[2008] VPN connectie: Login lukt niet ondanks rechten.

[pietervdb]

Hallo,

Ik heb een server met WS2008 x64 Standard. Deze server wordt gebruikt als DC, Exchange server, .. en hierop heb ik ook RAS services op geinstalleerd.

De VPN gebruikers hebben volgende rechten:

• Domain Users
• RAS en IAS Servers
• Remote Desktop Users

Onder de Dail-In user eigenschappen is Allow Access geselecteerd.


Echter wanneer ik extern inbel via een VPN verbinding, zie ik controle gebruikersnaam en wachtwoord maar daarna houd het op.

Via de event viewer op de server zie ik dan volgende warning:

A connection between the VPN server and the VPN client xx.xx.96.93 has been established, but the VPN connection cannot be completed. The most common cause for this is that a firewall or router between the VPN server and the VPN client is not configured to allow Generic Routing Encapsulation (GRE) packets (protocol 47).

Ik heb de router al in DMZ mode gezet zodat deze geen probleem mag veroorzaken maar toch lukt het mij niet om in te bellen.

Zie ik iets over het hoofd? Vroeger met WS2003 ging dit prefect.

[tc982]

En staat GRE nu aan? Of niet? GRE is geen poort, maar een protocol; soms noemt het ook IPSec forwarding of VPN Passthrough.

[pietervdb]

tc982 schreef op vrijdag 13 november 2009 @ 14:28:
En staat GRE nu aan? Of niet? GRE is geen poort, maar een protocol; soms noemt het ook IPSec forwarding of VPN Passthrough.

Hoe kan je dit zien of dit aan staat?

[pietervdb]

Dit heb ik ook nog terug gevonden in de event viewer:

CoId={2F0F3863-4D70-4920-B0C3-C53DC5968B54}: The account for user \PROGICON\pieter connected on port VPN2-127 does not have Remote Access privilege. The line has been disconnected.

en dit:

CoId={2F0F3863-4D70-4920-B0C3-C53DC5968B54}: The user PROGICON\pieter connected from xx.xx.xx.xx but failed an authentication attempt due to the following reason: The connection was prevented because of a policy configured on your RAS/VPN server. Specifically, the authentication method used by the server to verify your username and password may not match the authentication method configured in your connection profile. Please contact the Administrator of the RAS server and notify them of this error.

Dit was bij de laatste test daarnet.

[ Voor 54% gewijzigd door pietervdb op 13-11-2009 14:43 ]

[pietervdb]

Het moet ergens een instelling zijn in de windows server want ik heb nog een PC staan met WS2008 zonder DC, Exchange enz enkel met RAS erop en daar lukt het dan wel.

Ik geloof dat er ergens nog rechter geblokkeerd staan maar ik vind niet waar ik deze nog zou moeten terugvinden.

[sanfranjake]

Heb je in de network policy server wel een regel aangemaakt?

[pietervdb]

sanfranjake schreef op zondag 15 november 2009 @ 03:20:
Heb je in de network policy server wel een regel aangemaakt?

Dit heb ik staan.

[Grolsch]

vrijwel zeker een GRE issue.
Welke firewall gebruik je ?

[Jazzy]

Inderdaad, je moet GRE toestaan in je router of firewall. Waarschijnlijk heb je nu alleen poort 1723 TCP doorgestuurd.

[Dave de Rijder]

lukt het lokaal wel ? eerst ff lokaal testen dan weet je zeker dat op je server alles goed is.
Werkt dit? mooi ga dan je firewall maar eens checken. Werkt dit niet? ligt het echt bij je server.

[pietervdb]

Dave de Rijder schreef op maandag 16 november 2009 @ 14:34:
lukt het lokaal wel ? eerst ff lokaal testen dan weet je zeker dat op je server alles goed is.
Werkt dit? mooi ga dan je firewall maar eens checken. Werkt dit niet? ligt het echt bij je server.

Ok bedankt alvast voor de tips.

Lokaal lukt het dus.

Maar ik heb al geprobeerd om mijn router in DMZ te zetten maar extern wil het dus niet lukken.

Momenteel staan volgende poorten open:



De Windows firewall heb ik ook open gezet.

TCP/UDP 1723 staat ook open maar hoe zet je daar GRE open?

[Verwijderd]

GRE heeft geen tcp/udp poort waarmee je nu bezig bent.
Je moet afhankelijk van jou router zoeken op "allow VPN (ipsec/GRE) passtrough" (ofzo staat het toch in mijn linksys toestel).

[Craven]

toevallig hetzelfde probleem vorige week ook gehad. gre protocol dat niet werd doorgelaten. Ik weet niet wat voor router je hebt maar je moet idd pptp passthrough of iets dergelijks zoeken. Ik zou ook even die vpn5 vermelding weghalen. udp word namelijk niet gebruikt.

geloof het of niet. Maar op mijn linksys stonden eerst de "both" optie gekozen. Dus udp en tcp. Zodra ik hem op tcp zette werkt het perfect...

Als al het bovenstaande niet werkt zou ik even op zoek gaan naar een firmware update.

[ Voor 25% gewijzigd door Craven op 17-11-2009 08:39 ]

[pietervdb]

Het is een Belkin Router van een paar jaar geleden, geen firmware update meer ter beschikking.

Kzal eens zien voor een nieuw Linksys routertje.

[Grolsch]

als je aangeeft welk type belkin router als je hebt, met welke firmware kunnen wij je misschien helpen.

Ik heb hier bijv. een netscreen uit de prehistory, maar dmv allerlei telnet commando's valt deze toch te configgen voor GRE.

[pietervdb]

Het is een Belkin High Speed Mode 125 Mbps Wireless Cable/DSL Router

Version Info
Firmware Version
4.03.04
Boot Version
2.01.02
Hardware
F5D7231-4
Serial No.
BEL18PKQ

[pietervdb]

Ok hier zijn we terug.

Ik heb mij dus een nieuwe router gekocht:

LINKSYS WRT160N Wireless-N Ultra RangePlus Router (802.11n Draft)

Deze heb ik ingesteld en volgende eigenschappen toegevoegd.





Lokaal kan ik via VPN inbellen op mijn server.

Via internet ergens extern lukt dit nog steeds niet.

[Jazzy]

pietervdb schreef op vrijdag 20 november 2009 @ 09:29:
Ok hier zijn we terug.

Ik heb mij dus een nieuwe router gekocht:

Dat ziet er niet zo goed uit: http://www.google.nl/sear...e+gre&meta=lr%3D&aq=f&oq=

[pietervdb]

Ok,

Kzal hem vanavond eens omwisselen met mijn WRT54GL.

Hopelijk dan meer geluk.

[Craven]

Craven87 schreef op dinsdag 17 november 2009 @ 08:37:
geloof het of niet. Maar op mijn linksys stonden eerst de "both" optie gekozen. Dus udp en tcp. Zodra ik hem op tcp zette werkt het perfect...

zie beschrijving hierboven. laat dat toevallig nou ook net een linksys wrt160n geweest zijn. Eventjes op tcp zetten dus

edit: linksys bellen heeft trouwes echt geen nut. Die blijven erbij dat je meer poorten moet openen (eerst moet je natuurlijk updaten naar nieuwste firmware).

[ Voor 17% gewijzigd door Craven op 20-11-2009 11:14 ]

[pietervdb]

Thanx,

Eerst ging het niet maar na een firmware update is het dan toch gelukt.

Bedankt aan iedereen voor het helpen.