Draytek Vigor 2800VGi via VPN an Fortigate 60
Hallo zusammen...
Vielleicht hat einer von Euch einen Tip für mich, wie ich mehrere Draytek Vigor's 2800er mit Fortigates 60 "verheirate".
Folgendes Scenario:
Hauptsitz:
IP-Netz: 192.168.0.0
Router: Fortigate 60B via NAT - PPTP-Server aktiviert
PPTP für VPN-Einwahl konfiguriert und funktioniert prima von aussenstehenden PC's [DHCP-Releases von 230-250]
Aussenstelle_1:
IP-Netz: 192.168.117.0
Router: Draytek Vigor 2800VGi via NAT
PPTP für VPN-Einwahl konfiguriert und funktioniert prima von aussenstehenden PC's [DHCP-Releases von 230-250]
PPTP für Lan_2_Lan mit Aussenstelle_2 konfiguriert und funktioniert prima
Aussenstelle_2:
IP-Netz: 192.168.2.0
Router: Draytek Vigor 2800VGi via NAT
PPTP für VPN-Einwahl konfiguriert und funktioniert prima [DHCP-Releases von 230-250]
PPTP für Lan_2_Lan mit Aussenstelle_1 konfiguriert und funktioniert prima
Nun sollte ich aber die beiden Aussenstellen auch mit dem Hauptsitz verbinden.
Draytek hat in seiner KB zwar eine Anleitung, diese basiert jedoch ausschliesslich auf IPSEC und ist für mich ziemlich schwammig
via PPTP bekomme ich die Aussenstellen nicht mit dem Hauptsitz verheiratet.
Im Internet habe ich bisher noch kein anderes Beispiel zur Config gefunden.
Die Vigors haben den letzten verfügbaren Firmwarestand
Die Fortigate ist auf dem aktuellsten 3er FortiOS
Bin über jeden Tip dankbar...
Gruss Globetrotter
Vielleicht hat einer von Euch einen Tip für mich, wie ich mehrere Draytek Vigor's 2800er mit Fortigates 60 "verheirate".
Folgendes Scenario:
Hauptsitz:
IP-Netz: 192.168.0.0
Router: Fortigate 60B via NAT - PPTP-Server aktiviert
PPTP für VPN-Einwahl konfiguriert und funktioniert prima von aussenstehenden PC's [DHCP-Releases von 230-250]
Aussenstelle_1:
IP-Netz: 192.168.117.0
Router: Draytek Vigor 2800VGi via NAT
PPTP für VPN-Einwahl konfiguriert und funktioniert prima von aussenstehenden PC's [DHCP-Releases von 230-250]
PPTP für Lan_2_Lan mit Aussenstelle_2 konfiguriert und funktioniert prima
Aussenstelle_2:
IP-Netz: 192.168.2.0
Router: Draytek Vigor 2800VGi via NAT
PPTP für VPN-Einwahl konfiguriert und funktioniert prima [DHCP-Releases von 230-250]
PPTP für Lan_2_Lan mit Aussenstelle_1 konfiguriert und funktioniert prima
Nun sollte ich aber die beiden Aussenstellen auch mit dem Hauptsitz verbinden.
Draytek hat in seiner KB zwar eine Anleitung, diese basiert jedoch ausschliesslich auf IPSEC und ist für mich ziemlich schwammig
via PPTP bekomme ich die Aussenstellen nicht mit dem Hauptsitz verheiratet.
Im Internet habe ich bisher noch kein anderes Beispiel zur Config gefunden.
Die Vigors haben den letzten verfügbaren Firmwarestand
Die Fortigate ist auf dem aktuellsten 3er FortiOS
Bin über jeden Tip dankbar...
Gruss Globetrotter
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 116977
Url: https://administrator.de/contentid/116977
Ausgedruckt am: 23.11.2024 um 01:11 Uhr
9 Kommentare
Neuester Kommentar
Hallo,
IPSec scheint mit hier das Mittel der Wahl zu sein - welches Problem dabei mit NAT auftreten soll, kann ich momentan nicht erkennen.
Es existieren 3 Standorte mit 3 verschiedenen Subnetzen - zumindest für die Fortigate bestehen hier keine Probleme. Ein NAT auf den VPN-Tunnel ist von Seiten der Fortigate zwar prinzipiell möglich, jedoch nach dem beschriebenen Szenario nicht notwendig.
Vielleicht erklärst du etwas ausführlicher, wo das Problem zu suchen ist - mit den Drayteks kenne ich mich allerdings nicht aus. Die von dir verlinkte Anleitung zu Konfiguration basiert zwar auf einer älteren Fortigate-Firmware, prinzipiell sollte das allerdings so funktionieren. Ich würde allerdings das DES gegen 3DES austauschen.
