Windows 2000 VPN Server Config

[Verwijderd]

Situatie:

Internet --> Firewall (FloppyFW) --> HUB --> Windows 2000 Server

FloppyFW is een firewall gebaseerd op ipchains. Het firewall.ini bestand bevat de volgende code om VPN door te laten naar de Windows 2000 Server.

code:

# VPN 
ipmasqadm portfw -a -P tcp -L $1 1723 -R 192.168.0.2 1723
/bin/ipchains -A input -p tcp -i /dev/eth0 -s any/0 -d 212.68.231.xxx --dport 1723 -j ACCEPT
/bin/ipmasqadm portfw -a -P tcp -L 212.68.231.xxx 1723 -R 192.168.0.2 1723

# GRE PACKETS
ipmasqadm portfw -a -P tcp -L $1 47 -R 192.168.0.2 47
/bin/ipchains -A input -p tcp -i /dev/eth0 -s any/0 -d 212.68.231.xxx --dport 47 -j ACCEPT
/bin/ipmasqadm portfw -a -P tcp -L 212.68.231.xxx 47 -R 192.168.0.2 47

De Windows 2000 Server is een IBM Netfinity 5100 machine. Het is de bedoeling om thuiswerkers via VPN toegang te geven tot het netwerk. Ik ben inmiddels al een week bezig om het aan de praat te krijgen, maar het lukt nog steeds niet. Op dit moment en met deze instellingen is het mogelijk om verbinding te maken (via internet en intern), maar het lukt niet om in te loggen op de server.

Ik heb momenteel 2 netwerkkaarten in de server op het zelfde subnet. (192.168.0.2 en 192.168.0.4 / Subnet: 255.255.255.0).

Concrete vragen:

1. Kloppen de settings in het firewall.ini stuk?
2. Zijn 2 netwerkkaarten noodzakelijk?
3. Is windows 2000 server met ISA veilig genoeg om rechtstreeks op het internet
aan te sluiten? (Volgens mij lost dat een hoop gezeik met de firewall op!)

[igmar]

Verwijderd schreef op 06 november 2002 @ 10:12:
Situatie:

Internet --> Firewall (FloppyFW) --> HUB --> Windows 2000 Server

FloppyFW is een firewall gebaseerd op ipchains. Het firewall.ini bestand bevat de volgende code om VPN door te laten naar de Windows 2000 Server.

code:

# VPN 
ipmasqadm portfw -a -P tcp -L $1 1723 -R 192.168.0.2 1723
/bin/ipchains -A input -p tcp -i /dev/eth0 -s any/0 -d 212.68.231.xxx --dport 1723 -j ACCEPT
/bin/ipmasqadm portfw -a -P tcp -L 212.68.231.xxx 1723 -R 192.168.0.2 1723

# GRE PACKETS
ipmasqadm portfw -a -P tcp -L $1 47 -R 192.168.0.2 47
/bin/ipchains -A input -p tcp -i /dev/eth0 -s any/0 -d 212.68.231.xxx --dport 47 -j ACCEPT
/bin/ipmasqadm portfw -a -P tcp -L 212.68.231.xxx 47 -R 192.168.0.2 47

GRE is een protocol , en geen poort. -p 47 gebruiken dus.

[Remco]

Verwijderd schreef op 06 november 2002 @ 10:12:
Situatie:

[knip]
3. Is windows 2000 server met ISA veilig genoeg om rechtstreeks op het internet
aan te sluiten? (Volgens mij lost dat een hoop gezeik met de firewall op!)

Als ik me niet vergis heeft ISA een firewall in zich
En ja, dat is inderdaad veilig. Op isaserver.org staat een goed documentje om je server te "hardenen".

[Verwijderd]

Het is vooralsnog niet gelukt om de internetverbinding op de windows 2000 server aan de praat te krijgen. Reden is dat de internetkaart geen IP-adres van de DHCP server van Brutele krijgt. (DCHP is toegestaan in ISA, dus dat zou geen probleem moeten zijn).

Gebeld met Brutele; advies: zet modem een uurtje uit en dan zou die het moeten doen (ivm mac adres van de huidige netwerkkaart).

Ik heb uit veiligheidsoverwegingen 2 uur gewacht, hoopvol ingeplugt, maar geen internet.

Nu ga ik het anders doen. Ik wil dat alle verkeer van de router wordt doorgerouteerd naar de windows 2000 server.

Met ipchains wil ik dus dat:

alle verkeer (dus alle poorten, protocollen ed) van eth0 (212.68.231.xxx) wordt doorgesluist naar 192.168.0.2

code:

ipmasqadm portfw -a -P all -L $1 0:10000 -R 192.168.0.2 0:10000
/bin/ipchains -A input -p all -i /dev/eth0 -s any/0 -d 212.68.231.xxx --dport -j ACCEPT
/bin/ipmasqadm portfw -a -P all -L 212.68.231.xxx 0:10000 -R 192.168.0.2 0:10000

Toch werkt deze code niet. Wat moet ik aanpassen?

[Equator]

Probeer je dit vanaf buiten of binnen.
Want dit werkt niet vanaf binnen. je zal dat moeten testen vanaf de buitenkant. (Internet)

[Verwijderd]

Welnu, ik probeerde het van buiten via internet dus. Maar ook deze opzet heb ik alweer geschrapt. Het meest eenvoudige lijkt mij dat ik die linuxbak uit het raam gooi en de internetverbinding rechtstreeks laat binnenkomen op de W2K server op de tweede netwerkkaart.

