Internet -> Router -> VPN Server probleem

[Zoetjuh]

*Zucht*

Ik ben al een paar dagen bezig om het werkend te krijgen, maar ik kom er nogsteeds niet uit. Iedere keer krijg ik weer de melding "721" of "650"... (Loopt niet door de 'user and password verrify' heen)

Situatie:
=========
Bij een klant van me hebben we een Windows 2000 Server welke niet alleen als PDC werkt, maar ook als VPN-server. De server heeft een lokaal IP: 192.168.1.1
Ik heb aan de enige NIC ook een 2de IP (213.xxx.yyy.50) toegevoegd.
DNS, WINS, RAS en Routing en DHCP zijn allen geïnstalleerd.

De internetverbinding wordt verzorgt door een Compex ISDN Passage 22 Router (met sowiezo PPP en NAT) -> Vaste ISDN lijn. Het interne IP van de router: 192.168.1.10. Het externe IP 213.xxx.yyy.49. Nu krijgen we door de provider 8 IPs (213.xxx.yyy.48/55). Via de IP Routing Table heb ik een Route aangemaakt 213.xxx.yyy.50 -> 192.168.1.1

Alles werkt aangezien inloggen op 213.xxx.yyy.50 via Terminal Services etc gewoon werken. Behalve VPN dus

Iemand een idee wat ik fout doe? (t zal wel dood eenvoudig zijn, maar ik zie het niet meer)....

[Flyduck]

Even voor de duidelijkheid je gebruikt maar 1 NiC in die server ???

[Verwijderd]

ja, doe me eens een plaatje ofzo, klinkt heel vaag...je route een ip reeks door een IP wat niet op de router zit

[PtrO]

Check FF met je ISP provider hij en/of de router/fw wel PPTP traffic doorlaat.

Ik neem aan dat je je IP forwardings open heb staan (Protocol 47/GRE !!!, Port TCP/1723 etc.).
Data vooralsnog niet gaan encrypten. Eerst zonder, later kan je wel 's een beetje advanced e/o L2TP UDP/1701 gaan doen.

Verder google ik dat de Passage VPN als optie support ?? Kortom begint een beetje vaag te worden of dat wel lukt met dat kassie.

Ik weet niet hoe kritisch de boel is, maar een mogelijke optie is een hardware router met ingebouwde VPN support aan te schaffen of compex gewoon te vragen wat nodig is.

Suc6

[Zoetjuh]

OK, duidelijk..
hmmm.. I'll try... Okee niet letten op de kwaliteit van mijn kunstzinnig vermogen




Ik hoop dat dit een beetje duidelijker is. Maar ja, inderdaad via één NIC... Ik weet dat het moet kunnen, maar hoe.... ?

(Intern VPNnen lukt wel op 192.168.1.1, niet op 213.xxx.yyy.50)

PS.
---------
PPTP wordt doorgelaten door Demon Internet (de provider, en toppie provider ook).

Verder route de router momenteel ALLES door (telnet 213.xxx.yyy.50 1723 lukt dus ook).

[pistole]

heb je wel pptp (vpn) support op je server?

Ik heb geen ervaring met 2k + vpn over een masqueraded (NAT) connectie, maar wel met Linux.

In het laatste geval heb je een speciale kernel module nodig die VPN verbindingen naar buiten toe mogelijk maakt.

Ik kan me iets voorstellen dat op 2k ook iets dergelijks geregeld moet worden

[edit]
Ik zie nu dat je van buitenaf een VPN connectie naar je server die binnen staat wilt maken?
Dan zt het probleem in de router; die moet namelijk alle binnenkomend verkeer op poorten 1723 en 47 "blind" moeten forwarden/toestaan naar 213.xxx.yyy.50, netzoals je nu hebt voor RDP (terminale diensten )

[Zoetjuh]

Momenteel wordt alles dat naar 213.xxx.yyy.50 is bestemd gerouteerd naar 192.168.1.1

Ofwel momenteel staat de router zo ingesteld dat "all packets from isp will be sent, accept those matching one or more of the following rules" geen rules heeft.
(ja heel onveilig nog, dit ga ik ook direct verscherpen wanneer dit VPN werkt, maar daarom nu ook de xxx.yyy notitie iedere keer). Dit lijkt me toch geen complicaties kunnen laten opleveren?


