VPN-Verbindung zu ISA Server 2006 über LANCOM 1721

hste504 · Beitrag von **hste504** » 09 Mai 2008, 23:29

Bitte um Hilfe,

Ich versuche von zuhause (XP-Rechner an Internet angebunden mit Speedport V701 von Telekom als Router) mit fester IP-Adresse am Router (10.1.10.5; 255.255.255.0) Rechner 10.1.10.25 o. ä.) Router als Gateway (DYNDNS eingeschaltet) und DNS eingetragen auf einen Schulnetzserver zuzugreifen, der über einen Lancom 1721 VPN
(IP 10.1.10.200;255.255.255.0 auf zweiter Netzkarte verbunden). Auf erster Netzkarte (10.1.1.2: 255.255.0.0, DNS 10.1.1.2) ist ein Netz mit Rechnern (10.1.10.xx ; 255.255.0.0) verbunden. Ich habe bei Dyndns zwei Accounts eingerichtet für meinen Rechner zuhause und für den Server in der Schule. Ich habe am Server Isa2006 eingerichtet und alles was für VPN nötig ist freigeschaltet. Es gelingt mir aber nicht am Lancom 1721 eine Verbindung von zuhause oder umgekehrt zu erreichen, obwohl das ja gehen sollte, dafür habe ich den 1721 VPN eigentlich gekauft.
Welche Einstellungen sind am Lancom nötig (am XP_Rechner zuhause und am Server ist alles richtig eingestellt) ?
Versuchsweise habe ich den DYNDNS-Namen im Browser als Adresse eingegeben, was natürlich nicht der richtige Weg ist, aber ich erreichte dann zumindest das Webinterface des Lancom in der Schule, das hilft mir aber nicht weiter.

Hste

Jirka · Beitrag von **Jirka** » 10 Mai 2008, 11:16

Hallo Hste,

oh je.

Ich versuche von zuhause (XP-Rechner an Internet angebunden mit Speedport V701 von Telekom als Router) mit fester IP-Adresse am Router (10.1.10.5; 255.255.255.0) Rechner 10.1.10.25 o. ä.)

Das heißt, Du hast zu Hause das gleiche private IP-Netz eingestellt wie in der Schule? Warum das?

der über einen Lancom 1721 VPN (IP 10.1.10.200;255.255.255.0 auf zweiter Netzkarte verbunden). Auf erster Netzkarte (10.1.1.2: 255.255.0.0, DNS 10.1.1.2) ist ein Netz mit Rechnern (10.1.10.xx ; 255.255.0.0)

Irgendwie überschneiden sich diese Netze, ob das so gut ist, weiß ich nicht.

Es gelingt mir aber nicht am Lancom 1721 eine Verbindung von zuhause oder umgekehrt zu erreichen, obwohl das ja gehen sollte, dafür habe ich den 1721 VPN eigentlich gekauft.

Die normale Anwendung eines 1721 wäre es ein VPN zu einem anderen (VPN-)Router aufzubauen, bei Dir also zu dem Speedport W 701V. Der Speedport kann aber kein VPN. Folglich müßtest Du mit einem VPN-Client für Dein Win-XP-Rechner (oder dessen eingebauten Funktionalitäten) eine Verbindung zum 1721 herstellen. Oder direkt zu Deinem ISA Server 2006.

Versuchsweise habe ich den DYNDNS-Namen im Browser als Adresse eingegeben, was natürlich nicht der richtige Weg ist, aber ich erreichte dann zumindest das Webinterface des Lancom in der Schule, das hilft mir aber nicht weiter.

Das zeigt Dir aber, dass genau hier (DynDNS) überhaupt kein Problem liegt und dass Dein Titel eigentlich falsch gewählt ist. Besser wäre "VPN-Verbindung zu ISA Server 2006 über LANCOM 1721" gewesen (kann man übrigens auch noch nachträglich ändern).

Viele Grüße,
Jirka

hste504 · Beitrag von **hste504** » 10 Mai 2008, 23:28

Hallo Hste,

oh je.

Zitat: ‹ Select ›
Ich versuche von zuhause (XP-Rechner an Internet angebunden mit Speedport V701 von Telekom als Router) mit fester IP-Adresse am Router (10.1.10.5; 255.255.255.0) Rechner 10.1.10.25 o. ä.)

Das heißt, Du hast zu Hause das gleiche private IP-Netz eingestellt wie in der Schule? Warum das?

Zitat: ‹ Select ›
der über einen Lancom 1721 VPN (IP 10.1.10.200;255.255.255.0 auf zweiter Netzkarte verbunden). Auf erster Netzkarte (10.1.1.2: 255.255.0.0, DNS 10.1.1.2) ist ein Netz mit Rechnern (10.1.10.xx ; 255.255.0.0)

Irgendwie überschneiden sich diese Netze, ob das so gut ist, weiß ich nicht.

Zitat: ‹ Select ›
Es gelingt mir aber nicht am Lancom 1721 eine Verbindung von zuhause oder umgekehrt zu erreichen, obwohl das ja gehen sollte, dafür habe ich den 1721 VPN eigentlich gekauft.

