Probleem met opzetten VPN van buitenaf

[Alfa Novanta]

Hallo,

Mijn netwerkkennis is nog niet helemaal daar waar het zijn moet, maar ik denk dat ik al een heel eind ben en begin te begrijpen wat hier aan de hand is, maar ik zou graag een bevestiging willen van de experts .. waarschijnlijk is dit peanuts!

Situatie:

Speedstream 5200 modem/router <--> TP-Link router/access point <--> SBS 2011 server <--> cliënts

Speedstream 12.13.14.15 <-> TP-Link (Wan) 12.13.14.16 <-> (Lan) 192.168.1.1 <-> 192.168.1.10 etc ..

Als ik naar http://whatismyip.com ga, zie ik het ip 12.13.14.16 ... is dit NAT? Want public ip lijkt mij feitelijk dus 12.13.14.15 te zijn .. ? Ik zet dus vanaf buiten een VPN op naar 12.13.14.16 en met telnet kom ik dan ook op de server.

Intern heb ik de VPN werkend. Een XP cliënt had ik nu met 1x VPN instellen succesvol verbonden met de SBS 2011 VPN server. Extern is echter een ander verhaal.

Overal heb ik nu een port forward opgezet voor PPTP 1723 naar binnen toe, dus op de Speedstream en op de TP-Link en op de SBS 2011 server een rule in de firewall voor RRAS (PPTP-In) 1723. Als ik nu van buitenaf telnet 12.13.14.16 1723 gedraagt hij zich idem als intern en een port scan bevestigd dat 1723 nu open staat. Toch blijft hij bij het opzetten van een VPN eindeloos staan verifiëren op gebruikersnaam en wachtwoord. Zinvolle logs heb ik nog nergens kunnen vinden, maar n.a.v. het volgende denk ik dat ik nu weet waarom het niet werkt ..

Bron: http://www.experts-exchan...ss_Server/Q_27726782.html

You have a dual NAT situation where you have:
Internet <=> device <=> subnet 192.168.1.x <=> device <=> subnet 192.168.12.x
The VPN will not work in this way. The device closest to the Internet will need to be put in Bridge mode, effectivly disabling its NAT feature and allowing the inter device to have a public IP.

Dus dan zou ik de Speedstream in bridged mode moeten zetten.
Hiervoor vond ik al een topic ..

Bron: http://www.ehow.com/how_6...-5200-e240-dsl-modem.html

Tips & Warnings
Switching to bridge mode could lead to the loss of your PPPoE/DSL username and password. This username and password are still necessary to gain access to the Internet, either via network settings or through connection to another router that supports PPPoE. Before performing any part of this article, you should already have set up the computer or other router. If you do not know your username and password, contact tech support for your Internet provider.

Read more: How to Bridge a Speedstream 5200 E240 DSL Modem | eHow.com http://www.ehow.com/how_6...-modem.html#ixzz1wI85WcSJ

Bovenstaande lijkt mij een terechte opmerking .. 1 klik verkeerd en weg internet connectie!

Nu weet ik wel een username ([e-mail]) .. maar password is **** doh
Zou KPN hier aan meewerken als ik ze hierover op zou bellen?

Klopt het verder wat ik hierboven heb neergezet??

DHCP server is dus de SBS 2011 server ... zowel de Speedstream als de TP-Link kunnen dit uiteraard ook verzorgen, maar dat wil je natuurlijk niet.

Alvast bedankt voor het meedenken !

[WhizzCat]

1. achterhaal dat wachtwoord! Daar moet toch iets van op papier/email zijn neem ik aan? (ja ik weet, assume makes an ass out of u and me )

2. In principe lijkt mij de speedstream al in bridge te staan omdat je externe IP al aangegeven wordt als die .16

Ow ja, het kan zijn dat je PPTP passthrough in je TP link aan moet zetten

[DrFlash]

Je moet buiten de PPTP (TCP/1723) ook GRE (GRE) openzetten. Dit wordt namelijk gebruikt voor authenticatie.

Op een cisco werkt dat zo:

access-list 101 permit tcp host x.x.x.x host x.x.x.x eq 1723
access-list 101 permit gre host x.x.x.x host x.x.x.x

hoe dat bij je tp/link werkt weet ik niet.

Wat betreft je KPN modem, deze staat al in bridge, als het goed is heb je een /22 gekregen van KPN waarbij het eerste IP op de speedtouch staat, en de andere 5 te gebruiken zijn voor jezelf.