Beetje mijn gedachtengang momenteel:
--------------
Ik vraag me alleen wel af of ik op de server geen static route (IP: 213.xxx.yyy.50 Subnet: 255.255.255.255 Gateway 192.168.1.1) zou moeten toevoegen, of mogelijk NAT zou moeten inschakelen... Daarnaast weet ik ook niet of ik uberhaupt iets met RIP zou moeten doen maar ik denk het niet.

Zou de Router misschien protocol 47 niet ondersteunen? Als dat zo is, kan ik dan uberhaupt wel een telnet sessie starten naar 213.xxx.yyy.50 1723?

[Pwigle]

volgens mij issie gewoon down want ik kan 213.xxx.yyy.50 ook niet pingen !!

[Brahiewahiewa]

Op dinsdag 22 januari 2002 00:50 schreef Zoetjuh het volgende:
[..]
Zou de Router misschien protocol 47 niet ondersteunen? Als dat zo is, kan ik dan uberhaupt wel een telnet sessie starten naar 213.xxx.yyy.50 1723?

Omdat telnet over het PROTOCOL TCP gaat. TCP != GRE (oftewel protocol 47). Maar euh, wat weerhoudt je ervan om op de compex web site op te zoeken hoe je GRE aanzet?

edit:

Effe Google-en => http://203.128.6.246/Routers1.html waar ook keurig staat: VPN support: optional. Dus effe moduletje bijkopen, klaar

[Falcon]

Sorry maar is dit nieuw?.. 2 ip adressen op 1 nic? .. Vertelles hoe doe je dat?.. lijkt me nog al conflict gericht

[Brahiewahiewa]

Op dinsdag 22 januari 2002 01:00 schreef The Real Falcon het volgende:
Sorry maar is dit nieuw?.. 2 ip adressen op 1 nic? .. Vertelles hoe doe je dat?.. lijkt me nog al conflict gericht

't Is niet nieuw maar wel stom

[Zoetjuh]

Niet nieuw, zeker niet
Het maakt een Windows 2000 Server goed geschikt als webserver van tal websites (bind bijvoorbeeld 10 IPs aan die NIC en per virtual webserver geef je een IP op).

Maargoed, waarom stom? Bedoel, wat moet ik doen? Een 2de NIC met 213.xxx.yyy.50 als IP? Hoe komen packets daar aan?

Of gewoon op die eerste NIC dat externe IP verwijderen? Naar mijn weten is dat IP dan niet meer bereikbaar...

Sja echt makkelijk is het niet dit

[Zoetjuh]

Op dinsdag 22 januari 2002 00:56 schreef Brahiewahiewa het volgende:

Effe Google-en => http://203.128.6.246/Routers1.html waar ook keurig staat: VPN support: optional. Dus effe moduletje bijkopen, klaar

Ik heb contact gehad met Compex en vanaf Firmware 4.?? ondersteund de router VPN, de firmware van de router daar is 5.10 (nieuwer dus ) Er bestaat in reality geen hardware-optie

Maar zou die misschien toch dat GRE niet ondersteunen? Zou het alleen maar dat zijn?

Sjeezzzz ik wor gek van dat ding.. aaals het dat is inderdaad

P.S.
Compex: http://www.cpx.com

[Brahiewahiewa]

Op dinsdag 22 januari 2002 01:11 schreef Zoetjuh het volgende:
[..]Naar mijn weten is dat IP dan niet meer bereikbaar[..]

Euh, begrijp je NAT?

[PtrO]

Op dinsdag 22 januari 2002 01:19 schreef Zoetjuh het volgende:
[..]
Maar zou die misschien toch dat GRE niet ondersteunen? Zou het alleen maar dat zijn?