Da's leuk bedacht, maar niet zo eenvoudig. Die gasten van Brutele beweren wel met DHCP te werken en dat het MAC-adres van de netwerkkaart niet gecontroleerd word....nou, ik krijg het niet aan de praat op de W2K bak. ff gebeld, die vent daar wat zaakjes veranderd...(ik dus helemaal niets) en ik had het na een reboot werkend op mijn portable (win xp pro). Ik denk nou, das mooi, dan zal het nu ook wel werken op de W2K machine. NEEN dus. Ook de linuxbak deed het nu opeens niet meer... Net nog ff gebeld naar Brutele...zaten alleen twee franstalige figuren...en om die nu uit te leggen wat het probleem is met mijn gebrekkige frans....juist...dat lijkt me geen goed idee. Maar eens zien wat morgen brengt.

[Verwijderd]

Wat je nodig hebt is voor pptp = 1723 en gre,
Ik heb het wel werken op basis van FreeBSD/IPfilter, maar van jou config snap ik O,
dus kan ik je niet verder helpen....

[Verwijderd]

Ok. Finally i made it. De windows 2000 Server is up and running and heeft internet toegang. VPN werkt ook, ik kan inloggen.

Het enige probleem dat ik nu nog heb is dat ik niets in de network neighbourhood zie, terwijl alle pc's in het netwerk toch files sharen. Als ik via het LAN verbonden ben zie ik alle shares wel.

VPN werkt wel, want ik kan bijvoorbeeld lokale werkstations pingen. Na een beetje research lijkt het me dat ik het juiste protocol om shared folders te vinden mis. Ik heb TCP/IP als VPN protocol geinstalleerd en als uitprobeersel ook tijdelijk Netbeui. Toch kan ik nog niet browsen. Welk protocol moet ik toevoegen?

[warp]

Verwijderd schreef op 08 november 2002 @ 17:19:
Het enige probleem dat ik nu nog heb is dat ik niets in de network neighbourhood zie, terwijl alle pc's in het netwerk toch files sharen. Als ik via het LAN verbonden ben zie ik alle shares wel.

Dan moet je Netbios ook doorlaten, maar dat wil je niet.

[Verwijderd]

Verwijderd schreef op 08 november 2002 @ 17:19:
Ok. Finally i made it. De windows 2000 Server is up and running and heeft internet toegang. VPN werkt ook, ik kan inloggen.

Het enige probleem dat ik nu nog heb is dat ik niets in de network neighbourhood zie, terwijl alle pc's in het netwerk toch files sharen. Als ik via het LAN verbonden ben zie ik alle shares wel.

VPN werkt wel, want ik kan bijvoorbeeld lokale werkstations pingen. Na een beetje research lijkt het me dat ik het juiste protocol om shared folders te vinden mis. Ik heb TCP/IP als VPN protocol geinstalleerd en als uitprobeersel ook tijdelijk Netbeui. Toch kan ik nog niet browsen. Welk protocol moet ik toevoegen?

Werkt je wins server wel goed?

[Verwijderd]

Werkt je wins server wel goed?

Dat kon het probleem weleens zijn. Ik zal de wins-server controleren en eventueel installeren...

[NiGeLaToR]

Verwijderd schreef op 11 November 2002 @ 10:46:
[...]


Dat kon het probleem weleens zijn. Ik zal de wins-server controleren en eventueel installeren...

Wins boeit alleen als je <win2k clients hebt. Anders moet je gewoon netbios over TCP in je DHCP mee sturen. Wins moet je eigenlijk proberen te vermijden tenzij het voor bepaalde usertjes moet, tis alleen maar weer een extra protocol wat nix toe voegt.

[Verwijderd]

Er zijn een aantal Win2K clients, dus helaas noodzakelijk.
Netbios over TCP in de DHCP? Ik zal eens kijken of DHCP zo is ingesteld.

[Verwijderd]

Ik heb Netbios over TCP/IP ingeschakeld (evenals WINS), maar het enige dat ik ongeveer kan is pingen van Workstations.

Ik ben zojuist tot de conclusie gekomen dat via het LAN ik alleen door te browsen bij de shared folders van andere pc's kan komen. Dus als ik \\192.168.0.9 intik krijg ik geen resultaten, maar tik ik \\Naamvandepc in dan krijg ik wel resultaat! Ik begrijp even niet waarom niet...

[Kolonel_E]

Verwijderd schreef op 11 November 2002 @ 12:19:
Ik heb Netbios over TCP/IP ingeschakeld (evenals WINS), maar het enige dat ik ongeveer kan is pingen van Workstations.

Ik ben zojuist tot de conclusie gekomen dat via het LAN ik alleen door te browsen bij de shared folders van andere pc's kan komen. Dus als ik \\192.168.0.9 intik krijg ik geen resultaten, maar tik ik \\Naamvandepc in dan krijg ik wel resultaat! Ik begrijp even niet waarom niet...

misschien komt dat doordat NAT een ander ip heeft dan jij intikt
(ik ben een n00b, maar misschien moet je ook gewoon simpel denken)

[Verwijderd]

Verwijderd schreef op 08 november 2002 @ 17:47:
[...]

Werkt je wins server wel goed?

eh win2k... dns bedoel je dan... wins is niet nodig...

maarreh volgens mij zit er ergens een vinkje voor routing die je moet aanzetten in je rras