[Alfa Novanta]

Hmm .. dan is een cisco ineens zo gek nog niet

Dank voor de reacties

Ik heb nog even gespeeld met de GRE forwarding ..
Bij deze de port forwards zoals momenteel redirected naar "12.13.14.16" dus, het public ip adres.


ja .. er staan wat teveel poortjes open, maar dat wil ik dus met deze VPN zien terug te brengen ...

Dus .. als ik het goed begrijp forward je de ports van het ATM/PPPoA ip adres naar het PPPoE adres 12.13.14.16 ?

en dan van WAN 12.13.14.16 naar LAN .. waarbij de server op 192.168.1.10 zit.


^ ik kan echter alleen ports open zetten en bij protocollen worden alleen TCP en UDP genoemd.

En ik vond op de Speedstream zowaar nog een interface map



In het rood heb ik even de "ip" adressen er in gezet .. moet ik het zo zien? Op de 12.13.14.15 staan alle poorten dicht van buitenaf. Maar intern valt hij er wel op te managen op poort 80. Voor de rest manipuleer je de routing van de uitgaande switch naar het LAN toe? Toevallig op 12.13.14.16

Ik kan van de TP-Link TL-WR340G/TL-WR340GD niets vinden over GRE .. alleen dit:

Bron: http://www.tp-link.com/nl...ils/?model=TL-WR340G#spec
VPN-DOORVOER: PPTP, L2TP, IPSec (ESP Head)

[ Voor 26% gewijzigd door Alfa Novanta op 31-05-2012 08:51 ]

[WhizzCat]

In mijn Linksys zitten de VPN passthrough settings onder Security. Allicht zitten die van jou daar ook in de TP Link. Misschien staat het ook standaard aan, maar daar kan de handleiding wel iets over zeggen denk ik



-edit- met piccie nu

[ Voor 19% gewijzigd door WhizzCat op 31-05-2012 08:53 ]

[CyBeR]

Dat wachtwoord is onboeiend. Het is KPN, moet je dat per see willen weten.

Nudan. Bij OfficeDSL krijg je een subnet doorgerouteerd. Zolang je speedstream ingesteld staat om niet te NATten moet je daar helemaal niks instellen qua poorten forwarden. Staat 'ie wel zo ingesteld dan moet je dat uitzetten. Dat doe je bij NAT/NAPT en dan kies je voor 'NAT & NAPT Disabled'. Verder is het enige waar je naar moet kijken de firewall settings. Als je toch nog een router achter het ding hebt staan om te NATten, zou ik die lekker uitzetten. (Firewall -> Level -> Off.)

[Alfa Novanta]

Op de Speadstream staat NAT & NAPT inderdaad op Disabled.
Firewall heb ik uit gehad, helaas nog steeds geen VPN

[BHQ]

Als je op die TP-Link het GRE protocol niet kan doorzetten houdt het op.

[WhizzCat]

Jarpse schreef op vrijdag 01 juni 2012 @ 15:06:
Als je op die TP-Link het GRE protocol niet kan doorzetten houdt het op.

Daar is dat PPTP Passthrough vinkje voor

[CyBeR]

Zou dat niet gewoon alleen de andere kant op werken?

[Alfa Novanta]

poeh .. toch lastiger dan ik dacht.

Ik heb mijn cliënt logs er nu nog eens bij gepakt en zie nu wel meldingen voorbij komen ..









en ondertussen sta ik hier al tientallen minuten naar te staren ..



en aan de serverzijde zie ik helemaal geen relevante meldingen in de logs voorbijkomen

[ Voor 13% gewijzigd door Alfa Novanta op 01-06-2012 23:12 ]

[Alfa Novanta]

sh*t ... hij doet het

nog een paar aanpassingen gedaan. Hierboven zag ik IKEv2 staan, welliswaar stond hij op 'Auto' dus zou hij ze allemaal moeten proberen, maar toch nog maar eens PPTP ingesteld. Tevens Ipv6 eens uitgeschakeld. En voilá !

Nu kijken welke van de 2 het hem doet ..

edit:
wanneer hij het in ieder geval doet:
- ipv6 uit
- PPTP
- versleuteling niet toegestaan

edit2:
Het lijkt hem in de PPTP instelling te zitten. Op automatisch gaat het niet goed!
- ipv6 aan
- versleuteling verplicht

Allemaal heel erg bedankt voor jullie hulp!

[ Voor 32% gewijzigd door Alfa Novanta op 01-06-2012 23:29 ]