Waarschijnlijk.
Als eerder (in het hele begin) gezegd, check met Compex wel PPTP traffic doorlaat en dus in elk geval IP protocol 47 (=GRE) doorlaat. Protocol niet te verwarren met IP-poort.
Een net/monitor scanner wil ook wel helpen, je moet dan die pakketjes voorbij zien komen.

[BlaTieBla]

Op dinsdag 22 januari 2002 00:53 schreef DaPoztMaster het volgende:
volgens mij issie gewoon down want ik kan 213.xxx.yyy.50 ook niet pingen !!

Als dat de kaart is waar VPN op draait is dat heel normaal. Bij ons op de zaak is ons vpn doosje in het netwerk NIET zichtbaar (maar hij is er wel ). Wel knap kut met troubleshooten.

Wij gebruiken die MS VPN oplossing ook, maar hebben er voor gezorgt, dat wel lokaal op het segment zit (logisch gezien).

Onze situatie is als volgt:
Pix firewall aan het internet. Met het publieke adres ga ik een VPN connectie aan (MS-PPTP). Logisch gezien, zit ik nu op het netwerk. Vervolgens zet ik een VPN (MS-PPTP) op naar een intern IP adres, om vervolgens bij het derde netwerk te kunnen komen (wat overigens hoogst illegaal is in mijn geval ).

Het was wel ff prutsen in de route tabellen van MS. De authenticatie op de 2e VPN doos gebeurt op basis van MS-AD. Gevolg was dat er 3 netwerkkaarten in de VPN server moesten (1 dedicated VPN, 1 verboden netwerk en 1 richting de DC). Helaas dat VPN per adapter is en niet per IP adres.

Nu heb ik thuis ADSL...... gevolg VPN door VPN door VPN en het werkt nog ook

[BlaTieBla]

Op dinsdag 22 januari 2002 01:19 schreef Zoetjuh het volgende:

[..]

Ik heb contact gehad met Compex en vanaf Firmware 4.?? ondersteund de router VPN, de firmware van de router daar is 5.10 (nieuwer dus ) Er bestaat in reality geen hardware-optie

Maar zou die misschien toch dat GRE niet ondersteunen? Zou het alleen maar dat zijn?

Sjeezzzz ik wor gek van dat ding.. aaals het dat is inderdaad

P.S.
Compex: http://www.cpx.com

Ondersteund VPN... Als end-point, of routerend?

B.t.w. koop een Cisco / Firewall doos of zo

[Zoetjuh]

Ja okee, volgende keer GEEEN Compex meer.
Cisco is natuurlijk een stuk beter idee, maargoed, niet alle bedrijven/bedrijfjes hebben dat extra bedrag ervoor over...

Contact met Compex schiet ook niet op want die lui zitten in Singapore

PS. NAT.. hmm sja.. moet eerlijk zijn dat ik wel een idee heb, maar niet heel zeker weet... Ik geloof dat ik het kan gebruiken om extrene IPs te vertalen naar interne IPs.. Of is dat gewoon IP-routing? Arrgg ik word gek

[mughato]

Op dinsdag 22 januari 2002 07:42 schreef BlaTieBla het volgende:

..... Vervolgens zet ik een VPN (MS-PPTP) op naar een intern IP adres, om vervolgens bij het derde netwerk te kunnen komen (wat overigens hoogst illegaal is in mijn geval ).

Aha! Nu weet ik waar al dat onbekende verkeer op ons netwerk vandaan komt. tssk, tssk

[Flyduck]

Op maandag 21 januari 2002 23:55 schreef Zoetjuh het volgende:
OK, duidelijk..
hmmm.. I'll try... Okee niet letten op de kwaliteit van mijn kunstzinnig vermogen


[afbeelding]

Ik hoop dat dit een beetje duidelijker is. Maar ja, inderdaad via één NIC... Ik weet dat het moet kunnen, maar hoe.... ?

(Intern VPNnen lukt wel op 192.168.1.1, niet op 213.xxx.yyy.50)

PS.
---------
PPTP wordt doorgelaten door Demon Internet (de provider, en toppie provider ook).

