static route toevoegen lukt niet via prompt

[Verwijderd]

ik probeer deze static route toe te voegen op mijn ISA server, zodat alles wat naar het lan van een vestiging extern moet (192.168.100.0), via de vpn interface (op de isa server) gaat (192.168.110.39)

in de server zitten 2 netwerkkaarten. 192.168.110.2 gaat naar DC op 192.168.110.1 met daarachter het interne netwerk.

192.168.120.2 gaat naar de router/modem.

Er is een vpn PPTP verbinding vanaf een filiaal naar de ISA server die werkt. Ik kan vanuit het filiaal alles op het hoofdkantoor pingen en overnemen. Ik kan alleen vanaf het hoofdkantoor niets bereiken in het filiaal. Vandaar deze route toevoegen. Maar ik krijg steeds bovenstaande melding. Ook bij het weglaten van interface. Wat klopt hier niet in?

[JackBol]

route add -p 192.168.100.0 MASK 255.255.255.0 192.168.110.39 METRIC 20

of

route add -p 192.168.100.0 MASK 255.255.255.0 IF <interface>

maar niet allebei...

[collin]

Waarom dit niet werkt: precies wat de melding zegt, de gateway 192.168.110.39 ligt niet in het subnet 192.168.100/24

Als je in het filiaal ALLES kan pingen op het hoofdkantoor, dan wil dat zeggen dat alle routes op alle te pingen machines al in orde zijn. Als je nog iets met routes zou moeten doen, zou je geen ICMP reply krijgen, omdat de machine op het hoofdkantoor geen route kan vinden naar het filiaal. Ik zou het eerder in firewall regels zoeken of naam resolutie. (ping je op naam of op IP adres?)

[Verwijderd]

ik ping op ip adres.

maar remote desktop en dergelijke werken ook niet.

[collin]

Je zegt in je startpost:

Ik kan vanuit het filiaal alles op het hoofdkantoor pingen en overnemen.

Als je een server op het hoofdkantoor kan pingen of overnemen vanuit het filiaal, houdt dat 100% zeker in dat op die server op het hoofdkantoor alle routes in orde zijn. Als dat niet zo zou zijn, zou je simpelweg niet kunnen pingen of RDP'en. Hebben alle servers en werkstations als default gateway je ISA server?

Het kan zijn dat in de ISA server firewall rules staan waarin al het verkeer vanuit het filiaal naar het hoofdkantoor wel toegestaan is, maar andersom niet. Als je niet op naam pingt, heeft het dus zeker ook niet met naamresolving te maken. Is de PPTP VPN niet opgezet met Routing and remote access? Volgens mij kan je daarin ook firewall rules aanmaken.

[edit] Heb je toevallig NAT geactiveerd op de VPN verbinding?

[ Voor 11% gewijzigd door collin op 27-03-2006 12:35 ]

[Verwijderd]

NAT staat uit en de verbinding is aangemaakt in ISA zelf. Hij is wel weer terug te vinden in RRAS. Het moet dus iets in de firewall policy zijn? Heb alles al doorgelopen, maar zal nog een blik wagen.

[collin]

En, ben je er al achter?

[Verwijderd]

nee helaas. ik kan trouwens wel vanaf de VPN server naar het door de server uigegeven client IP adres pingen, maar niet naar het netwerk erachter. Dit heeft een ander subnet en binnen dat subnet kan ik vanaf de server niets vinden.

Lijk me dan toch routering?

[collin]

Nu ik je verhaal nog eens teruglees heb ik nog wel wat vragen:

Wat bedoel je hiermee?

in de server zitten 2 netwerkkaarten. 192.168.110.2 gaat naar DC op 192.168.110.1 met daarachter het interne netwerk.

En kan je een netwerkdiagram maken van de situatie met IP adressen, etc? Hoe maakt het filiaal bijv. een VPN naar het hoofdkantoor? Doet de router dat of een Windows server, of maken alle werkstations handmatig een VPN 'inbel'verbinding via PPTP?

Waarom heb je 2 netwerkkaarten in de ISA zitten? Gaat de één naar het lokale netwerk en de andere naar het internet (DSL router bijv.)

Het blijft een raar verhaal. Ik kan thuis via een VPN verbinding alle servers pingen, maar als ik op een server de static route naar mijn (Open)VPN server weghaal, kan ik beide kanten niet meer pingen. Als jij zegt dat je vanuit het filiaal ALLE machines kan pingen op het hoofdkantoor op IP adres, dan blijf ik erbij dat de routering in orde is. een ICMP_ECHO bericht gaat niet dezelfde weg weer terug, maar kijkt naar eigen routetabellen via welke route het pakketje weer terug moet. Dit zou in theorie via een hele andere route kunnen gaan.

Teken iets in paint waarin je grofweg je netwerklijntjes kan laten zien (VPN verbindingen, internet verbindingen, IP adressen, etc).

[nIghtorius]

Verwijderd schreef op woensdag 29 maart 2006 @ 14:51:
nee helaas. ik kan trouwens wel vanaf de VPN server naar het door de server uigegeven client IP adres pingen, maar niet naar het netwerk erachter. Dit heeft een ander subnet en binnen dat subnet kan ik vanaf de server niets vinden.

Lijk me dan toch routering?

Volgens mij zit er iets niet goed met je PPTP verbindingen.. bellen beide VPN servers bijelkaar in, of belt er alleen maar ééntje in??

want als ik zo lees krijg ik het idee dat er maar één VPN server inbelt (die belt dan in op die VPN server waar jij het over hebt). In zulke situaties kun je alleen maar die computer pingen en niet het netwerk erachter.

je kunt hiervan heel zeker worden wanneer de IP adres waar je het over hebt (die uitgegeven is door de server) in hetzeflde subnet valt als jouw netwerk. Bij Windows 2k, 2k3 RRAS komt ook de verbinding te staan bij RAS-Clients (terwijl bij goed geconfigureerde situaties daar niet meer eens vermeld worden)

oplossing: zorg dat beide RRAS servers op "Voor LAN-routering en routering via bellen-op-verzoek" ingeschakeld is. en dat ze beide naar elkaar bellen via een "Externe Router" verbinding. de VPN-server(s) zullen nu ook vragen naar een ROUTE als je het goed instelt. (en die komen te staan bij /ip-routering/statische routes)