Windows 2008 R2 VPN tunnel tussen Server en Draytek router

[John2B]

We hebben een Server 2008 R2 in de cloud die we voor AD, DNS en filesharing willen inzetten.

Het lukt niet om een VPN tunnel succesvol op te zetten tussen de 2008 server en de Draytek.Draytek heeft een extern IP-Nummer en intern 192.168.2.0/24 reeks.


De server 2008 R2 draait hosted bij een hosting bedrijf met 1 netwerkkaart met een extern IP Nummer.
We hebben een Draytek 2850.Omdat de server maar 1 netwerkkaart heeft, en een tweede niet mogelijk is kan ik dus ook geen IPSEc VPN opzetten, want heb daar 2 netwerkkaarten voor nodig. Dus een PPTP is neem ik aan de enige mogelijkheid.


Ik heb alle mogelijke VPN configuraties op de server uitgeprobeerd maar lukt het niet om de Draytek zo te configureren dat het werkt.

Oo de site van Draytek vond ik alleen een oud document (Vigor 2200) van een VPN configuratie, die ik als leidraad probeerde te gebruiken als enig aanknopingspunt, maar ook helaas kreeg ik die niet werkende.


Ik had op geggeven moment een VPN opgezet naar de Draytek router, en zag op de server de connectie binnen komen. melding in log:

CoID={NA}: The user VPNUSER, attempting to connect on VPN3-4, was disconnected because of the following reason: A Remote Access Client attempted to connect over a port that was reserved for Routers only.

Andere VPN configuratie geeft:

A certificate could not be found. Connections that use the L2TP protocol over IPsec require the installation of a machine certificate, also known as a computer certificate. No L2TP calls will be accepted.


Zie ik ergens een setting over het hoofd? of maak ik ergens een denk fout?

[Ploink]

John2B schreef op maandag 07 oktober 2013 @ 09:58:
Omdat de server maar 1 netwerkkaart heeft, en een tweede niet mogelijk is kan ik dus ook geen IPSEc VPN opzetten, want heb daar 2 netwerkkaarten voor nodig.

Waarom heb je daar twee netwerk kaarten voor nodig? Met een VPN verbinding krijg je doorgaans een virtuele NIC er bij.

[John2B]

Dat had ik ook gedacht, echter zij zeggen dat een virtuele NIC mogelijk is, maar alleen om een intern netwerk te maken met een andere bestaande VPS server.

[ Voor 2% gewijzigd door John2B op 16-10-2013 10:18 . Reden: typo ]

[Ploink]

1 fysieke + 1 virtuele nic moet voldoende zijn.

De virtuele nic geeft je bv een 192.168.3.0/24, dan heeft elke lokatie zijn eigen private IP netwerk en kun je uitbreiden met 192.168.4.0/24 etc, etc op andere lokaties. Via VPN staat alles dan met elkaar in verbinding.

Een extra fysieke NIC heb je alleen nodig als je achter de server 2008 nog meer machines in het 192.168.3.0/24 netwerk wil opnemen.

Ik moet er wel bij zeggen dat ik alleen ervaring heb met OpenVPN, maar het idee is hetzelfde denk ik. Via welke stappen je moet configureren weet ik dus niet precies, maar ik neem aan dat er wel ergens een howto op het internet te vinden is.

[Brahiewahiewa]

Als je daadwerkelijk twee netwerken aan elkaar wilt koppelen, moet je 't via een tussennetwerk doen, e.g:

ene netwerk 10.0.0.1/8 <---> NPAS1 <---> 192.168.144.1/24 <---> NPAS2 <----> 172.16.0.1/16 andere netwerk

't Probleem met de Draytek router is - althans toen ik het probeerde - dat ik geen dialoogje kon vinden om die tweede IP-range op te geven. Misschien kan 't op de commandline wel; ik had een tweede 2008R2 beschikbaar, daarmee was 't ook opgelost

[John2B]

Brahiewahiewa schreef op maandag 07 oktober 2013 @ 20:29:
Als je daadwerkelijk twee netwerken aan elkaar wilt koppelen, moet je 't via een tussennetwerk doen, e.g:

ene netwerk 10.0.0.1/8 <---> NPAS1 <---> 192.168.144.1/24 <---> NPAS2 <----> 172.16.0.1/16 andere netwerk

't Probleem met de Draytek router is - althans toen ik het probeerde - dat ik geen dialoogje kon vinden om die tweede IP-range op te geven. Misschien kan 't op de commandline wel; ik had een tweede 2008R2 beschikbaar, daarmee was 't ook opgelost

Dat tussen netwerk zet je dus op op de Server 2008 op twee netwerkkaarten? Op de Server 2008 VPN met 2 netwerkkaarten.

[Ploink]

Brahiewahiewa schreef op maandag 07 oktober 2013 @ 20:29:
ene netwerk 10.0.0.1/8 <---> NPAS1 <---> 192.168.144.1/24 <---> NPAS2 <----> 172.16.0.1/16 andere netwerk

Wat je daar schetst is twee LAN's via een tussen netwerk aan elkaar verbinden.
Dat is hier niet het geval! Het gaat slechts om 1 LAN die TS met de remote server wil verbinden! De remote server heeft geen eigen LAN, hij heeft dus ook geen 2e fysieke netwerk kaart nodig.

