[WIN2K3] VPN met nevenvesting zonder server

[engelbertus]

situatie:

vestiging 1: 10 clients-switch-win2k3 server-adsl modem
vestiging 2: 5 clients-switch-adsl modem

voor het gebruiken van licenties via een licentieserver is het noodzakelijk de server op een bepaalde port te bereiken.

vestiging 2 moet de licenties kunnen gebruiken. om dit veiliger te laten zijn dan "gewoon" via internet, is een VPN gewenst

er is op de server een gebruikersnaam "vestiging 2" aangemaakt, met wachtwoord.

gewoon met de wizard kun je een pictogram maken op de clients van vestiging 2, en dat werkt. het blijkt echter niet mogelijk met meerdere clients bij vestiging 2 tegelijk een verbinding op te zetten.

de clients hebben wel gewoon allemaal een andere naam, en gebruiker, en wachtwoord, maar voor de vpn verbinding zou dat niet uit moeten maken volgens mij.

om nu wel met meerdere clients van vestiging 2 gebruik te kunnen maken van een vpn verbinding met onze server kan ik natuurlijk accounts gaan maken op de server zoal vestiging 2-1 vestiging 2-2
maar de vraag is of dat gaat werken, of dat het gewoon niet mogelijk is twee VPn verbindingen tegelijk te maken tussen twee netwerken. de vpn verbinding bestaat bij vestiging 2 nu immers uit een tunnel vanaf 1 client, die niet door andere clients gezien kan worden.
kan ik niet deze vpn verbinding delen?
dat zou moeten kunnen icm internet connection sharing neem ik aan.
het liefst zou ik gewoon een gebruikersgroep maken genaamd vestiging 2 om daar de rechten aan te koppelen, en gewoon hun eigen gebruikersnamen aan te maken op de server, en deze aan de groep te koppelen.

ik vraag me dus af waarom er niet met dezelfde gebruikersnaam vanaf verschillende clients op vestiging 2 tegelijktijdig een VPN verbinding kan worden opgezet.

beide vestigingen gebruiken een speedtouch 510, vestiging 1 heeft een xs4all abonement, en vestiging 2 heeft een hetnet abonement.

[Verwijderd]

Is het niet handiger om aan beide kanten een (zelfde) VPN router te zetten, en deze onderling met een VPN aan elkaar te knopen (Draytek heeft hier leuke routers voor met zogenaamnde LAN to LAN optie). Op deze manier knoop je beide vestigingen aan elkaar alszijnde dat ze een vaste lijn verbidning met elkaar hebben. Vanaf elke werkplek heb je dan dus continu toegang tot de andere vestiging, en hoef je ook niet handmatig vpn verbindingen te gaan starten vanaf de werkplekken.

[engelbertus]

ja. het was in eerste instantie nog de bedoeling ee, server op vestiging 2 te zetten zodat het gewoon via de server geregeld zou worden. echter die server is eerst van de baan. dus geen win2k3 .

zijn er misschien andere programmas die voor een setup op een lokale machine toch een vpn kan opzetten met een w2k3 server, en die vervolgens deelt met de andere clients
?
zonder dat ook al het internet verkeer eerst via de server moet gaan lopen? er wordt nu een oud win98 station gebruikt als "printerserver" in de simpelste vorm, dus gewoon printers en bestanden delen. er staan echter geen bestanden op.

een vpn router is idd ook een optie, maar ik zou het zonde vinden dat er weer twee aparaten moeten worden aangeschaft, ingesteld en onderhouden. plus de extra zooi die er dan weer ergens op een plank/ tefel terecht komt, met de benodigde kabels voor stroom en netwerk.

juist omdat nu alles geregeld wordt door active directory en alles dus centraal beheerd wordt.
de verbinding hoeft ook niet permanent te zijn, maar alleen als de licenties nodig zijn geopend worden.
dat is veiliger in mijn ogen, iemand die op 1 vestiging binnenkomt kan dan niet zonder meer bij de andere vestiging.

vestiging 2 werkt immers niet met een domeincontroler en dus gewoon elke client zal worden toegelaten op het netwerk. met een permanente VPN verbinding heb je dan een mega groot gat.

ik begrijp ook niet waarom het daar niet werkt, omdat het wel lukt vanaf een andere locatie meerdere VPN verbindingen op te zetten naar de win2k3 server, met dezelfde account. misschien omdat op vestiging 2 nog 1 machine me win98 gebruikt word, en daardoor comatibiliteit wordt ingeleverd ?
ip van win98 en winxp is niet dezelfde "code? " is opnieuw geschreven voor winxp.
je kan ook van verschillende netwerken wel een VPN verbinding naar de server opzetten met hetzelfde account. het ligt dus imho aan de setup bij vestiging 2. dat ze geen domeincontroler hebben, geen echte gateway, de modem het niet ondersteund, of de provider slechts 1 VPN verbinding toestaat, of de win98 machine op dat netwerk

ik kan nog een static route gaan opgeven in de modems, maar dan staat er dus alsnog altijd een poort open naar de server. bij een slimme hacker is het denk ik niet zo moeilijk de bijbehorende return bestemming te vinden? die communicatie kan hij dan vast ook wel onderscheppen, en dan is het dus niet veilig, maar wordt het door de modem win2k3 als veilig beschouwd

[ChaserBoZ_]

Ik zou het als het mogelijk is op routerniveau regelen, dan is het transparant voor je clients. Je zou kunnen overwegen om voor iedere gebruiker een PPTP accountje op te zetten.

[engelbertus]

maar het heeft aktijd zo gewerkt! hmm dat betekent dus een slechet kabel.. oh nee dat is een prive probleem met @home en hun nieuwe modems.

maar goed.

ik stel de vraag om te kijken of iemand ervaring heeft met twee vpn tegelijkertijd. op router nivo kan inderdaad en is handig, mar gaat dat dan werken met windows 2003, of heb ik twee (identieke) routers nodig?
ik wil liever geen extra zooi.
daarom vroeg ik me af of ik de vpn kon delen, of een soort "server- router" kon maken van de win98 machine.

ik denk zelf aan een probleem dat hetnet opwerpt. maximaal 1 vpn toestaan, of dat het er aan ligt dat er 1 vpn verbinding wordt opgezetm waarbij een netwerk aan een ip adres wordt gekoppeld, en dat het eindpunt daarvan steeds bij de eerste vpn verbinding terechtkomt. dus de tweede client die probeert krijgt geen antwoord, omdat dat door de alcatel naar de eerste client wordt gestuurd?


het werkt overigens wel bij een collega die tussen modem en clients een server heeft draaien, en waar de server dus de uiteindelijke routering naar de clients verzorgt. vandaar mijn verdachtmakingen naar de severloze netwerk bij vestiging 2

iemand anders nog suggeties? we moeten er snel uit want zolang er slechts 1 licentie kan worden gebruikt zit de rest duimen te draaien

- een pptp account. is dat iets anders als een gebruikers account met vpn rechten ?

- we willen er ook geen static route van maken ivm geen beveiliging op de "tunnel"

dit zouden we natuurlijk wel kunnen doen, maar dan kunnen we beter gewoon de licentieserver via internet laten werken.

wie wil er nou een licentie "illegaal" huren, en je kunt nog gaan firewallen op ip adres voor die poorten

[ Voor 15% gewijzigd door engelbertus op 06-10-2005 00:05 ]