undi
Goto Top

VPN mit RAS Problem - Verbindung aufbauen funktioniert aber keine Kommunikation zum Netzwerk

Hallo zusammen
Wir sind nun schon seit Tagen an einem Problem bei welchem wir am Ende sind mit unserem Wissen und Googlen...

Seit letztem Mittwoch als die Updates gemacht wurden (hauptsächlich .net Framework + 1 Exchange Update) funktioniert das VPN nicht mehr.

Die Clients (Win 7) verbinden sie von ausserhalb via VPN (Standard von Windows) und können sie Fehlerfrei verbinden und erhalten eine IP sowie die DNS Server IP. Leider erhalten sie keine korrekte (meines wissens) Subnetzmaske (255.255.255.255) sowie keinen Default Gateway (egal was ich für einen Hacken setze in den Einstellungen des Clients).
Dadurch können sie grundsätzlich nichts Pingen noch auf irgendwelche Ressourcen zugreifen.

Wir haben einen SBS 2008 R2 Server im Einsatz welcher einerseits AD, DNS, DHCP und Exchange darauf läuft und RAS konfiguriert ist.

Der RAS ist Standardmässig installiert (folgend Microsoft Anleitungen) und nichts spezielles ist konfiguriert. Eigentlich wurde daran am Mittwoch auch nichts geändert. Die Ports vom RAS reservieren sich schön die IP-Adressen vom DHCP und der Client bezieht auch eine dieser Adresse.

Was komisch ist, im Allgemeinen Bereich unter IPv4 vom RAS sind zwei Interne Schnittstellen drin und ich kann keinen der beiden entfernen oder ändern. Ein Adapter hat die IP-Adresse des Servers und ein anderer eine IP welche vom DHCP Server zugewiesen wurde. Der zweite Adapter ist auch der, welcher viel Bytes empfangen hat aber so gut wie nichts gesendet laut Statistik.

Der Server hat nur einen Netzadapter. NPS haben wir überprüft und funktioniert soweit (auch durch deaktivieren bleibt das Problem bestehen).

Leider erhalten wir keine Error Meldungen damit wir das Problem eingrenzen könnten.

Die Netze von Extern (Zuhause) und Intern (Arbeitsplatz) sind unterschiedlich was somit auch kein Problem darstellt.

Wir sind wirklich am Ende und unsere Mitarbeiter haben langsam keine Gedulg mehr da gewisse darauf angewiesen sind von extern darauf zuzugreifen.

Vielen Dank für jeden Hinweis!

Beste Grüsse
Undi

Content-ID: 206055

Url: https://administrator.de/contentid/206055

Ausgedruckt am: 25.11.2024 um 01:11 Uhr

57263
57263 05.05.2013 um 20:54:46 Uhr
Goto Top
Hallo Undi,
vielleicht der gleiche Fehler, den wir mit SBS2003 auch immer hatten: Wenn Updates kamen, dann funktionierte VPN plötzlich nicht mehr. Ich musste immer über den Assistenten einmal deaktivieren, aktivieren und dann booten. Dann ging's wieder. Hat lang gedauert, bis ich das wusste - immer nach Updates!
Undi
Undi 05.05.2013 um 21:32:14 Uhr
Goto Top
Hallo ctietje

Danke für deine Antwort.

Leider haben wir dies schon mehrmals versucht, ohne Erfolg...

Ich habe mittlerweile versucht die kompletten Rolen zu entfernen und alles neu zu machen... ohne Erfolg.

Grüsse
Undi
iDiddi
iDiddi 06.05.2013 aktualisiert um 00:59:35 Uhr
Goto Top
Hallo,

ist in den Optionen denn IP-Routing aktiviert?

Gehe folgende Links mal durch:

http://www.mcseboard.de/topic/186823-nach-vpn-einwahl-kein-internet/

http://support.microsoft.com/kb/323441/de

http://www.mcseboard.de/topic/169697-für-intern-adapter-rras-wird- ...

http://www.mcseboard.de/topic/186474-rasvpn-problem/page-2


Vielleicht ist die Lösung ja darunter.

