VPN verschillende subnets verplicht?

[max3D]

Ik wil een vpn verbinding opzetten tussen een router (draytek) en verschillende dial in clients (mac, xp etc). Nu ben ik nieuw in VPN, maar heb al heel wat gelezen.
Het werkt nu al een beetje: ik zie de vpn verbinding tot stand komen, maar ik kan het domein erachter verder niet benaderen wegens de fout: wachtwoord of login naam kloppen niet (maar dat doen ze wel; ze staan zowel in AD als in de router).
Volgens de topics
[VPN] Inloggen op NT domain achter VPN router
[XP] Gebruiker/wachtwoord fout tijdens maken vpn-verbinding*

moet ik waarschijnlijk mijn firmware eerst upgraden. Het is een Draytek 2200W met fw 2.0. Ga ik binnenkort doen als ik op lokatie ben.

De vraag is echter of ik ook per sé verschillende subnets moet hebben om een VPN verbinding tot stand te brengen. Ik heb het volgende topic http://www.mcse.ms/message1614428.html gelezen en daar lijkt dat klip en klaar nodig te zijn.

Het is voor mij echter lastig om alle clients te verplichten om afwijkende subnets te gaan draaien. Ik heb daar geen controle over.

De vragen:
- is het echt noodzakelijk om verschillende subnets te hebben of is er een workaround mogelijk?
- is het ook noodzakelijk als ik ipv de router de VPN door de 2e netwerkkaart van W2K3 laat doen? (niet mijn favo optie op technische gronden, maar als het moet, moet het)

Bij voorbaat dank voor de reacties.

[ Voor 12% gewijzigd door max3D op 31-05-2005 10:25 ]

[Arnout]

Je kan een verschillend subnet gebruiken. Dit heeft wel tot gevolg dat je verbinding altijd van z'n gateway gebruik moet maken, immers je servers liggen in een ander subnet. Dit heeft tot gevolg dat je aan de serverkant additionele routing zult moeten instellen. Aan client zijde -zoals in het artikel ook aangegeven- zul je het vinkje moeten plaatsen bij "gebruik default gateway van deze verbinding".
Praktisch komt dit erop neer, dat wanneer je de VPN verbinding in gebruik hebt, je default gateway wijst naar de gateway van de verbinding. Je zult je normale internetverbinding dan niet kunnen gebruiken.

Ik heb hier ook wat mee gestoeid. Ik heb gekozen voor een verschillend subnet. Aan de serverside heb ik proxy-arp enabled. Ik kan nu wel de server via de windows smb naam benaderen, dus: \\fileserver.

[max3D]

Ik begrijp het, maar ik aarzel over het begin van je zin 'je kan een verschillend subnet gebruiken'. Mijn voorkeur is nu juist dat niet te doen (om juist problemen bij alle clients te vermijden), maar ik heb de indruk dat ik wel moet. Klopt dat is de vraag.

[ Voor 4% gewijzigd door max3D op 31-05-2005 12:31 ]

[max3D]

Is er niemand die uitsluitsel kan geven?

[StevenK]

Uiteraard moet je verschillende subnets gebruiken; wanneer een client zelf in 192.168.1/24 zit en inbelt naar het 192.168.1/24 netwerk, dan weet die machine echt niet welk verkeer nu lokaal is en welk via de VPN moet.

[max3D]

Merci, dat is helderder dan de eerste reactie.

Hoe lossen jullie dat dan op met al die telewerkers? Ik kan de gemiddelde leek niet uitleggen hoe hij thuis zijn netwerkje moet omzetten. Gebruiken jullie (de VPN beheerders) een obscuur intern netwerk op de zaak om die problemen te vermijden?

[cyspoz]

Volgens mij is de makkelijkste oplossing om het door Windows Server te laten regelen. Die verzorgt dan automatisch de routing volgens mij waardoor jij je over een heleboel dingen minder zorgen hoeft te maken.

[triet]

Wat je wil is denk ik dit: een connectie voor telewerkers met het office netwerk.

Nodig:
- Een VPN server in je office-netwerk die vanuit het internet (of iig de telewerkplek) transparant bereikbaar is
- OF een router bij de telewerker thuis die vpns snapt
- OF een XP bak ofzo waarmee je gewoon een PPTP vpn kan maken

3 wolkjes: ( thuis ) --- (internet) --- (office)

Voor die 3 moet je dus aparte IP adressering hebben, anders kan je ze niet van elkaar onderscheiden. Dus ja, je hebt aparte reeksen nodig.

[max3D]

Precies zoals ik mijn openingspost al schreef. Ik wil de eerste optie ' Een VPN server in je office-netwerk die vanuit het internet (of iig de telewerkplek) transparant bereikbaar is'
en dat wil ik bij voorkeur via de router ipv W2K3.

[max3D]

en dat is me inmiddels ook gelukt, maar het blijft een crime dat al die telewerkers hun subnetjes moeten aanpassen.

[StevenK]

Hoeveel machines moeten die telewerkers kunnen bereiken ?
Is het mogelijk die machines in een heel klein subnetje te zetten, samen met de telewerkers ?