VPN naar kantoor werkt niet, bij collega wel *

[Verwijderd]

Hoi,
ik heb het volgende VPN probleem, wellicht dat ik hier een oplossing kan vinden.

ik probeer een VPN sessie naar mijn kantoor te maken, het resultaat is controleren userid en wachtwoord (thats all)
wanneer mijn collega vanaf zijn huis een vpn sessie initieerd met hetzelfde userid en wachtwoord gaat dit zonder problemen.
wanneer ik een vpn sessie naar een ander kantoor /ander domein initieer is dit gene probleem.
er is dus ergens een block in de verbinding naar mijn kantoor. Ik ben echter niet op de hoogte hoe je een vpn probleem kunt terug determineren naar een oorzaak.
de clients en server(s) waar van en toe verbonden wordt zijn XP en SBS2003
alvast bedankt voor je reactie

Frans

[Verwijderd]

Titeledit, voortaan graag een probleemomschrijvende titel kiezen.

[Verwijderd]

Wat voor VPN probeer je op te zetten? PPTP, L2TP, IPSec? Vanwege je opmerking loginnaam + pwd gok ik PPTP of L2TP.

Doe eens een trace naar het IP adres wat je probeert te bereiken. Zit er een modem in de PC waarmee je de VPN opzet, probeer dan in te bellen op inet en probeer nog eens de VPN op te zetten.

Als laatste: tweak de security settings van de verbinding en zet 'm eens vast op L2TP of PPTP.

Suc6

[Arnout]

Kun je het probleem beter beschrijven? Ik zie niet eens een probleem staan?

Owja en post dan direct alle gegevens. Screenshotje van wat er fout gaat.

[teigetjuh]

Heb je ADSL of kabel? Hoe ziet je netwerk eruit? en dan voornamelijk hoe wordt je signaal naar je pc op gezet? bepaalde routers in combinatie met ADSL kunnen soms niet out-of-the-box een VPn op basis van PPTP routeren.

[Verwijderd]

sorry guys hier wat aanvullende in formatie

op kantoor draait een 2003 server met de standaard windows 2003 remote ras en routing firewall aangezet. Deze server hangt op zijn beurt weer achter een kpn office 1mbit sdsl waar een efficcient router alles door routeert naar de 2003 server.

thuis situatie
een alcaltel 510 met een speedling 1-8 adsl
ipnetwerk ziet er alsvolgt uit
alcatel 510
extern 80.x.x.x.
intern 10.0.0.138

vervolgens mijn sbs2003 server
met extern 10.0.0.1
en intern 192.168.x.x

mijn laptop met windows xp erop krijgt een dhcp lease van de sbs server.

het probleem is wanneer ik een vpn (pptp) probeer op te zetten naar ons kantoor ik een schem krijg gebruikersnaam en wachtwoord controleren en daar blijft het vervolgens bij.
(ik kan nu geen screen shot geven omdat ik niet thuis zit)

ik maak gebruik van de standaard in windows xp aanwezige vpn client waarin het ipadres van de kantoor omgeving staat geconfigueerd
het maakt ook niet uit met welk userid ik het probeer (admin of het userid van mijn collega) de melding blijft hetzelfde

Ik kan wel naar andere locaties een VPN opbouwen en mijn collega kan vanaf zijn huis wel een vpn naar kantoor opzetten met dezelfde credentials..

alvast bedankt voor de reacties

Frans

[teigetjuh]

En routeert je server ook PPTP verkeer? poort 1723 (geloof ik) en protocol 47. Kun je vanaf je server wel een vpn-sessie opzetten?

[Verwijderd]

Het zou kunnen zijn dat het subnet van de externe kaart van de server de oorzaak van je probleem is. Heeft je collega toevallig direct het externe IP van de verbinding op zn PC of een ander subnet ingesteld.

Bel eens in op internet en probeer het dan nog eens, sluit je in een keer subnet en router uit.

