Remote Desktop via VPN door ISA

[Verwijderd]

Hoi mensen!

Ik zit met een probleem, en ik kom zelf er niet meer uit. Via de search vind ik niets wat in de richting komt, en via google heb ik al veel dingen gevonden, maar helaas nog niet de oplossing.

We zitten met 2 kantoren. Kantoor 1 is het hoofdkantoor. Beide bedrijven zitten op een apart domein.

Bedrijf 1 heeft enkele servers, maar om het kort te houden, gaat het om 1 van die servers, namelijk de Terminal Service Server. Hier draait Windows 2003 Server op. De verbinding is natuurlijk beveiligd door een Firewall.

Bedrijf 2 heeft een server. Hier staat Windows 2000 Small Bussiness Server op geinstalleerd.

Dit is een beetje de situatie. Ze liggen ver van elkaar verwijderd. Nu zijn er mensen die vanuit bedrijf 2 moeten kunnen werken op de server van Bedrijf 1. Dit kan natuurlijk makkelijk door een VPN op te bouwen tussen de 2 bedrijven. Daarvoor is de Firewall bij bedrijf 1 al geconfigureerd. Het is op verschillende plaatsen getest, van thuis uit, en vanuit andere bedrijven, maar nog niet door een ISA server. En bij bedrijf 2, waar ze dus W2K SBS hebben, draait ook een ISA server 2000.

Vervolgens gingen we configureren, de juisten poorten open zetten en regels aanmaken. De VPN kon 1 minuut later al opgebouwd worden, dit was niet zo moeilijk. Hierna wilde we Remote Desktop Connection (De nieuwe TS) starten, om zodoende verbinding te maken met de server van bedrijf 1. Echter lukte dit niet. Na wat zoeken op internet bleek dat er wat poorten open gezet moesten worden, wat ik persoonlijk raar vind, want ik dacht dat als je een VPN opgezet had, het verkeer ook door die tunnel liep. Maargoed, het komt blijkbaarniet door de ISA server heen, want als we er een telefoonlijntje inpluggen en daarmee verbinding maken,lukt het meteen.

Zelfs pingen vanuit beide kanten lukt niet, als de VPN is opgebouwd.

Het komt dus zeer waarschijnlijk door de ISA server, want in alle andere gevallen lukt het werken via VPN en Remote desktop connection wel goed.

We maken via Remote Desktop connection natuurlijk verbinding via het IP adres, dus dat is het natuurlijk niet ;-) (logisch zonder de juiste DNS)

We hebben een regel aangemaakt waardoor hij al het IP traffic doorlaat, maar schijnbaar is er iets anders. IIG poort 3389 en 4125 zijn opengezet in beide richtingen.

Heeft iemand misschien een Idee??
Gr. RaptoriuS

[Equator]

Zelfs pingen vanuit beide kanten lukt niet, als de VPN is opgebouwd.

Naar welk IP adres connect / ping je dan. Het interne IP adres, of het Externe IP adres.

Dit moet natuurlijk wel via het interne IP adres van die server. (Niet het Internet adres)

Om dat ip adres te bereiken moet er natuurlijk wel voor routering gezorgd worden.
Iets in de trand van: ip adres xxx.xxx.xxx.xxx kan je bereiken via yyy.yyy.yyy.yyy waarbij yyy.yyy.yyy.yyy je server is die de VPN heeft opgebouwd. Deze moet overigens ook routeren.

Das dan de heen weg. De terugweg moet ook worden gedaan. Dus:
yyy.yyy.yyy.yyy kan je bereiken via xxx.xxx.xxx.xxx

Duidelijk Misschien kan je dit nog even doornemen:
(Static) routing tutorial

Je hebt overigens gelijk dat al je verkeer via de tunnel kan lopen. Als de tunnel goed is, dan hoef je verder geen poorten te openen op de ISA server.