Versuche es zur Not mal mit einem statischen Adresspool.
Undi
Undi 06.05.2013 um 06:40:47 Uhr
Goto Top
Hallo iDiddi

Besten Dank für deine Antwort und die Links.

Ja der Haken ist aktviert im IP-Routing.
Das mit dem statischen Pool habe ich auch probiert, hat keine Veränderung gebracht.

1. Link:
"Nimm mal den Haken bei Standard-Gateway für Remote-Netzwerk verwenden raus" - Gemacht, keine Veränderung
Beim Client sowie Server ist das Feld für Standard Gateway leer, was ja so sein sollte.

2. Link:
Bin ich 1 zu 1 durchgegangen. Ich habe es auch versucht mit dem Haken bei "RAS (DFÜ oder VPN)" und das durchgegangen sowie habe ich es versucht mit erwiterten Einstellungne und dort dann VPN. Hat beides zu keiner Veränderung geführt.

3. Link:
Statische IPs ausprobiert, keine Veränderung.

4. Link:
Der RRAS Server ist gleichzeitig der DC sowie zuständig für DHCP, DNS & Exchange. Das ganze ist ein SBS Server. Da wir zu wenig Server haben um auszulagern (kleines Unternehmen).


Weiteres:
Ich habe irgndwie die Vermutung, dass am IP-Routing etwas nicht funktioniert.
Deshalb poste ich hier einmal den route print wenn dir das etwas bringt:

C:\Users\ans>route print
Schnittstellenliste
19 ...00 ff 6e ed 88 ac ...... TAP-Windows Adapter V9
13 ...00 25 b3 df 33 fa ...... HP NC382i DP Multifunction Gigabit Server Ad
12 ...00 25 b3 df 33 f8 ...... HP NC382i DP Multifunction Gigabit Server Ad
10 ...00 25 b3 df 33 f4 ...... HP NC382i DP Multifunction Gigabit Server Ad
35 ........................... RAS (Dial In) Interface
1 ........................... Software Loopback Interface 1
16 ...00 00 00 00 00 00 00 e0 isatap.{0B12ED95-19CB-462C-97A1-0812DCF600F9
20 ...00 00 00 00 00 00 00 e0 isatap.{6EED88AC-2AC7-4341-BBF2-A57881FA47F3
36 ...00 00 00 00 00 00 00 e0 Microsoft-ISATAP-Adapter #3
17 ...00 00 00 00 00 00 00 e0 isatap.{D11FD0C1-B993-4E47-A15E-A232CBBFF8E9
18 ...00 00 00 00 00 00 00 e0 isatap.{F3095AAF-D8D5-4B03-86B7-279394CA010B

IPv4-Routentabelle
Aktive Routen:
Netzwerkziel Netzwerkmaske Gateway Schnittstelle Metrik
0.0.0.0 0.0.0.0 192.168.1.1 192.168.1.2 15
127.0.0.0 255.0.0.0 Auf Verbindung 127.0.0.1 306
127.0.0.1 255.255.255.255 Auf Verbindung 127.0.0.1 306
127.255.255.255 255.255.255.255 Auf Verbindung 127.0.0.1 306
192.168.1.0 255.255.255.0 Auf Verbindung 192.168.1.2 266
192.168.1.2 255.255.255.255 Auf Verbindung 192.168.1.2 266
192.168.1.225 255.255.255.255 192.168.1.225 192.168.1.228 31
192.168.1.228 255.255.255.255 Auf Verbindung 192.168.1.228 286
192.168.1.255 255.255.255.255 Auf Verbindung 192.168.1.2 266
224.0.0.0 240.0.0.0 Auf Verbindung 127.0.0.1 306
224.0.0.0 240.0.0.0 Auf Verbindung 192.168.1.2 266
224.0.0.0 240.0.0.0 Auf Verbindung 192.168.1.228 286
255.255.255.255 255.255.255.255 Auf Verbindung 127.0.0.1 306
255.255.255.255 255.255.255.255 Auf Verbindung 192.168.1.2 266
255.255.255.255 255.255.255.255 Auf Verbindung 192.168.1.228 286
Ständige Routen:
Netzwerkadresse Netzmaske Gatewayadresse Metrik
0.0.0.0 0.0.0.0 192.168.1.1 5