[Verwijderd]

Verwijderd schreef op vrijdag 27 mei 2005 @ 11:41:
sorry guys hier wat aanvullende in formatie

op kantoor draait een 2003 server met de standaard windows 2003 remote ras en routing firewall aangezet. Deze server hangt op zijn beurt weer achter een kpn office 1mbit sdsl waar een efficcient router alles door routeert naar de 2003 server.

thuis situatie
een alcaltel 510 met een speedling 1-8 adsl
ipnetwerk ziet er alsvolgt uit
alcatel 510
extern 80.x.x.x.
intern 10.0.0.138

vervolgens mijn sbs2003 server
met extern 10.0.0.1
en intern 192.168.x.x

mijn laptop met windows xp erop krijgt een dhcp lease van de sbs server.

het probleem is wanneer ik een vpn (pptp) probeer op te zetten naar ons kantoor ik een schem krijg gebruikersnaam en wachtwoord controleren en daar blijft het vervolgens bij.
(ik kan nu geen screen shot geven omdat ik niet thuis zit)

ik maak gebruik van de standaard in windows xp aanwezige vpn client waarin het ipadres van de kantoor omgeving staat geconfigueerd
het maakt ook niet uit met welk userid ik het probeer (admin of het userid van mijn collega) de melding blijft hetzelfde

Ik kan wel naar andere locaties een VPN opbouwen en mijn collega kan vanaf zijn huis wel een vpn naar kantoor opzetten met dezelfde credentials..

alvast bedankt voor de reacties

Frans

Watvoor VPN verbindingen maak je dan naar andere locaties? (ook PPTP dus?) Heb je al geprobeerd vanaf je SBS een verbinding te maken? Zijn er policies op de RAS server die misschien je IP niet toelaten?

Je PPTP verbinding moet vanaf je laptop 2x gerouteerd worden.. Ik denk dat het daar ergens in zit..? Vandaar de vraag of je andere VPN onnecties ook PPTP zijn of L2TP.

[alt-92]

Verwijderd schreef op vrijdag 27 mei 2005 @ 11:41:
thuis situatie
alcatel 510
extern 80.x.x.x.
intern 10.0.0.138

vervolgens mijn sbs2003 server
met extern 10.0.0.1
en intern 192.168.x.x

2x hetzelfde subnet 10.0.0.x ?

Ik kan wel naar andere locaties een VPN opbouwen en mijn collega kan vanaf zijn huis wel een vpn naar kantoor opzetten met dezelfde credentials..

Die collega heeft vast geen 10.0.0.x als subnet in gebruik?

[Verwijderd]

BackSlash32 schreef op zaterdag 28 mei 2005 @ 20:35:
[...]

2x hetzelfde subnet 10.0.0.x ?

Volgens mij niet.. Intern modem en extern SBS zijn hetzelfde.. Dat verteld mij dat zijn netwerk van buiten gezien er als volgt uitziet:

inet => modem => SBS => client.

Waarbij het modem en de SBS server allebei routeren. Dat gaat verkeerd, iig met die PPTP pijp die hij op wil zetten.

Die alcatel moet kappen met routeren en gewoon de hele handel doorsluizen naar de SBS server (bridge mode?). Effectief moet de VPN pijp nu over een extra netwerk heen. Namelijk 10.0.0.0. En die is compleet overbodig imo.

[ Voor 22% gewijzigd door Verwijderd op 28-05-2005 23:27 ]

[alt-92]

Verwijderd schreef op zaterdag 28 mei 2005 @ 23:24:
Die alcatel moet kappen met routeren en gewoon de hele handel doorsluizen naar de SBS server (bridge mode?).

Denk dat je de alcatel even verkeerd geplaatst ziet.
Uit topicstart:

Deze server hangt op zijn beurt weer achter een kpn office 1mbit sdsl waar een efficcient router alles door routeert naar de 2003 server.

De reden waarom ik het vraag is dat op zowel de internet interface van de SBS (10.0.0.x) als de NATtende speedtouch-client PC (10.0.0.x) GRE niet echt lekker routeert dan.