[ Voor 16% gewijzigd door Equator op 25-05-2004 13:12 ]

[Verwijderd]

je kan gewoon een server-server vpn opzetten tussen 2 isa servers die connectie opzet zodra het nodig is. andere porten openzetten is overbodig, tenzij je de vpn terminate voor de isa server en isa je 2de firewall is...

een howto is vast wel te vinden op isaserver.org.

[Verwijderd]

EVen korte reactie op bovenstaande 2 antwoorden:

Het betrefd 1(!) ISA server op bedrijf 2. Op bedrijf 1, de hoofdverstiging, maken we geen gebruik van ISA. Want daar hebben we een hardware matige firewall, die ook de VPN regelt.

Het pingen doen we natuurlijk naar het interne ip adres (het externe IP adres bestaat niet bij deze servers) We volgen de zelfde stappen die we thuis, andere bedrijven, via telefoonlijn.. noem maar op, dezelfde stappen doen we nu ook. JE zet een VPN op, en dan maak je via het INTERNE ip adres verbinding. dit werkt overal, behalve hier. alleen de VPN gebruikt natuurlijk het externe IP adres van de Firewall voor de VPN te openen en op te bouwen.

Routering staat hier toch totaal los van??
Je zet een VPN op vanuit bedrijf 2(door de isa server), hierdoor krijg je een INTERN IP adres van bedrijf 1, en daarna kun je via Remote Desktop het netwerk van bedrijf 1 op...

Of wat bedoel je met routering?? Ik neem aan dat als je een ip adres toegewezen krijgt van bedrijf 1, dat je dan gewoon (zoals overal werkt) verbinding kan maken met de servers. Echter dit werkt dus niet

[ Voor 6% gewijzigd door Verwijderd op 25-05-2004 13:29 ]

[Skinkie]

Verwijderd schreef op 25 mei 2004 @ 13:27:
Want daar hebben we een hardware matige firewall, die ook de VPN regelt.

Gaaf zeg... zeker met relais enzo

hoe staat je route tabel?

[Equator]

Of wat bedoel je met routering?? Ik neem aan dat als je een ip adres toegewezen krijgt van bedrijf 1, dat je dan gewoon (zoals overal werkt) verbinding kan maken met de servers. Echter dit werkt dus niet

Hoe gaat jouw werkstation weten dat hij via die VPN moet lopen
Dat weet hij toch niet zomaar. Dat zal je of op het werkstation op moeten geven met het commando route add, of voor je hele netwerk op de al bestaande default gateway (router)

Kijk voor de gein eens naar die static routing tutorial. Daar heb ik alles in beschreven.

Skinkie schreef op 25 mei 2004 @ 13:33:
[...]

Gaaf zeg... zeker met relais enzo

LOL, je begrijpt toch wel dat hij een soort NAT routertje zal bedoelen

[ Voor 17% gewijzigd door Equator op 25-05-2004 13:38 ]

[Skinkie]

CyberJ schreef op 25 mei 2004 @ 13:36:
LOL, je begrijpt toch wel dat hij een soort NAT routertje zal bedoelen

Tuurlijk, dit is de zelfde situatie als iemand zegt dat hij 'studeert' ipv leert voor systeembeheerder. Zeg wat je bedoelt, zonder in extreme details te treden, volgens het OSI model, zou de hardware laag draadjes enzo zijn.
En een Hardwarematige firewall ja... uhhh... zal best wel cool zijn maar is geen embedded system als Wind River of Linux.

[Verwijderd]

CyberJ schreef op 25 mei 2004 @ 13:36:


LOL, je begrijpt toch wel dat hij een soort NAT routertje zal bedoelen

Om precies te zijn... Een Cisco Pix uit de 500 serie..

Maar dat routeren zal ik eens doorlezen, al klinkt dat nieuw in de oren voor mij :-P

ik zal wat gegevens geven (niet precieze, maar ik vul dan de goede in hier ), misschien dat jullie me erbij kunnen helpen, zo te horen is dat kinderspel voor jullie

Bedrijf 1 Firewall extern ip adres is 80.100.100.100
Bedrijf 1 Windows 2003 intern ip adres 192.168.100.1

Bedrijf 2 windows 2000 sbs server extern ip adres 260.250.128.14
bedrijf 2 intern ip adres workstation 192.168.200.40
Bedrijf 2 ip adres VPN na opbouwen VPN 192.168.111.3

Zo zit het hier in elkaar. Wat moet ik precies routen nu?