IPv6-Routentabelle
Aktive Routen:
If Metrik Netzwerkziel Gateway
1 306 ::1/128 Auf Verbindung
10 266 fe80::/64 Auf Verbindung
10 266 fe80::802e:b1fa:885a:3d74/128
Auf Verbindung
1 306 ff00::/8 Auf Verbindung
10 266 ff00::/8 Auf Verbindung
Ständige Routen:
Keine


Zur Umgebung:
Der Standardgateway ist der 192.168.1.1 welches der Router fürs Netzwerk ist.
Der Server auf dem das ganze läuft ist der 192.168.1.2 (SBS)
Die 192.168.1.228 ist die Adresse vom RRAS intern.
Die 192.168.1.225 ist die zugewiesene Adresse für den eingewählten Client (aktiv).

Vielleicht habe ich hier irgendetwas übersehen, ist das so?

Veilen Dank.

Beste Grüsse
Undi
iDiddi
iDiddi 07.05.2013 um 19:03:55 Uhr
Goto Top
Kann da nix fehlerhaftes feststellen.

Du hast geschrieben, dass Du nach MS-Anleitung vorgegangen bist. Heißt das, Du bist nicht über die SBS-Konsole gegangen und hast nicht den Assistenten ausgeführt?

Das solltest Du aber, da es einiges spezielles zu beachten gibt, wenn man RRAS auf einem DC mit DNS, DHCP und evtl. noch WINS aktiviert.

Also mach alles noch mal neu und benutze den Assi.

Einen Link hab ich noch, falls es dann immer noch nicht klappt:

http://social.technet.microsoft.com/Forums/en-US/winserverNIS/thread/b4 ...

Hier der gemeinte Abschnitt:
Zitatanfang
---
One solution posted from a previous thread:
Technet thread: "Internet Access through VPN server - need help please" 6/28/2010
http://social.technet.microsoft.com/Forums/en-US/winserverNIS/thread/8d ...
Quoted solution from above link:
1.Open Server Manager
2.Network Policy and Access Services
3.Routing and Remote Access
4.IPv4
5.NAT
6.Right mouse, New Interface
7.Choose a NIC (in my case the options were 'Local Area Connection 3' and 'Internal', so I went with the first one)
8. Uncheck the box "Enable security on the selected interface by setting uip Basic Firewall," otherwise if a VPN user connects, no one in the network will be able to access the VPN server for files, resources, etc, and especially detrimental if it is a DC, which is part of the reason we recommend RRAS not be on a DC and be on a separate server.
9.On the NAT tab, selected "Public Interface connected to the internet"
10.Ticked "Enable NAT on this interface"
11.Click OK
12.All done - now test your VPN connection from the client
I spent the whole day yesterday investigating this problem. I have the same configuration applied to different customers (Single Nic RRAS Vpn, ipv4 Routing enabled), but there is one site where I can connect the vpn successfully but unable to access the network, just rras server itself.
Thanks to this "workaround" (not applied to other customers with exactly the same configuation) now it's working perfectly and I got access to all resources on the network. Thanks!
Report As Abuse

Zitatende
Undi
Undi 07.05.2013 um 23:14:49 Uhr
Goto Top
Hallo iDiddi

Danke für die Antwort.

Ich habe es auf beide Varianten ausprobiert. Bei beiden dasselbe Ergebnis... funktioniert nicht.

Wir werden es jetzt auf einem anderen Server ausprobieren.