Een dubbelNAT ook nog als je kijkt naar de uiteindelijke doelhost (inet ><extIF 10.0.0><intIF 192.168.12.x) waarbij ook nog eens het eigen thuis-subnet hetzelfde is.

Dan kun je inderdaad van die hangende authenticatiesessies krijgen...ik zou de ST510 even in een ander subnet gooien (10.0.2.x/24 bijvoorbeeld) en het nog een keer testen.

[ Voor 54% gewijzigd door alt-92 op 29-05-2005 12:06 ]

[Verwijderd]

BackSlash32 schreef op zondag 29 mei 2005 @ 11:22:
[...]

Denk dat je de alcatel even verkeerd geplaatst ziet.
Uit topicstart:

[...]


De reden waarom ik het vraag is dat op zowel de internet interface van de SBS (10.0.0.x) als de NATtende speedtouch-client PC (10.0.0.x) GRE niet echt lekker routeert dan.

Een dubbelNAT ook nog als je kijkt naar de uiteindelijke doelhost (inet ><extIF 10.0.0><intIF 192.168.12.x) waarbij ook nog eens het eigen thuis-subnet hetzelfde is.

Vandaar dat ik dus de vraag stel welk protocol die andere VPN's gebruiken, want hij kan wel VPNen naar andere locaties. Als dat PPTP VPN's zijn...dan werk de routering dus WEL goed. Zijn het L2TP's dan kan het dus zijn dat de PPTP routering verkeerd gaat..

Iets anders kan ik niet verzinnen..

Dan kun je inderdaad van die hangende authenticatiesessies krijgen...ik zou de ST510 even in een ander subnet gooien (10.0.2.x/24 bijvoorbeeld) en het nog een keer testen.

Uhm..ik heb het over zijn thuis situatie Ik zie het dus goed imo, want wat jij zegt is op kantoor dus.

Daarnaast..jij hebt het over dubbel NAT.. Wat denk je dat er gebeurd als je de alcatel laat bridgen dan? Juist..1x NAT hou je over We zeggen dus in feite hetzelfde

Wat ik in de vorige post beschreef is dus zijn thuis netwerk vanaf internet gezien. Elk packet moet dan over 2 interne netwerken heen al dan niet met NAT. Niet handig..

1. Op kantoor gaat het goed..zijn collega kan immers gewoon connecten. Dus die sluiten we uit.
2. Hij kan VPN sessies opzetten naar andere netwerken

De vraag is dus; zijn dat PPTP sessies? Zo ja, dan gaat de PPTP routering bij hem thuis goed.

Effectief hangt er bij hem thuis een extra netwerk tussen de client en de VPN server op kantoor doordat die alcatel ook routeerd (zonder clients welliswaar, maar dat boeit niet)

[ Voor 38% gewijzigd door Verwijderd op 29-05-2005 12:46 ]

[alt-92]

Verwijderd schreef op zondag 29 mei 2005 @ 12:36:
Uhm..ik heb het over zijn thuis situatie Ik zie het dus goed imo, want wat jij zegt is op kantoor dus.

En waar staat die alcatel? Thuis. Waarom zou je dat ding dan uberhaupt willen bridgen?.

Ik vroeg ook niet voor niks wat die collega thuis voor IP adressen intern gebruikt achter zn routert.

Op zich is een dubbelNAT niet zo'n probleem (het werkt immers bij $collega), zolang je de gebruikte subnets maar uit elkaar houdt.

[ Voor 51% gewijzigd door alt-92 op 29-05-2005 15:35 ]

[Verwijderd]

BackSlash32 schreef op zondag 29 mei 2005 @ 15:04:
[...]

En waar staat die alcatel? Thuis. Waarom zou je dat ding dan uberhaupt willen bridgen?.

Ik vroeg ook niet voor niks wat die collega thuis voor IP adressen intern gebruikt achter zn routert.

