[w2k3 isa] Dns server probleem via VPN

[Hoover]

Bij mij op het werk hebben we de volgende situatie.

We maken gebruik van de standaard VPN client van XP icm een ISA 2006 server.
We hebben een intern windows 2003 domein: domein.nl
Dit is hetzelfde domeinnaam wat extern geregistreerd is.

Dit domein heeft een range van 192.168.0.x met subnet 255.255.240.0
Voor het netwerk gebruiken we 2 dns servers, 2 gateways en 1 dhcp server.

De DNS's en gateways worden uitgerold aan de clients via DHCP.
VPN clients maken via onze ISA server verbinding en krijgen via onze interne DHCP server de juiste dns servers en gateways binnen.
Dit werkte allemaal prima.

Nu hebben we het volgend probleem met VPN gebruikers.
Zodra we een vpn verbinding maken en een server op naam pingen ( ping server.domein.nl of alleen ping server die zou moeten verwijzen naar 192.168.0.4) dan komt deze op een Externe server (80.x.x.x) terecht waar het domein geregistreerd is. dit zou eigenlijk onze interne server moeten zijn.

Pingen we het IP adres van de interne server, komen we bij de juiste server uit.
De VPN client gaat ook via de juiste gateway (de ISA) naar buiten (gecheckt via www.whatismyip.com en in de routetabel van de client pc)

Zelfs als we via vpn een willekeure toetsen combinatie pingen (voorbeeld: ping fhfdhfdh) dan komen we op de externe server uit ipv de server in ons netwerk.


Wat we zien is dat ipv onze eigen DNS server, de dns server van de provider van de thuiswerker wordt gebruikt.
Een nslookup van ons intern domein laat dit ook zien.
Dit terwijl de clients via VPN de juiste gateway en dns servers krijgen toegewezen door onze DHCP.
Dit hebben we gechecked via ipconfig.

Zodra we via nslookup onze eigen dns server opgeven om ons domein op te halen, verwijst deze naar de juiste IP's.
Dit betekend dus dat onze DNS server via ISA wel gewoon functioneerd.
Maar wat we ook proberen, we krijgen het niet voor elkaar om de VPN clients geforceerd onze DNS server te laten gebruiken.

Het rare is dat we via een KPN UMTS dongle geen problemen hebben.
En nog veel vreemder is dat er gebruikers zijn die via een kabel in de router wel een werkende verbinding hebben, maar wirelless weer niet. andersom zijn er ook een aantal gevallen.

Laten we dezelfde gebruikers bij een andere werknemer thuis verbinding maken, werkt dit weer niet.
laten we een gebruiker met een niet werkende verbinding aanmelden bij iemand waar het thuis wel werkt aanmelden, werkt het ook al niet.

Het gekste is bij 1 gebruiker die wanneer er 2x dezelfde VPN verbinding geopend zijn, wel een werkende verbinding is.
Sluiten we 1 van de twee VPN verbindingen, dan werkt het niet weer.
We hebben alle mogelijk settings in de VPN client isa en dhcp/dns geprobeerd.
Oa de optie "use remote gateway on remote network" in de VPN client.
Deze optie zou er voor moeten zorgen dat de vpn client onze dns en gateway moet gebruiken.

Wij snappen er absoluut niets meer van en we hopen dat het verhaal een beetje begrijpbaar is.

Onze vraag is. Hoe krijgen we het voor elkaar dat alle clients onze DNS gaan gebruiken.

clients: windows xp nl/uk SP3 met standaard ms vpn client
servers: windows 2003 r2,ISA 2006

[ Voor 0% gewijzigd door Hoover op 20-02-2009 15:31 . Reden: typos. die er vast nog meer in staan :P ]

[koos147]

beetje een oude reactie maar hoop dat iemand een betere oplossing heeft

wat ik zelf doe is op de locale netwerk kaart als dns de interne dns instellen en als secondary een locale dns

internetten zonder vpn is dan heel traag en in een ander subnet kan je ook niet meer werken

absoluut niet ideaal
hoe lossen we dit op?