[Skinkie]

Verwijderd schreef op 25 mei 2004 @ 13:58:
Om precies te zijn... Een Cisco Pix uit de 500 serie..

Zeg dan gelijk een Pentium III

Maar dat routeren zal ik eens doorlezen, al klinkt dat nieuw in de oren voor mij :-P

Wordt op een PIX standaard _niet_ geroute? Heb alleen ervaring met de echte routers... dus ik kan je niet vertellen of dat standaard aan staat. Dus het effect wat je in Linux krijgt met ip_forward.

[Equator]

Een firewall zal hoogstwaarschijnlijk altijd routeren. Nat (DNAT/SNAT) is een vorm van routeren, maar dan i.c.m. het aanpassen van source of destination adres.

---

@TopicStarter:
Als je nog nooit van routing hebt gehoord, dan zou ik zeker dit even doornemen.

Routing is eigenlijk het opgeven van een route aan IP pakketjes.
Stel:
Jij woont in straat A. In straat A ken jij alle huizen.
Je wilt echter naar een huis in straat B, maar je moeder wil graag dat je even laat weten als je er bent.
Dan ga je naar oom agent, en vraagt hem waar je heen moet voor straat B
Oom agent verwijst jou naar straat B, daar aangekomen, stuur je het daarwonende kind even naar je moeder, om te vertellen dat je bent aangekomen.
Deze weet echter niet hoe hij bij straat A moet komen en gaat dus ook via Oom agent.

Jij bent een IP pakketje.
Straat A is je subnet (vb: 192.168.100.0 / 255.255.255.0)
Huis A is je IP adres in dat subnet (vb: 192.168.100.10)
Straat B is het volgende subnet (vb: 192.168.200.0 / 255.255.255.0)
Huis B is een Ip adres in dat subnet. (vb: 192.168.200.10)
Oom Agent is je default Gateway. (Als je het niet weet, dan loop je naar hem toe)

Routeren is dus wat de agent heeft gedaan. Jou en die ander de juiste richting op sturen.
Routeren is ook altijd 2 way communication. Je zal de heen, en de terug weg moeten weten.

Had jij nu al geweten waarje naartoe moet voor straat A, dan had je niet naar OOm Agent toe gehoeven.

Snappie

[ Voor 9% gewijzigd door Equator op 25-05-2004 14:23 ]

[Verwijderd]

Mooie uitleg, ik zei dat dat nieuw in de oren klonk, maar ik weet wel hoe het werkt en wat het inhoud. Echter bedoelde ik dat het nieuw in de oren klonk in combinatie met een VPN.

Een vpn maakt toch een netwerkverbinding tussen 2 plekken, laten we even pc's zeggen, tussen 2 pc's die via het internet elkaar willen benaderen. Je kunt die toch zonder routering gewoon pingen?? Moet ik gaan routeren omdat ik hier op een domein zit of/en achter een ISA server?? Thuis kan ik gewoon (netwerk & router) een vpn maken, en dan kan ik meteen de server op op de zaak, en ook pingen natuurlijk,zonder iets aan de router te doen....

Ik heb dat doorgelezen, en ik snap het wel, alleen loop ik tegen een probleem aan. Als ik een route wil toevoegen, moet ik de destination opgeven. Nou dat is de Firwall van bedrijf 1.
De subnet mask is het bijbehorende subnet van het EXTERNE ipadres van de firewall van bedrijf 1 (toch??)
dan komt het probleem. Nu moet ik de gateway opgeven.