Die normale Anwendung eines 1721 wäre es ein VPN zu einem anderen (VPN-)Router aufzubauen, bei Dir also zu dem Speedport W 701V. Der Speedport kann aber kein VPN. Folglich müßtest Du mit einem VPN-Client für Dein Win-XP-Rechner (oder dessen eingebauten Funktionalitäten) eine Verbindung zum 1721 herstellen. Oder direkt zu Deinem ISA Server 2006.

Zitat: ‹ Select ›
Versuchsweise habe ich den DYNDNS-Namen im Browser als Adresse eingegeben, was natürlich nicht der richtige Weg ist, aber ich erreichte dann zumindest das Webinterface des Lancom in der Schule, das hilft mir aber nicht weiter.

Das zeigt Dir aber, dass genau hier (DynDNS) überhaupt kein Problem liegt und dass Dein Titel eigentlich falsch gewählt ist. Besser wäre "VPN-Verbindung zu ISA Server 2006 über LANCOM 1721" gewesen (kann man übrigens auch noch nachträglich ändern).

Viele Grüße,
Jirka

Hallo Jirka,

vielen Dank für die Antwort, etwas genauer, was ich will. zu mir nach Hause vom Schulserver aus ist mir eigentlich nicht so wichtig. Ich will von meinem XP-Rechner (siehe Bild über eingerichtete VPN-Verbindung (mein Rechner hat DYNdnS-Account (beim Speedport V701 eingetragen) und der Server hat auch einen DYNDNS.Account )

[img=http://img147.imageshack.us/img147/7493 ... af8.th.jpg]

beim Server habe ich auch noch zur Sicherheit den DYNDNS-Updater laufen, das heißt diese Verbindung steht, die vom Provider zugeteilte IP ist mit dem DYNDNS-Namen gekoppelt Internet-IP-Adresse und die bei mir auf dem zweiten Account ebenfalls.
Mein Netz zuhause dürfte da eigentlich egal sein, wenn ich nur zum Server will.
Beim ISA-Server habe ich alles was für VPN notwendig ist freigeschaltet und mein Server verteilt auch über DHCP-Adressen und einen dafür vorgesehen Bereich habe ich auch im ISA-Server angegeben. Der Isa-Server läuft auf meinem Server.
Es geht also eigentlich nur darum, was am Lancom eingetragen werden muss, damit ich bis zum Server komme. Mit der oben im Bild gezeigten Einwahl kommt die Fehlermeldung 800 was mir aber nicht so richtig weiterhilft.

gm · Beitrag von gm » 11 Mai 2008, 10:43

Hi,

hste504 hat geschrieben: Ich versuche von zuhause (XP-Rechner an Internet angebunden mit Speedport V701 von Telekom als Router) mit fester IP-Adresse am Router (10.1.10.5; 255.255.255.0) Rechner 10.1.10.25 o. ä.) Router als Gateway (DYNDNS eingeschaltet) und DNS eingetragen auf einen Schulnetzserver zuzugreifen,

Wofür brauchst Du zu hause dyndns? Du willst doch nur von zu hause ins Schulnetz!?!

hste504 hat geschrieben: (IP 10.1.10.200;255.255.255.0 auf zweiter Netzkarte verbunden). Auf erster Netzkarte (10.1.1.2: 255.255.0.0, DNS 10.1.1.2)

Das Netz 10.1.0.0/16 schließt das Netz 10.1.10.0/24 mit ein. Diese Konfiguration auf dem Server ist falsch. Die Netze dürfen sich im Normalfall nicht überlappen! (siehe Jirka's Posting)
Zu deinem Heimnetz: Es ist nicht geschickt zu hause das gleiche Netzsegment wie in der Schule zu verwenden. Woher soll dein lokaler PC zu hause wissen ob das gewünschte Netzwerkziel nun lokal zu hause liegt oder ob er es über das über VPN auflösen muss. Ausnahmen kann ich mir eigentlich nur mit Layer 2 VPN's, wie diese z.B. mit OpenVPN möglich sind, vorstellen aber bei den Layer 3 VPN's solltest Du nicht die gleichen Netzsegmente verwenden, dann tust du dich auch bei der Fehlersuche leichter.

hste504 hat geschrieben: Es geht also eigentlich nur darum, was am Lancom eingetragen werden muss, damit ich bis zum Server komme. Mit der oben im Bild gezeigten Einwahl kommt die Fehlermeldung 800 was mir aber nicht so richtig weiterhilft.

Dir geht's also nur darum welche Ports du zum ISA-Server weiterleiten musst oder wie?
Machst du eigentlich PPTP oder L2TP/IPSec?
Für PPTP musst die den TCP-Port 1723 und IP-Protokoll 47 an deinen ISA weiterleiten.
Bei IPSec musst du folgende Sachen weiterleiten: UDP 500/4500, IP-Protokolle 50 und 51

Bei PPTP bin ich mir nicht wirklich sicher ob das sicher ist und IPSec wurde nie wirklich dafür entwickelt, dass der IPSec-Server hinter einem NAT-Router/Zugang steht. Wieso verwendest Du nicht das IPSec des LANCOM 1711 in Verbindung mit dem Adv. VPN-Client?

Gruß
gm