Verder route de router momenteel ALLES door (telnet 213.xxx.yyy.50 1723 lukt dus ook).

Hoe kan je router dat nu door routen? Wat je bedoeld is dat je een NAT translatie (portmapping) naar binnen hebt gemaakt. Ik heb sowieso al me twijfels of een pptp verbinding via NAT wel werkt (ivm headers). Maar goed stel dat dat zou werken dan heb je het feit dat je twee IP adressen van 2 totaal verschillende reeksen op 1 NiC hebt zitten en dat gaat dus NEVER NOOIT niet werken... Je krijgt dan gigantische routeringsproblemen op de server..

Fly

[Brahiewahiewa]

Op dinsdag 22 januari 2002 22:42 schreef Flyduck het volgende:
[..]

Hoe kan je router dat nu door routen? Wat je bedoeld is dat je een NAT translatie (portmapping) naar binnen hebt gemaakt. Ik heb sowieso al me twijfels of een pptp verbinding via NAT wel werkt (ivm headers).

Ja hoor dat werkt. Althans, het kan werken afhankelijk van de NAT router die je gebruikt. PPTP is goed te NATten.
Win2K R&RAS kan het, of een Compex ISDN Passage 22 het kan weet ik niet (ik heb zo m'n twijfels)

Maar goed stel dat dat zou werken dan heb je het feit dat je twee IP adressen van 2 totaal verschillende reeksen op 1 NiC hebt zitten en dat gaat dus NEVER NOOIT niet werken... Je krijgt dan gigantische routeringsproblemen op de server..

De routeringsproblemen zullen wel meevallen, maar je kijgt last van clients die de server niet kunnen vinden. Die proberen dan een NetBIOS verbinding naar het 213.x.y.50 adres op te zetten; dat gaat dus via NAT naar buiten en dan weer naar binnen en dus niet werken

[Zoetjuh]

ZUCHT!

Ik net een mailtje van Compex terug gehad:

Hi,

Is your PPTP VPN software belong to Microsoft? Or it itself have some other Brand name?

Please elaborate on this? You still have not mention the name or the brand of your VPN program?

Likewise, what is this GRE?

We noted you need to open port 1723. Is it for TCP or UDP or both?

* Zoetjuh wordt een beetje gek hierow.. Denk ook dat het probleem meer bij die gastjes daar zit|:(

Vraag me af of ze wel eens van Windows 2K Server gehoord hebben en daarnaast heb ik hun ook gemeld dat ik geen filtering regels gebruik, maar alles momenteel doorlaat...

PS. Het probleem omtrend de routing valt heel erg mee, as in, ik heb hier nog geen problemen mee gehad. Of de router nou geconnect is met internet of niet, aanmelden, exchangen, etc, alles werkt gewoon...

ffies een uitleg van wat ik nu precies heb ingesteld:



========
Server:

Draait DNS, RAS & Routing, WINS, DHCP

NIC 1:
- IP: 192.168.1.1/255.255.255.0
- IP: 213.xxx.yyy.50/255.255.255.0
- DNS: 127.0.0.1
- WINS: 192.168.1.1
- DEF. GATEWAY: 192.168.1.10 (Router)
- NetBIOS via TCP/IP

PROTOCOLS: TCP/IP en IPX/SPX

DNS draait dus op 192.168.1.1
RAS & Routing draait op (??) de eerste/enige NIC (??) en staat volledig standaard, op de enige wijziging, alleen PPTP poorten en geen L2TP poorten, na (aangezien de VPN clients Win 98 zijn)
WINS draait dus ook op 192.168.1.1

DHCP:
- 003 Router: 192.168.1.10
- 006 DNS: 192.168.1.1
- 015 DNS Domeinnam: ZTRM*
- 044 WINS/NBNS: 192.168.1.1
- 045 Netbios over TCP/IP: 192.168.1.1
- 046 WINS/NBT Knooppunttype: 0x8

*
volledige domeinnaam is nl: ZTRM.<klantnaam>.nl
waarbij de <klantnaam> een geregistreerd domein is.

