[Win2008] Server als springplank gebruiken voor VPN

[ImmortalSoul]

Ik heb een testopstelling in VMware gebouwd bestaande uit een Windows 7 (client) en Windows 2008 (Server). De client hangt "achter" de server. Via DHCP krijgt de client een adres in de 192.168.x reeks, en via NAT heeft hij verbinding met de rest van het netwerk.

Bovenstaande opstelling werkt, de client kan alle resources op het interne netwerk bereiken en ook op internet.

Op de Windows 2008 server heb ik een VPN/SSTP verbinding opgezet naar Azure. Ik kan vanaf de server pingen naar al mijn resources op Azure. Dus dat is ook prima.

Nu wil ik vanaf de Windows 7 client ook verkeer over de SSTP tunnel van de Windows 2008 server sturen, maar dit lukt niet.

Ik kan vanaf de client natuurlijk pingen naar de Windows 2008 server, en ik kan vanaf de client ook het ip adres van de VPN interface op de Windows 2008 server pingen (maar niet de interface aan het einde van de VPN). Oftewel, de Windows 7 machine kan op de server komen. En vanuit de server kan er volledig gebruik gemaakt worden van de VPN tunnel ... maar bij elkaar werkt het niet.

Ik heb ook poging gedaan om gebruik te maken van ICS. Hiermee kan de Windows 7 client wél op de VPN tunnel, en alle resources in azure gebruiken ... maar helemaal geen interne resources (wat ik ook met de route tabel doe). ICS is wel een beetje vervelend omdat je weinig configuratie mogelijkheden hebt, daarom ga ik liever met de NAT/DHCP situatie verder werken dan met de ICS configuratie.

Wie kan mij in de goede richting helpen?

ps: de firewall op de server staat uit.

[Brahiewahiewa]

RRAS aanzetten

[ImmortalSoul]

Brahiewahiewa schreef op dinsdag 01 december 2015 @ 18:11:
RRAS aanzetten

Die staat (uiteraard) al aan. Anders kon ie ook niet routeren en NAT-ten tussen twee verschillende netwerken.

[ Voor 19% gewijzigd door ImmortalSoul op 01-12-2015 20:14 ]

[Brahiewahiewa]

ImmortalSoul schreef op dinsdag 01 december 2015 @ 20:13:
[...]

Die staat (uiteraard) al aan. Anders kon ie ook niet routeren en NAT-ten tussen twee verschillende netwerken.

Als je een RRAS interface wilt delen, moet je hem een aparte ip range geven. Zoiets:

Win7 (LAN: 192.168.0.2) -- (LAN: 192.168.0.1) server (RRAS 10.0.0.1) -- (RRAS: 10.0.0.2) Azure server (remote LAN 172.16.172.1)

[ImmortalSoul]

Dat heb ik ook:

Win7: 192.168.137.10
Inbound Win2008: 192.168.137.1

Outbound Win2008: 10.0.x.x

VPN interface Win2008: 192.168.0.2
VPN interface Azure: 192.168.0.1

[ImmortalSoul]

Bump, ik heb het gevoel dat Windows Server niet zo goed met twee interfaces overweg kan. Hoe kan ik dat oplossen?

[Trommelrem]

Dus als ik het goed begrijp is de server ook de "default gateway?" Dan zou het eigenlijk al moeten werken, maar zou je toch even je route tabel kunnen plaatsen?

Heb je de beschikking over een simpele router, bijvoorbeeld een Draytek, Mikrotik of Cisco SMB? Wellicht kun je de VPN naar Azure opbouwen vanaf je router. Draytek en Mikrotik wordt door Azure niet officieel ondersteund, maar het werkt wel enorm goed

[ImmortalSoul]

Mikrotik heb ik naar gekeken, maar voorlopig moet ik het met deze (virtuele) opstelling doen.

Route tabel client:


Route tabel server:


Interne IP's zijn verborgen aangezien het niet om RFC 1918 adressen gaat. Echter zijn alle verborgen adressen identiek qua netwerk.

Met de bovenstaande opstelling kan ik vanaf de client dus pingen naar het adres van de VPN interface (192.168.0.10) op de server, maar niet de VPN interface van Azure (192.168.0.1). Op de server kan ik wel gewoon alles pingen.

Ga ik echter de route tabel in RRAS kijken:


Dan mis ik daar het complete VPN netwerk, en die heb ik dus handmatig/statisch toegevoegd. Echter werkt dat nog steeds niet.

[ Voor 3% gewijzigd door ImmortalSoul op 03-12-2015 14:30 ]

[ImmortalSoul]

Ik vermoed dat het probleem te maken heeft met dat RRAS niet de SSTP/VPN interface ziet. Gevolg is dat hij alleen maar de "Outside" netwerk interface ziet met de bijbehorende netwerken.

Ik kan in RRAS dus ook niks configureren of instellen voor die SSTP/VPN interface.

[Mickman]

Volgens mij komt dit omdat je default gateway op je client niet verwijst naar je server. Of je past de gateway aan en verwijst naar het ip adres van de server. Of je voegt een statische route toe op de client om het netwerk van azure te routeren over het ipadres van je server. Wellicht zou een route toevoegen op je router met ipadres 192.168.137.1 ook kunnen werken Niet goed gelezen. Je client hangt achter je server en niet achter een andere router.

[ Voor 11% gewijzigd door Mickman op 04-12-2015 09:54 . Reden: Foutje ]

[Brahiewahiewa]

En vergeet de "terugweg" niet. Hebben de servers aan de Azure-kant een correcte route naar 192.168.137.0?

[ImmortalSoul]

Brahiewahiewa schreef op vrijdag 04 december 2015 @ 09:55:
En vergeet de "terugweg" niet. Hebben de servers aan de Azure-kant een correcte route naar 192.168.137.0?

Dat wordt volgensmij afgehandeld door de Dynamic Routing Gateway aan de Azure kant.

Ik heb het nu overigens werkend gekregen met een 3rd party programma (www.nat32.com), ik kan hier de Outside interface + de SSTP/VPN interface instellen als public interfaces. Vervolgens een custom route toegevoegd voor de adressen op Azure en het werkt.

Probleem is dat het geen gebruiksvriendelijk programma is, dus ik vroeg me af of er meer software is als dit. Waarmee je je een server als NAT/router kan laten dienen, en twee public interfaces kan toevoegen.