. Lancom Support meinte "die Routen verschwinden aus der ARP Tabelle" und wir haben daraufhin den Router in der Hauptstelle getauscht. Ohne Erfolg.

Vielleicht hat ja jemand von Euch noch eine Idee.

[MariusP]

Hi,
Wo bleiben denn die VPN-Pakete hängen?
Gruß

[Jirka]

Hallo Gabi,

und auch noch mal mit dem Knowledgebaseartikel "weitere Netzte über VPN Tunnel routen" verglichen.

ich sehe hier nach Deiner Beschreibung keinen Grund, diesen Knowledgebase-Artikel für Dein Szenario zu verwenden. Im Gegenteil, es sieht danach aus, als ob das zu einem Problem wird. Mehrere lokale Netze verbindet man ganz normal mit Routen dahin, wie das erste Netz der VPN auch. Wenn Du die Netzbeziehungen nicht automatisch erstellst, brauchst' noch eine zusätzliche VPN-Regel.

Viele Grüße,
Jirka

[Gabi]

Hallo zusammen,

ich habe entsprechende Routen in der Routingtabelle angelegt und auch eine passende Regel dazu.
Der Fehler lässt sich simulieren, indem man eine Konfigurationsänderung macht und dann hoch lädt. Dabei löscht der Lancom die ARP Tabelle, das sieht man wenn man mit Putty draufschaut. Dann braucht es sehr lange bis der Server (IP und MAC) wieder in der ARP Tabelle auftaucht und solange kann auch keine RDP Verbindung mehr aufgebaut werden. Der VPN Tunnel bleibt bestehen. Dieses Phänomen tritt eben auch mal zwischendurch auf, ohne Konfigurationsänderung. Und dann kann man eben den Server nicht mehr erreichen.
Ich weiß noch nicht wo ich ansetzen soll und ob diese Probleme wirklich was mit meinen Routen zu tun.
Der Lancom Support hat drauf geschaut und meint die Routen seien in Ordnung.

Inzwischen weiß ich, daß der Lancom alle 15 Minuten schaut, ob die Einträge in der ARP Tabelle noch aktuell sind. Demnach findet er den Server wohl nicht mehr und löscht ihn aus der Tabelle. an ETH1 hängt das Kundennetz und an ETH2 hängt die Telefonanlage. Beide waren auf "Bridge1" eingestellt. Diese habe ich nun wieder in "LAN1" und "LAN2" getrennt. Ob die Telefonanlagen jetzt noch kommunizieren konnte ich noch nicht testen, aber die ARP Tabelle baut sich nun nach Konfigurationsänderung sofort wieder auf.

[Gabi]

Hallo Jirka,

warum ist den der Knowledgebaseartikel nicht das richtige Szenario, ich möchte doch 2 Netze in einen Tunnel routen?

Hallo MariusP,

schaue mir morgen mal an was die VPN Pakete so treiben.

[Jirka]

Hi,

weil es da um ein Netz geht, was hinter dem anderen Router zu erreichen ist, das ist bei Dir aber nicht der Fall -> folglich passt das nicht.

Viele Grüße,
Jirka

[Bernie137]

Hi,

wäre es nicht einfacher, jeden Standort mit zwei VPN-Tunnel an die Zenztrale anzubinden und somit die Netze einfach getrennt zu belassen? Ein weiterer Vorteil könnte dann die Aufteilung der VPN-Tunnel auf verschiedene WAN-Verbindungen sein.

vg Bernie

[Jirka]

Hallo Bernie,

das funktioniert aber nur, wenn Du verschiedene WAN-Verbindungen hast oder mit Zertifikaten. Aber unterm Strich alles sinnfrei, man kann doch die eine VPN-Verbindung nehmen.

Viele Grüße,
Jirka

[Gabi]

Hallo Jirka, Hallo Bernie,

vielen Dank für Eure Antworten. Habe die Netze im Lancom nun sauber getrennt und die Firewallregeln angepasst damit die Netzwerke der Standorte untereinander kommunizieren können und die "Telefonnetze" getrennt davon. "Telefonnetz" und "Computernetz" hab ich durch einen Tunnel geroutet. Jetzt muss der Telefontechniker nur noch seine Telefone richtig einstellen (IP und Gateway) damit diese wieder funktionieren.
Im Laufe der Fehlersuche ist mir dann auch klar geworden, warum die Einträge für z.B den Server verschwinden. Der Lancom prüft alle 15 Minuten ob die Einträge noch passen. Manchmal hat er ihn nicht mehr schnell genug gefunden und eben aus der Tabelle gelöscht. Dies erklärt auch, warum der Fehler zu unterschieldichen Zeiten auftrat. Und Ursache war, dass die ETH-Ports an denen "Telefonnetz" und "Computernetz" hingen gebridged waren. Zudem hat der Telefontechniker die Telefone IP-technisch mal ins "PC Netz" und mal ins "Telefonnetz" gehangen. Und an einem Standort hängt der IP-Bereich der Telefone und der Bereich der Computer an einem unmanaged Switch.
Hab jedenfalls wieder einiges dazu gelernt.

Liebe Grüße
Gabi