Wenn du an allen Standorten feste IP's hast, so kannst du auch versuchen, einen Site-to-Site-Tunnel aufzubauen (Main Mode), in deiner Anleitung wird für die Drayteks einSite-to-Client-Tunnel ("Dialup-User") eingerichtet.
mfg
Harald
IPSec scheint mit hier das Mittel der Wahl zu sein - welches Problem dabei mit NAT auftreten soll, kann ich momentan nicht erkennen.
Es existieren 3 Standorte mit 3 verschiedenen Subnetzen - zumindest für die Fortigate bestehen hier keine Probleme. Ein NAT auf den VPN-Tunnel ist von Seiten der Fortigate zwar prinzipiell möglich, jedoch nach dem beschriebenen Szenario nicht notwendig.
Vielleicht erklärst du etwas ausführlicher, wo das Problem zu suchen ist - mit den Drayteks kenne ich mich allerdings nicht aus. Die von dir verlinkte Anleitung zu Konfiguration basiert zwar auf einer älteren Fortigate-Firmware, prinzipiell sollte das allerdings so funktionieren. Ich würde allerdings das DES gegen 3DES austauschen.
Wenn du an allen Standorten feste IP's hast, so kannst du auch versuchen, einen Site-to-Site-Tunnel aufzubauen (Main Mode), in deiner Anleitung wird für die Drayteks einSite-to-Client-Tunnel ("Dialup-User") eingerichtet.
mfg
Harald
Hallo,
prinzipiell bestehen für einen Site-to-Site-Tunnel 2 Möglichkeiten:
1. Du hast an beiden Endpunkten des Tunnels feste IP-Adressen - Tunnel im "Main Mode"
2. Du hast an einem oder beiden Endpunkten des Tunnels DynDNS-Einträge - Tunnel im "Agressive Mode"
Bei einem Site-to-Client-Tunnel (Dialup User) wird die Client-Seite weder über IP-Adresse, noch über einen DynDNS-Eintrag identifiziert, sondern über die "Peer-ID".
Bitte poste mal, welche dieser Möglichkeiten bei dir zutrifft.
Übrigens: Hast du auf der Fortigate das Logging aktiviert?
Bei Fortigate ist ebenfalls eine Anleitung für einen Fortigate-Draytek-Tunnel zu finden (http://kc.forticare.com/default.asp?id=489&SID=&Lang=1) ), allerdings beruht diese noch auf FortiOS 2.5 welches uralt ist. Immerhin geben die dort verwendeten Parameter (DH-Group, Keylife, etc) Hinweise auf die zu verwendenden Einstellungen.
mfg
Harald
prinzipiell bestehen für einen Site-to-Site-Tunnel 2 Möglichkeiten:
1. Du hast an beiden Endpunkten des Tunnels feste IP-Adressen - Tunnel im "Main Mode"
2. Du hast an einem oder beiden Endpunkten des Tunnels DynDNS-Einträge - Tunnel im "Agressive Mode"
Bei einem Site-to-Client-Tunnel (Dialup User) wird die Client-Seite weder über IP-Adresse, noch über einen DynDNS-Eintrag identifiziert, sondern über die "Peer-ID".
Bitte poste mal, welche dieser Möglichkeiten bei dir zutrifft.
Übrigens: Hast du auf der Fortigate das Logging aktiviert?
Bei Fortigate ist ebenfalls eine Anleitung für einen Fortigate-Draytek-Tunnel zu finden (http://kc.forticare.com/default.asp?id=489&SID=&Lang=1) ), allerdings beruht diese noch auf FortiOS 2.5 welches uralt ist. Immerhin geben die dort verwendeten Parameter (DH-Group, Keylife, etc) Hinweise auf die zu verwendenden Einstellungen.
mfg
Harald
Das ist Unsinn, das die Draytek Beispiel Konfig nur auf IPsec basiert. Du solltest es ggf. mal auf der deutschen Seite versuchen...!
Hier kannst du eine laufende LAN to LAN Kopplung mit PPTP sehen:
http://www.draytek.de/Beispiele_html/VPN/LAN-LAN-PPTP.htm
Auch die PPTP Einwahl funktioniert fehlerlos:
http://www.draytek.de/Beispiele_html/VPN/XP-Vigor-PPTP.htm
Damit sollte die PPTP Einwahl auf der Fortigate ein Kinderspiel sein !
Zum Troubleshooten eignet sich sowohl die Syslog Funktion im Draytek als auch in der Fortigate !
Hier kannst du eine laufende LAN to LAN Kopplung mit PPTP sehen:
http://www.draytek.de/Beispiele_html/VPN/LAN-LAN-PPTP.htm
Auch die PPTP Einwahl funktioniert fehlerlos:
http://www.draytek.de/Beispiele_html/VPN/XP-Vigor-PPTP.htm
Damit sollte die PPTP Einwahl auf der Fortigate ein Kinderspiel sein !
Zum Troubleshooten eignet sich sowohl die Syslog Funktion im Draytek als auch in der Fortigate !