[eRRoR.InSiDe]

Misshcien had het handiger geweest als je het interne domein niet hetzelfde had genoemd als je externe domein. Dan had je dit probleem denk ik niet gehad.

Een precieze oplossing kan ik zo ook niet bedenken aangezien het niet zo heel simpel is... Houden je er trowuens rekenming mee dat de 192.168.x.x reeks heel veel wordt gebruikt bij routers thuis. Dus kijk eens of een gebruiker zijn interne DHCP reeks kan veranderen naar 10.10.x.x bv en wat er dan gebeurd.

[r0b]

Lijkt mij een kwestie van de juiste DNS server pushen over de VPN verbinding. Als je local DNS de primary is zou je - in theorie - geen problemen meer moeten hebben. Je blijft echter nog wel weer zitten met een een eventuele DNS cache bij de client omdat de domeinen gelijk zijn.

VPN clients not assigned DNS server address
VPN clients will not be able to resolve DNS host names on the internal network if they are not assigned a DNS server address by the ISA Server firewall/VPN server. In most cases, the VPN client already has a DNS server address assigned to it. However, that DNS server address does not resolve names on the corporate network because that DNS server is intended to resolve names on the network the VPN client computer is attached to before connecting to the ISA firewall/VPN server, or to resolve only Internet host names.

The solution to this problem is to configure the ISA Server firewall/VPN server to assign a DNS server address to the VPN clients. ISA Server 2000 VPN Deployment Kit documents Configuring the DHCP Relay Agent to Support VPN Client TCP/IP Addressing Options and Configuring the Windows Server 2003 ISA Server 2000/VPN Server describe how to assign name server addresses of DNS server on the internal network that can resolve internal network DNS host names.

http://www.tacteam.net/isaserverorg/vpnkitbeta2/dnsvpn.htm

[google=windows vpn use remote dns]

[koos147]

aangezien het internet verkeer niet over de vpn gaat denk ik dat het volgende bij mij het geval is

Split tunneling is enabled

Split tunneling is enabled when the VPN client is not required to use the VPN virtual PPP interface at its default gateway. This allows the VPN client to directly access both the Internet and the corporate network. It is possible that when the VPN client is not configured to use the default gateway on the remote network that name resolution will fail for internal network resources.

The solution to this problem is to disable split tunneling and force firewall policy on the VPN clients using the procedures described in ISA Server 2000 VPN Deployment Kit document Forcing Firewall Policy on VPN Clients.

ik wil echter niet dat het internet over de vpn gaat vanwege de bandbreedte van het corporate network

[Verwijderd]

Wat we zien is dat ipv onze eigen DNS server, de dns server van de provider van de thuiswerker wordt gebruikt.
Een nslookup van ons intern domein laat dit ook zien.
Dit terwijl de clients via VPN de juiste gateway en dns servers krijgen toegewezen door onze DHCP.
Dit hebben we gechecked via ipconfig.

Zodra we via nslookup onze eigen dns server opgeven om ons domein op te halen, verwijst deze naar de juiste IP's.
Dit betekend dus dat onze DNS server via ISA wel gewoon functioneerd.
Maar wat we ook proberen, we krijgen het niet voor elkaar om de VPN clients geforceerd onze DNS server te laten gebruiken.

Dit is een oude topic maar de problemen komen mij bekend voor en misschien dat onze oplossing mensen zouden kunnen helpen.

We hebben problemen gekregen met SQL services die niet wouden starten wanneer VPN clients (laptop met windows XP) vpn verbinding maakte.
Ook bij ons kwam telkens bij nslookup etc. de dns van providers als primair naar voren waardoor dit soms problemen oplevert met verbinden.

Het volgende hebben we op alle laptops in die tijd verandert.

Registerkey

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Linkage\Bind

\Device\NdisWanIp
Bovenin de lijst van Bind zetten

Daarna zul je zien dat de client wel de interne dns pakt