Op zich is een dubbelNAT niet zo'n probleem (het werkt immers bij $collega), zolang je de gebruikte subnets maar uit elkaar houdt.

Volgens mij haal je wat door elkaar.. of ik..

Zoals ik het lees heeft hij thuis:

- inet
- Alcatel
- SBS2003
- XP laptop

en op kantoor:

- inet
- router
- Server 2003 + RRAS

Bij hem thuis routeerd die alcatel EN de SBS2003. Tussen de Alcatel en de SBS2003 zit dus ook een netwerk (zonder clients). Daar heeft hij dus dubbel NAT imo.
Kantoor is verder niet belangrijk..collega kan immers gewoon connecten met zelfde user id.

Zie ook:

op kantoor draait een 2003 server met de standaard windows 2003 remote ras en routing firewall aangezet. Deze server hangt op zijn beurt weer achter een kpn office 1mbit sdsl waar een efficcient router alles door routeert naar de 2003 server.

thuis situatie
een alcaltel 510 met een speedling 1-8 adsl
ipnetwerk ziet er alsvolgt uit
alcatel 510
extern 80.x.x.x.
intern 10.0.0.138

vervolgens mijn sbs2003 server
met extern 10.0.0.1
en intern 192.168.x.x

Het 10.0.0.0 netwerk is totaal overbodig imo en de PPTP routering zal daar wel ergens op z'n bekkie gaan. Wat ik zou doen is de alcatel bridgen om zo dus het 10.0.0.0 netwerk ertussen uit te halen en dan dus alleen nog 192.168.x.0 over te houden..
Toch?

Het probleem in de huidige situatie is dat hij een static route mist voor de PPTP verbinding.. denk ik.

[ Voor 39% gewijzigd door Verwijderd op 29-05-2005 21:12 ]

[alt-92]

Verwijderd schreef op zondag 29 mei 2005 @ 21:04:
[...]

Volgens mij haal je wat door elkaar.. of ik..

Ik zie nergens dat ie thuis een SBS draait, wel op kantoor
Niet dat dat veel uitmaakt overigens.

Het 10.0.0.0 netwerk is totaal overbodig imo en de PPTP routering zal daar wel ergens op z'n bekkie gaan. Wat ik zou doen is de alcatel bridgen om zo dus het 10.0.0.0 netwerk ertussen uit te halen en dan dus alleen nog 192.168.x.0 over te houden..
Toch?

Klopt, maar je kan ook gewoon de alcadrol omproggen naar 10.0.2.x bijvoorbeeld.
Dan heb je geen last van 2x een 10.0.0.x netwerk in je routing tables.
Daar gaat het nu namelijk fout op.

_{least administrative effort enzo. Als je die alcadrol gaat bridgen krijg je weer andere issues als security + DNS update probleempjes als je een extern IP in je AD DNS hebt.
een ander non-routeable ipreeks die niet in gebruik is voorkomt dat gedoe en is de minst intrusive oplossing..}

[ Voor 29% gewijzigd door alt-92 op 29-05-2005 21:20 ]

[Verwijderd]

BackSlash32 schreef op zondag 29 mei 2005 @ 21:13:
[...]

Ik zie nergens dat ie thuis een SBS draait, wel op kantoor
Niet dat dat veel uitmaakt overigens.

Kijk dan wat ik quote Lezen.. het staat er echt.

En of het uitmaakt.. Hij heeft 2 routers thuis! Ik zie niet in wat het zou uitmaken het 10.0.0.0 netwerk om te nummeren. De routering zal niet veranderen dan.. Please explain

[ Voor 4% gewijzigd door Verwijderd op 29-05-2005 21:21 ]

[alt-92]

Verwijderd schreef op zondag 29 mei 2005 @ 21:20:
Ik zie niet in wat het zou uitmaken het 10.0.0.0 netwerk om te nummeren. De routering zal niet veranderen dan.. Please explain

Je hebt 2x een 10.0.0.x reeks in je routing zitten.