Grüsse
Beny
Undi
Undi 10.05.2013 um 00:33:43 Uhr
Goto Top
Hallo iDiddi (& andere)

Ich habe nun die ganze RAS Geschichte auf einem anderen Server (genau gleich) installiert, und siehe da, es funktioniert wunderbar.

Ich habe nur noch ein einziges Problem, nämlich komme ich auf alle Geräte im Netzwerk drauf, nur auf den eigentlich (neuen) RAS Server nur durch die vom DHCP zugewiesene Adresse aber nicht durch die festgelegte Adresse drauf. Dies ist vorallem für die Blöd, welche auf das Netzlaufwerk von diesem Server zugreifen müssen, da sie theoretisch die andere IP Adresse eingeben müssten und intern dann die normale- Ich gehe davon aus, dass ich eine Route setzen muss, nur bin ich nicht ganz sicher was ich genau für eine setzen muss. Kann mir jemand helfen? Hier der Route print:


Schnittstellenliste
38...........................RAS (Dial In) Interface
15...ac 16 2d 73 b7 a7 ......Broadcom NetXtreme-Gigabit-Ethernet #4
14...ac 16 2d 73 b7 a6 ......Broadcom NetXtreme-Gigabit-Ethernet #3
12...ac 16 2d 73 b7 a4 ......Broadcom NetXtreme-Gigabit-Ethernet
1...........................Software Loopback Interface 1
17...00 00 00 00 00 00 00 e0 Microsoft-ISATAP-Adapter #2
18...00 00 00 00 00 00 00 e0 Microsoft-ISATAP-Adapter #3
19...00 00 00 00 00 00 00 e0 Teredo Tunneling Pseudo-Interface

IPv4-Routentabelle
Aktive Routen:
Netzwerkziel Netzwerkmaske Gateway Schnittstelle Metrik
0.0.0.0 0.0.0.0 192.168.1.1 192.168.1.4 266
127.0.0.0 255.0.0.0 Auf Verbindung 127.0.0.1 306
127.0.0.1 255.255.255.255 Auf Verbindung 127.0.0.1 306
127.255.255.255 255.255.255.255 Auf Verbindung 127.0.0.1 306
192.168.1.0 255.255.255.0 Auf Verbindung 192.168.1.4 266
192.168.1.4 255.255.255.255 Auf Verbindung 192.168.1.4 266
192.168.1.236 255.255.255.255 192.168.1.236 192.168.1.240 31
192.168.1.240 255.255.255.255 Auf Verbindung 192.168.1.240 286
192.168.1.255 255.255.255.255 Auf Verbindung 192.168.1.4 266
224.0.0.0 240.0.0.0 Auf Verbindung 127.0.0.1 306
224.0.0.0 240.0.0.0 Auf Verbindung 192.168.1.4 266
224.0.0.0 240.0.0.0 Auf Verbindung 192.168.1.240 286
255.255.255.255 255.255.255.255 Auf Verbindung 127.0.0.1 306
255.255.255.255 255.255.255.255 Auf Verbindung 192.168.1.4 266
255.255.255.255 255.255.255.255 Auf Verbindung 192.168.1.240 286
Ständige Routen:
Netzwerkadresse Netzmaske Gatewayadresse Metrik
0.0.0.0 0.0.0.0 192.168.1.1 Standard

IPv6-Routentabelle
Aktive Routen:
If Metrik Netzwerkziel Gateway
1 306 ::1/128 Auf Verbindung
12 266 fe80::/64 Auf Verbindung
12 266 fe80::6d3b:57b7:a8b4:a480/128
Auf Verbindung
1 306 ff00::/8 Auf Verbindung
12 266 ff00::/8 Auf Verbindung
Ständige Routen:
Keine


Weiter eInfo:
192.168.1.4 ist die normale gesetze IP Adresse vom Server
192.168.1.240 ist die vom DHCP zugewiesene Adresse an den Server
192.168.1.236 ist die IP für den Client welcher sich gerade verbunden hat
192.168.1.1 ist der Default Gateway (Router)

Besten Dank für eure Hilfe.

Grüsse
Undi