Als je het VPN in bridge mode configureert, dan kun je het tussen netwerk zelfs weglaten. De virtuele NIC krijgt dan een IP addres uit de range van je LAN waardoor de server met 1 been in je LAN staat.
Dit wordt weinig toegepast, maar kan als voordeel hebben dat broadcasts ook over de VPN gaan zodat je DHCP remote kan doen. Zo kun je meerdere LAN's aan elkaar knopen tot een grote LAN die allemaal dezelfde DHCP server gebruiken en allemaal in dezelfde IP range zitten. Hosts zien elkaar alsof ze fysiek in dezelfde switch geplugd zijn.
Ik deed dat vroeger via OpenVPN. Met DDWRT programmeerden we wifi routers als VPN bridge. Je kon de bridge meenemen naar huis en je laptop en VOIP telefoon inpluggen of verbinden via wifi alsof je op het werk zat. Je kon zelfs remote booten via PXE

[ Voor 5% gewijzigd door Ploink op 08-10-2013 14:32 ]

[Brahiewahiewa]

OK. Als ik de openingspost goed begrijp, probeer je nu met de Draytek als VPN client in te bellen op de server. Die foutmelding "A Remote Access Client attempted to connect over a port that was reserved for Routers only" moet je zien in de Windows context: je hebt de server nu geconfigureerd voor inbellen door een andere windows server. Dat gaat die Draytek niet begrijpen. Je zult de server moeten configureren voor inbellen door clients. En een (de enige) van die clients is de Draytek.

Je zou 't ook andersom kunnen proberen: de server als client laten inbellen op de Draytek. In beide gevallen zul je nog een hele shitload aan (dns)naamresolutie moeten oplossen. Wat dat betreft kun je eigenlijk veel beter naar Direct Access kijken.

[John2B]

Brahiewahiewa schreef op donderdag 10 oktober 2013 @ 22:16:
OK. Als ik de openingspost goed begrijp, probeer je nu met de Draytek als VPN client in te bellen op de server. Die foutmelding "A Remote Access Client attempted to connect over a port that was reserved for Routers only" moet je zien in de Windows context: je hebt de server nu geconfigureerd voor inbellen door een andere windows server. Dat gaat die Draytek niet begrijpen. Je zult de server moeten configureren voor inbellen door clients. En een (de enige) van die clients is de Draytek.

Je zou 't ook andersom kunnen proberen: de server als client laten inbellen op de Draytek. In beide gevallen zul je nog een hele shitload aan (dns)naamresolutie moeten oplossen. Wat dat betreft kun je eigenlijk veel beter naar Direct Access kijken.

Dacht naar aanleiding van bovenstaande tip gelijk aan de slag te gaan, echter:

Network Requirements For Using Direct Access

If you would like to use Direct Access on your network you will need a minimum of a direct access server running Windows Server 2008 R2 with two network adapters, one for the Internet and one for the Intranet. This server needs to be a member of an Active Directory Domain Services domain.

The Direct Access server also needs at least two IPv4 addresses assigned to the network adapter. Client computers need to be running Windows 7 Enterprise or Ultimate and be members of the AD DS domain. There needs to be at least one domain controller and one DNS server. You will also need a public key infrastructure (PKI) to issue certificates.


Helaas, 2 netwerkkaarten nodig en draaien wij momenteel Vista business en W7 Prof

Zit net echt mee

[Brahiewahiewa]

Nou, die tweede netwerkkaart valt nog wel omheen te werken; je gebruikt gewoon je loopback of een andere virtuele adapter.

Windows 7 business heb ik nog nooit van gehoord, en Wikipedia ook niet.
Is 't een geupgrade Vista Business Edition?

[John2B]

Brahiewahiewa schreef op maandag 14 oktober 2013 @ 18:25:
Nou, die tweede netwerkkaart valt nog wel omheen te werken; je gebruikt gewoon je loopback of een andere virtuele adapter.

Windows 7 business heb ik nog nooit van gehoord, en Wikipedia ook niet.
Is 't een geupgrade Vista Business Edition?

OEPS
Ik zie dat ik momenteel een test PC heb met Vista Business, alle andere PC's zijn Windows 7 Prof.

[John2B]

Iemand nog een helder idee om een Windows Server 2008 R2 in de cloud onderdeel te maken van een lokaal netwerk?

[John2B]

Door het VPN probleem heb ik ook het probleem met routering, logisch.

Op de modem/router heb ik nu DHCP ingesteld met de externe server als DNS. Waarbij de default gateway de router/modem is.

Echter op de externe cloud server staat de default gateway de server zelf,

op de clients staat:
Voor telefonie gaat het netwerkverkeer naar router 192.168.2.3
Voor internet gaat het netwerkverkeer naar router 192.168.2.1

voor de telefonie staat add route rule ingesteld naar 192.168.2.3

Alles werkt, behalve telefonie software, alleen indien ik DNS op de router wijzig naar OPEN DNS werkt het wel, of als ik de netwerkkaart handmatig configureer naar OPEN DNS.