[Verwijderd]

BackSlash32 schreef op zondag 29 mei 2005 @ 21:24:
[...]

Je hebt 2x een 10.0.0.x reeks in je routing zitten.

Ow wacht ff.. Je bedoelt 2 subnetten?

Ik ging er vanuit dat de 10.0.0.138 als interne van de alcatel en de 10.0.0.1 als externe van de SBS server in hetzelfde subnet zitten. Tenminste, dat lijkt mij logisch.

Dus:

(Internet) - alcatel - Netwerk 1 - SBS2003 - Netwerk 2 - (XP laptop).

Netwerk 1 heeft als adres: 10.0.0.0 met gateways 10.0.0.138 en 10.0.0.1
Netwerk 2 heeft als adres: 192.168.x.0 met gateway 192.168.x.1

10.0.0.0 heeft dus 2 gateways..wat meteen de moeilijkheid is hier. De PPTP tunnel moet dan ook over 10.0.0.0 heen en daar gaat het imo mis.

De PPTP tunnel moet dus dmv een static route op de SBS2003 naar 10.0.0.138. En nu gaat hij ws naar 10.0.0.1 wat dus de verkeerde is..

Magoed..ben 90% zeker Ghehe

[ Voor 12% gewijzigd door Verwijderd op 29-05-2005 21:54 ]

[alt-92]

Dat zeg ik

Dus: verander een van de 10.0.0.x netwerkjes naar 10.0.2.x en dat probleem is opgelost

[Verwijderd]

BackSlash32 schreef op zondag 29 mei 2005 @ 21:54:
Dat zeg ik

Dus: verander een van de 10.0.0.x netwerkjes naar 10.0.2.x en dat probleem is opgelost

Ja en dat begrijp ik juist niet! Ik zeg niet dat je geen gelijk heb..ik begrijp het gewoon niet..

Edit:

Wach ff.. jij zegt: " Een van de 10.0.0.x"

Ik zeg: Er is 1 netwerk met 10.0.0.x..

Das wel een klein verschilletje..

[ Voor 30% gewijzigd door Verwijderd op 29-05-2005 21:58 ]

[alt-92]

* alt-92 denkt dat het beter is even op de TS te wachten met de IP info van de andere kant

Denk dat we nu teveel verwarring creeren

We hebben alleen de info van de client kant, en geen data van de VPN server of van de wél succesvolle inbeller namelijk.

[ Voor 32% gewijzigd door alt-92 op 29-05-2005 22:06 ]

[Verwijderd]

BackSlash32 schreef op zondag 29 mei 2005 @ 22:05:
/me denkt dat het beter is even op de TS te wachten met de IP info van de andere kant

Denk dat we nu teveel verwarring creeren

De subnetten erbij zou handig zijn.. Maar ik weet bijna zeker dat er maar 2 netwerken zijn bij hem thuis:

- 192.168.0.0
- 10.0.0.0

Waar moet hij nog een 10.0.0.x netwerk vandaan halen dan? Hoe kom je uberhaupt op de stelling dat er 2 10.x.x.x subnets zijn..omdat er 2 routers in hangen?

Zie ook de schets die ik in tekst maakte van zn config hierboven..

Ik blijf erbij; Static route toevoegen OF die alcatel bridgen. Ik zou de laatste doen.. 2x een router is onzin namelijk.

[alt-92]

Ik las in:

Verwijderd schreef op vrijdag 27 mei 2005 @ 11:41:
op kantoor draait een 2003 server met de standaard windows 2003 remote ras en routing firewall aangezet. Deze server hangt op zijn beurt weer achter een kpn office 1mbit sdsl waar een efficient router alles door routeert naar de 2003 server.
[..]

vervolgens mijn sbs2003 server
met extern 10.0.0.1
en intern 192.168.x.x

Dat dat ^^ dus De SBS RRAS Server was, vandaar die 2x 10.0.0.x.

[Verwijderd]

BackSlash32 schreef op zondag 29 mei 2005 @ 22:18:
Ik las in:

[...]