[PtrO]

Tja, tja. tekenend , als een router fabrikant gaat vragen wat IP-protocol 47/GRE is. Ik geef je weignig hoop.

Enfin, laten we de moed er in houden en het probleem 's vanaf een andere kant benaderen.

Die Compex, heeft die een Default-NAT route optie ?

Hiermee, kan je dan het inkomende verkeer dat niet expliciet via NAT wordt/werd gerouteerd, naar een default machine (je VPN server ) sturen.

edit:

Sorry, je had al gezegd:[quote]
Op maandag 21 januari 2002 20:26 schreef Zoetjuh het volgende:
[..]
Via de IP Routing Table heb ik een Route aangemaakt 213.xxx.yyy.50 -> 192.168.1.1
[/quote]

Tja dan heb ik ook geen suggesties meer en het lijkt er sterk op dat het verhaal over en sluiten is.

Misschien nog voor voor de aardigheid checken, of je vanuit binnen (192.) over Inet naar buiten, wel een VPN/PPTP verbinding kan leggen. Heb je echt geen VPN-server extern, kan ik heel misschien (bij mijnes) wat voor je regelen.

[Zoetjuh]

Eej dat vink tof van je,

Ik ga inderdaad eens proberen om een VPN verbinding op te zetten naar een goeie vriend die met ze PPOE-ADSL interface wel gewoon als VPN-server draait.

Stom dat ik daar nog niet op gekomen ben.

Maar nog even over NAT (want nu betwijfel ik of ik dat juist begrijp). Network Address Table, als ik me niet vergis. Dit is toch hetgeen ik nodig om extern<->intern verbindingen voor elkaar te krijgen (wat ik zo leuk IP-routing noemde)?

Dan vraag ik me als laatst toch af... Win 2K Server en die Router ondersteunen RIP. Kan ik daar misschien niet iets leuks mee doen zodat ik de NAT-service van de Win 2K Server ga gebruiken welke dus wel GRE ondersteund? Het lijkt me niet dat het mogelijk is, maar misschien dat iemand een idee heeft.

Greetz and respect ó mighty tweakers

[Brahiewahiewa]

Je kunt een ISDN kaartje in je Win2K server zetten; heb je die hele router niet meer nodig (kun je'm verkopen aan iemand aan wie je een hekel hebt )

[Zoetjuh]

Ja maar dan moet ik zeker weer ICS gaan gebruiken... en das iets waar ik echt een hekel aan heb (lekker stabiel, *not*)

Maar das mijn mening Via DUN lukt het wel ja... maarja.. ik "wil" het via de router lekker eigenwijs bennik soms...

Toch even de reactie van onze oohw zo slimme fabrikant Compex afwachten...

[PtrO]

Op woensdag 23 januari 2002 14:24 schreef Zoetjuh het volgende:
Maar nog even over NAT (want nu betwijfel ik of ik dat juist begrijp). Network Address Table, als ik me niet vergis. Dit is toch hetgeen ik nodig om extern<->intern verbindingen voor elkaar te krijgen (wat ik zo leuk IP-routing noemde)?

Ach wie begrijpt het soms nog wel als het eenmaal werkt .

Ik zie het zo voor mijn geestje :
Routing is het 'onveranderd' doorgeven van het IP-pakketje naar een ander doel- of vervolg adres. Wat het vervolg adres is kan je evt. met RIP automatiseren i.p.v. voor ingestelde (static) routes.
NAT = Network Adress Translation 'vertaalt' waarbij in het IP headertje, het doel-adres (bijv. naar 192.segment) en/of Protocol-poort (bijv. TCP/21 naar TCP/1000) wordt gewijzigd. Hierna wordt het pakketje gerouteerd en/of afgeleverd.

In het IP-headertje staat o.a. het IP-protocol (bijv. ICMP=1, TCP=6, UDP=17 of GRE=47) en een checksum die bij NAT opnieuw wordt berekend (het IP target adress etc. is immers veranderd). Nu het volgende , als de NAT-software gaat letten op het protocol, heb je ellende als ie sommige niet ondersteund.