Op het moment dat ik nog GEEN VPN verbinding heb, kan ik het externe firewall ip adres pingen. Ik kan ook het INTERNE ipadres pingen van de router (isa server in dit geval bij bedrijf 2) waar ik direct achter zit bij bedrijf 2. ZODRA ik een VPN opbouw, kan ik geen verbinding meer maken met het netwerk en zodoende ook alle interne ip adressen niet pingen. Dit betekend dus ook dat ik de router niet kan opgeven als ipadres in een ROUTE, want dan bestaat dat adres dus op dat moment niet, want ik kan hem nieteens pingen. Welk adres moet ik in hemelsnaam dan opgeven als gateway????? Wat doe ik fout?

[ Voor 11% gewijzigd door Verwijderd op 25-05-2004 14:30 ]

[SED]

Skinkie schreef op 25 mei 2004 @ 14:01:
[...]

Zeg dan gelijk een Pentium III

Wat klets je nu
Het lijkt wel of je nog nooit een Cisco gezien hebt.
http://www.cisco.com/warp...pd/fw/sqfw500/index.shtml


[...]

Wordt op een PIX standaard _niet_ geroute? Heb alleen ervaring met de echte routers... dus ik kan je niet vertellen of dat standaard aan staat. Dus het effect wat je in Linux krijgt met ip_forward.[/quote]
dus alleen Linux routers zijn échte"routers


Meer on-topic.

server----router.......internet........router-----server
Wanneer je over het internet een VPN opzet dan zul je de server moeten vertellen via welke weg bepaald verkeer moet lopen. Het route add gebeuren.
je zegt dus dat verkeer dat naar de sbs moet, loopt via de VPN.

Op die wijze zul je geen extra poorten open hoeven zetten aangezien ale verkeer, dus ook 3389 de TS poort, via die VPN loopt
Het verkeer zal tenslotte toch moeten weten hoe het op stap moet en welke route er gevolgd moet worden.

type onder een promt het commando route in en je krijgt uitgewerkte voorbeelden hoe je die in moet stellen.

[Verwijderd]

SED schreef op 25 mei 2004 @ 14:29:
server----router.......internet........router-----server
Wanneer je over het internet een VPN opzet dan zul je de server moeten vertellen via welke weg bepaald verkeer moet lopen. Het route add gebeuren.
je zegt dus dat verkeer dat naar de sbs moet, loopt via de VPN.

Op die wijze zul je geen extra poorten open hoeven zetten aangezien ale verkeer, dus ook 3389 de TS poort, via die VPN loopt
Het verkeer zal tenslotte toch moeten weten hoe het op stap moet en welke route er gevolgd moet worden.

type onder een promt het commando route in en je krijgt uitgewerkte voorbeelden hoe je die in moet stellen.

Klinkt al heel logisch voor mij, ik snapte al niet waarom ik in hemelsnaam emt een VPN nog poorten moet openzetten Daar gebruik je juist de VPN voor, daar loopt het verkeer dus door..

get it, tnx

Maargoed, dat routen.. Ik zal eens kijken hoe ik dat ga doen, ik hou jullie op de hoogte, bedankt alvast!!!

--edit--

server----router.......internet........router-----server
Wanneer je over het internet een VPN opzet dan zul je de server moeten vertellen via welke weg bepaald verkeer moet lopen. Het route add gebeuren.
je zegt dus dat verkeer dat naar de sbs moet, loopt via de VPN.

Kleine correctie (maar ik snap het wel) Ik bouw dus de VPN op vanuit de locatie waar de SBS zich bevind. Dus ik neem aan dat je bedoeld dat ik moet routen dat het verkeer dat na de windows 2003 server op de andere locatie moet, moet lopen via de VPN? (zo bedoel je het ofniet)

Het probleem is dus dat ik na het opbouwen van de VPN de server niet kan pingen, maar ook op dit bedrijf, bedrijf 2 (waar ik dus nu aan het testen ben de hele tijd ) kan ik geen lokale ping meer maken, ik kan dus niet de sbs pingen.

[ Voor 30% gewijzigd door Verwijderd op 25-05-2004 14:37 ]

[Verwijderd]

Hier een overzicht, misschien verduidelijking



Ik zit voor mn gevoel nu in de goede richting, kwa het snappen, maar nu de uitvoering nog! Alvast bedankt mensen voor jullie hulp, anders snapte ik er nog helemaal niks van

Ik vind het alleen raar van die Gateway, kan iemand me daar iets over vertellen?