Dat dat ^^ dus De SBS RRAS Server was, vandaar die 2x 10.0.0.x.

Aha.. maar die staat dus bij hem thuis En op kantoor staat een Server 2003 + RRAS

Verwarring alom!

[Verwijderd]

Nog even met een collega overlegt en we hebben het even getekend Je moet wat op je werk

Het probleem kan zijn dat op kantoor en thuis hetzelfde netwerk adres gebruikt word. Bij het toewijzen van het IP aan de VPN client gaat het dan dus mis.

De vraag is dus:
Wat is het netwerk adres op kantoor?
Wat gebeurd er als de laptop aan de alcatel gehangen word.

[Verwijderd]

een kleine tekstuele wijziging in de configuratie :
de server op kantoor is een 2003 server, omdat sbs2003 std edition en server 2003 allebei gebruik maken van RRAS als firewall heb ik ze in mijn uitleg gelijk getrokken
(alleen sbs2003 premium heeft isa)

ik heb ondertussen mijn adsl modem thuis vervangen door een zyxel 650r in bridge mode
het plaatje ziet er dus zo uit :

thuis
sbs2003 met 2 nics
1 met 192.168.16.1
1 met 80.147.x.x.

kantoor

efficient router met een ipblock van 8 ipadressen met 5 effectief
hij staat zo ingesteld dat hij alles door routeerd naar de servers erachter
1 server met aix en 1 server met 2003 erop
server 2003 heeft
1 nic met 80.127.x.x.
1 nic met 192.168.5.1
aix heeft 1 nic met 80.127.x.x

ik kan vanaf huis naar beide servers geen verbinding maken !!


ondertussen is het probleem ook groter geworden

zowel http als vpn is nu niet meer mogelijk vanaf mijn thuis netwerk naar kantoor, om het nog gekker te maken is deze situatie nu ook onstaan bij een andere collega

wanneer ik echter met mijn laptop of ipaq in een "vreemd" netwerk een verbinding maak naar ons kantoor gaat dit tadeloos.
ik heb onderussen de isp van kantoor geraadpleegd en het enige wat daar als advies uitkomt is een modem reset. (0 resultaat)
mijn eigen isp moet de 2delijn nog terugbellen

ik ga nu proberen vanaf thuis een verbinding op te zetten met een ouderwetse inbel modem en geef het het kantoor een extra ipadres uit het ip block wat we van office dsl /xs4all hebben toegewezen gekregen


wordt vervolgd

alvast bedankt voor jullie reacties

[Verwijderd]

Het probleem in opgelost
de oorzaak lag hem in het subnet wat door de externe adapter van de server op kantoor gebruikt werd.
deze was ingesteld op 255.255.255.0 en dit moest 255.255.255.248 zijn.
blijft nog wel vreemd dat het probleem zich allen maar bij 2 personen voordeed.
maar goed alles werkt weer naar behoren
bedankt voor jullie reacties

Pappa Frans

[alt-92]

Verwijderd schreef op zondag 05 juni 2005 @ 14:49:
de oorzaak lag hem in het subnet wat door de externe adapter van de server op kantoor gebruikt werd.
deze was ingesteld op 255.255.255.0 en dit moest 255.255.255.248 zijn.
blijft nog wel vreemd dat het probleem zich allen maar bij 2 personen voordeed.

Dan krijg je vage routeringsproblemen idd

Verwijderd schreef op maandag 30 mei 2005 @ 12:56:
Nog even met een collega overlegt en we hebben het even getekend Je moet wat op je werk

Het probleem kan zijn dat op kantoor en thuis hetzelfde netwerk adres gebruikt word. Bij het toewijzen van het IP aan de VPN client gaat het dan dus mis.

offtopic:
Dat bedoelde ik dus met die 2x 10.0.0.x reeksen, en de suggestie om er één van te veranderen.
Nu bleek overigens dat die subnets al verschillend waren en het probleem ergens anders in zat, maar goed