VPN server IN het intranet

[Maniakje]

Het is mijn bedoeling om twee netwerken -dat bij mij thuis, en dat bij een kennis thuis- aan elkaar te koppelen, zodat we elkaars shares en printer kunnen benaderen. Nu ben ik er inmiddels achter dat dat kan door gebruik te maken van VPN.

Voor zover ik het begrepen heb, hoort een VPN server normaal gesproken tussen het netwerk en het internet te zitten. Maar kan het ook anders? Ik heb zelf namelijk binnen mijn netwerk een Windows 2003 Server draaien (als bestands-/printserver). Nu heb ik die pc ook ingesteld als VPN server. Vanuit mijn netwerk kan ik zonder problemen een VPN verbinding opzetten met die server, maar vanuit het andere netwerk (over het internet) lukt dat niet: "Server unreachable".

Voor de duidelijkheid hier even de situatie:



Is deze constructie überhaupt mogelijk, of moet de VPN server echt voor het netwerk zitten, als router dus? In dat laatste geval zouden er dan dus ook twee netwerkkaarten in moeten zitten, terwijl er nu slechts één in zit.

[Erkens]

kan je niet gewoon wat poorten forwarden

[Tha_Butcha]

je moet een L2TP (uit me hoofd) VPN server bouwen, en dan de poorten daarvan fw'en.

dan kan je hem wel tunnelen, bij de andere protocollen kan dat niet.

moet je maar ff zoeken op got

[Morax]

Map hiervoor de poorten 411, 1723, 47 en 809 door naar het interne IP van de VPN server en verbind dan vanaf het andere netwerk op het externe IP van het netwerk met de server

[Tha_Butcha]

jepz, behalve dan dat 47 het protocol nummer is (GRE if I'm not mistaken), maar voorderest moet het geen probleem zijn.

verder kan je volgens mij op je draytek ook vpn accounts aanmaken.

[Maniakje]

De server heeft poorten voor zowel PPTP als L2TP. Ik ben nu aan het proberen geweest verbinding te maken via L2TP/IPSEC, maar dat krijg ik niet voor elkaar, omdat de inbellende computer geen certificaat heeft.

Nou heb ik een topic gevonden van iemand die hetzelfde probleem heeft:
[rml][ W2K] L2TP + IPSec... ik wordt gek[/rml]

In dat topic is ook een link te vinden naar Google Groups. Daar las ik het volgende:

Are you using a Router w/ NAT? If so, you need to disable
IPSEC as NAT does not work w/ it enabled. Also, check to
see if you're connecting via PPTP or L2TP. You're VPN
server should have created ports for both PPTP or L2TP.
Check to make sure your VPN connection on your clients is
configured for one or the other. If L2TP doesn't work use
PPTP (works great for me).

Wat daar gezegd wordt is volgens mij tegenstrijdig met wat Tha_Butcha zegt. Kan ik nu PPTP gebruiken, of is L2TP mijn enige optie? En IPSEC, kan ik dat uitschakelen? Want volgens mij maakt het gebruik van IPSEC het hele verhaal onnodig moeilijk.

Hoe meer ik lees over dit onderwerp, hoe ingewikkelder het allemaal lijkt te worden, voor een leek als ik ben op dit gebied. Om de veiligheid gaat het mij niet, ik vind het belangrijker dat het werkt.

[Tha_Butcha]

my bad, het was 1 van de 2, en zoals ik al zei, het was uit me hoofd

dan was het PPTP

[djluc]

Om te testen is het sowieso handig om een dmz op te zetten. Dus al het verkeer naar je VPN server sturen. Daarmee kun je testen of je server e.d. goed staan ingesteld. Dan kun j vervolgens controleren of de mappings wel goed zijn.

[Maniakje]

Ik heb 't.

Het was inderdaad slechts een standaard poortmap-verhaaltje. Na het forwarden van TCP poorten 411, 1723 en 809 werkt het als een trein, via PPTP. Overigens was het openzetten van DMZ niet voldoende, ik moest echt de poorten forwarden.

Thx voor de help iedereen!

[Verwijderd]

Ik zou toch even verder gaan als ik jou was. Je hebt nu een hele bunch poorten geforward, en je draait PPTP. Wat zijn de consequenties hiervan?

Voor VPN en windows 2003 heeft MS een complete uitleg on-line staan. Was de eerste hit op [google=windows VPN PPTP L2TP].

Niet dat PPTP meteen zo lek is als een gieter, maar L2TP/IPSec is qua security een betere keuze.

Daarnaast (uit die microsoft manual):

Packet Filters for PPTP
[..]

input filters:

Destination IP address of the VPN server's Internet interface, subnet mask of 255.255.255.255, and TCP destination port of 1723.

This filter allows PPTP tunnel management traffic to the VPN server.

• Destination IP address of the VPN server's Internet interface, subnet mask of 255.255.255.255, and IP Protocol ID of 47.

This filter allows PPTP tunneled data to the VPN server.

• Destination IP address of the VPN server's Internet interface, subnet mask of 255.255.255.255, and TCP [established] source port of 1723.

output filters:

•Source IP address of the VPN server's Internet interface, subnet mask of 255.255.255.255, and TCP source port of 1723.

This filter allows PPTP tunnel management traffic from the VPN server.

• Source IP address of the VPN server's Internet interface, subnet mask of 255.255.255.255, and IP Protocol ID of 47.

This filter allows PPTP tunneled data from the VPN server.

• Source IP address of the VPN server's Internet interface, subnet mask of 255.255.255.255, and TCP [established] destination port of 1723.

Packet Filters for L2TP/IPSec
[..]

input filters:

• Destination IP address of the VPN server's Internet interface, subnet mask of 255.255.255.255, and UDP destination port of 500.

This filter allows Internet Key Exchange (IKE) traffic to the VPN server.

• Destination IP address of the VPN server's Internet interface, subnet mask of 255.255.255.255, and UDP destination port of 4500.

This filter allows IPSec NAT-T traffic to the VPN server.

• Destination IP address of the VPN server's Internet interface, subnet mask of 255.255.255.255, and UDP destination port of 1701.

This filter allows L2TP traffic to the VPN server.

output filters:

• Source IP address of the VPN server's Internet interface, subnet mask of 255.255.255.255, and UDP source port of 500.

This filter allows IKE traffic from the VPN server.

• Source IP address of the VPN server's Internet interface, subnet mask of 255.255.255.255, and UDP source port of 5500.

This filter allows IPSec NAT-T traffic from the VPN server.

• Source IP address of the VPN server's Internet interface, subnet mask of 255.255.255.255, and UDP source port of 1701.

This filter allows L2TP traffic from the VPN server.

Bovenstaande quotes komen uit dat MS document, specifiek hier.