[Skinkie]

SED schreef op 25 mei 2004 @ 14:29:
Wat klets je nu
Het lijkt wel of je nog nooit een Cisco gezien hebt.

De ouderwetse die ik heel snel kon open schroeven:


Idd... gewoon een x86 doos.

dus alleen Linux routers zijn échte"routers

Linux is niets meer dat een platform, echte routers als is echte Cisco routers... 2600/3600/12000 die dingen?

[Equator]

@Skinkie:
Je reply deed mij ook vermoeden dat je geen flauw idee had waar je het over had, of je was gewoon heel flauw bezig.
Maar goed; Blijkbaar zit er in een PIX een gewone Pentium..

Routers zijn routers, en das ook maar een naam.
Einde offtopic.

[Verwijderd]

PNS -> NT

[Verwijderd]

Een linkje doorgeven is natuurlijk een oplossing van niks, maar het heeft mij altijd geholpen om even op Isaserver.org te kijken. Een veelvoud van dit soort vraagstukken wordt daar stap voor stap uitgelegd.

[Verwijderd]

ik denk dat de ts vanaf zijn client een vpn probeert te maken naar de pix. ipv isa zo in te stellen dat als er verkeer naar het interne segment van de hoofdvestiging moet, de isa server een vpn opzet naar de pix en andersom natuurlijk...

ff schematisch...

client---isa---www---pix---client
-----------------------(vpn)

client
|
isa---www---pix
----------------(vpn)

[ Voor 4% gewijzigd door Verwijderd op 25-05-2004 17:27 ]

[Verwijderd]

Verwijderd schreef op 25 mei 2004 @ 17:25:
ik denk dat de ts vanaf zijn client een vpn probeert te maken naar de pix. ipv isa zo in te stellen dat als er verkeer naar het interne segment van de hoofdvestiging moet, de isa server een vpn opzet naar de pix en andersom natuurlijk...

ff schematisch...

client---isa---www---pix---client
-----------------------(vpn)

client
|
isa---www---pix
----------------(vpn)

Precies!

Het probleem is dat als er een VPN opgebouwd word, dat de overige mensen daar last van hebben. Het lukte niet om te zorgen dat er EN een VPN tunnel werd opgebouwd, EN dat het normale internetverkeer goed liep. Daarom probeerde ik om via een VPN client rechtstreeks een VPN op te zetten, op een client PC, wat wel lukte. alleen de routering gaat dus schijnbaar fout.

Als ik zorg dat de client als standaard gateway het ip van de client zelf heeft, zou het dan wel werken???

[Equator]

Dan wordt dus je default route veranderd.

De default route staat standaard naar internet, maar op het moment dat de vpn aanwezig is, loopt hij dus over de tunnel. Daar vind hij dan niets.

Je kan dit oplossen door alleen maar het verkeer voor het subnet aan de andere kant door de tunnel te routeren.
dus niet 0.0.0.0 maar 192.168.200.0

[Verwijderd]

Het is me duidelijk allemaal!

Ik heb me de laatste tjid hier even niet mee bezig gehouden, maar volgende week wil ik dit voor elkaar krijgen. Alleen is er een probleem. Als standaard gateway zou ik dan dus 192.168.200.0 op moeten geven (in het voorbeeld). Maar door het opbouwen van een VPN krijgt hij dus een IP adres van het netwerk van bedrijf 1, wat een scope is.. dus dit veranderd elke keer, de kans is iig klein dat dit altijd hetzelfde is. Stel dat die scope 192.168.110.(1 tot 20) is.. kan ik dan 192.168.110.0 opgeven als gateway, enzoja, werkt dit?

En volgens mij kan ik 127.0.0.1 niet gebruiken bij een routeringsregel, tenminste, niet als gateway.. of vergis ik mij hierin?

[ Voor 10% gewijzigd door Verwijderd op 17-06-2004 16:21 ]