De basis vormen zoals ICMP (ping !!), TCP en UDP is vaak geen probleem. Het gedonder ontstaat vaak pas bij al die andere 'rare' protocollen. Om maar wat te noemen GRE, IPSEC, AH etc.

fyi, RIP gaat via het UDP/520-protocol en zal dus geen problemen geven voor NAT devices. FF los van de Inhoudelijke ROUTE opdrachten.
fyi, GRE staat voor Generic Routing Encapsulation en wordt gebruikt om data in te pakken voor aflevering op een doel adres. Een NAT/Firewall voor PPTP moet in staat zijn om GREE packet editing te doen.
fyi, PPTP is het tunnelen van PPP pakketjes via het GRE protocol.
fyi, TCP/1723 is bedoeld om de connectie te onderhouden en IP47/GRE wordt gebruikt voor het 'PPP' data transport.


Nog even een reactie dat VPN via NAT niet zal gaan werken. Dit klopt voor L2TP VPN verbindingen.

[Zoetjuh]

Kijk, daar heb ik wat aan
Mijn dank is groot.

Ik hoop dat ik iets van deze wijsheid ook kan over kan brengen naar Compex (maar acht die kans niet zo hoog )

Okee, maar het lijkt mij dus dat die router momenteel alleen route zegt maar en niet NAT, om het zo maar te zeggen... Of heb ik dat mis?

Als het goed is (en daarmee kan ik dus testen of het werkt?) moet ik zo'n route aanmaken van 213.xxx.yyy.50 op subnetmask 255.255.255.255 (alleen dat ip dus), naar gateway 192.168.0.1 en dan het 2de ip adres uit de lijst met IPs haal van de NIC in de server.

Toch?

[PtrO]

Okee, maar het lijkt mij dus dat die router momenteel alleen route zegt maar en niet NAT, om het zo maar te zeggen... Of heb ik dat mis?

Je doet in elk geval (ook) NAT, immers je kan van 192.binnen/213.buiten functies (transparant) uitvoeren. Toch ?

Als het goed is (en daarmee kan ik dus testen of het werkt?) moet ik zo'n route aanmaken van 213.xxx.yyy.50 op subnetmask 255.255.255.255 (alleen dat ip dus), naar gateway 192.168.0.1 en dan het 2de ip adres uit de lijst met IPs haal van de NIC in de server.
Toch?

Oei als ik je goed begrijp. Ik zal proberen het uit te leggen.

Feitelijk heb je daarmee wat ruzie met routes wordt het wat comp(l)ex om 213.x.y.50 binnen te krijgen en het daar te houden. Wat je in feite wilt doen, is je W2K-NIC, multihomed maken, deels 192.Intranet via NAT, deels routed 213.Internet (Brrrr).

Laten we aannemen dat je ISP, je (8?) addressen, routeert naar je Compex-doosje. Je Compex moet dus alleen voor ..49 NAT gaan doen en hoort ..50 (en die alleen) netjes door te geven naar je 2e IP adres op je W2K.NIC. Hiervoor dus een expliciete route in de compex plaatsen.

Ter controle: vanaf buiten en binnen moet dan 213.x.y.50 allereerst dus bereikbaar zijn (FF de pix vuurmuur uitschakelen en pingen).

Heb je dit voor elkaar, dan zou daarmee (denk ik) je probleem zijn opgelost en kan je een VPN verbinding gaan opzetten naar 213.x.y.50 om van daaruit verbinding te maken met je intranet op 192.168.

Weet 't niet zeker, maar er was nog wat met primary en secondary IP adres op dezelfde W2K.NIC. Ik dacht dat het 2e IP, automatisch de primary werd, waardoor je wat problemen kunt krijgen met Netbios adressering (d8 ik) in of naar het 192.. subnet vanaf/op je W2K machine. Dit kan je voorkomen door een 2e NIC i.p.v. 2 IP adressen.

Key in dit verhaal is of je Compex wordt aangestuurd en is geconfigureerd als (echte) router.