Windows Server 2003 VPN einrichten

[Filou]

Hi, kann mir jemand helfen...

ich möchte von meinem client aus eine VPN Verbindung zu meinem Windows Server 2003 herstellen.

Ich habe RAS und Routing konfiguriert und in der Basisfirewall die beiden VPN Ports freigeschaltet. Außerdem ist NAT und LAN Routing bereits eingerichtet. Dann habe ich noch im ActiveDirectory einen Testuser erstellt und ihm die einwahl per VPN gestattet.

Trotzdem funktioniert es nicht. Wenn der Client sich verbinden will, bleibt es bei "Benutzername und kennwort werden verifiziert" hängen und bricht ab.

Was habe ich denn falsch gemacht??

[Filou]

Nachtrag: Wenn ich die VPN Verbindung von einem PC innerhalb des lokalen Netzwerks starte, erhalte ich folgende Fehlermeldung:

TCP/IP CP gemeldeter Fehler 736: Der Remotecomputer hat das Steuerungsprotokoll abgebrochen.

Ich weiß nicht ob es etwas zu bedeuten hat...

[hades]

Welches VPN nutzt Du?

VPN-PPTP oder VPN-L2TP/IPsec?

[Filou]

keine ahnung. ich habe nix eingestellt. oder ich weiß nicht wie oder wo. ich denke mal windows benutzt standartmäßig PPTP.

[hades]

keine ahnung. ich habe nix eingestellt.

Wie jetzt?

Oben schreibst Du noch sinngemaess ... Du hast den RRAS-Dienst konfiguriert.

Was hast Du im RRAS aktiviert bzw. eingetragen?

Denn genau darauf zielt meine Frage mit PPTP oder L2TP/IPsec.

Der RRAS von Windows 2000/2003 kann beides. Es muss nur konfiguriert werden.

Wir brauchen schon praezise Antworten damit geholfen werden kann.

[Filou]

Wie jetzt?

Oben schreibst Du noch sinngemaess ... Du hast den RRAS-Dienst konfiguriert.

Was hast Du im RRAS aktiviert bzw. eingetragen?

Denn genau darauf zielt meine Frage mit PPTP oder L2TP/IPsec.

Der RRAS von Windows 2000/2003 kann beides. Es muss nur konfiguriert werden.

Wir brauchen schon praezise Antworten damit geholfen werden kann.

ich habe den Assistenten für RAS und Routing aktiviert.

Dann habe ich auf "benutzerdefiniert" geklicht und "LAN-Rounting", "VPN-Zugriff" und "NAT" ausgewählt. Dann habe ich auf meine DSL verbindung die NAT firewall aktivert und die Ports freigegeben und die Anderen Netzwekkarten der NAT hinzugefügt damit die anderen PCs auf das Internet zugreifen können. Aber bei VPN habe ich nix eingestellt.

Ich habe bei WAN-Miniport eine ganze Liste mit einträgen "PPTP" und auch "L2TP" aber eingestellt habe ich da nix. ich wieß nicht wo und wie.....

[hades]

Damit kann ich etwas anfangen.

Bei alleiniger VPN-Aktivierung im RRAS wird standardmaessig VPN-PPTP genutzt.

VPN-PPTP benoetigt den Port TCP 1723 (Richtung zum RRAS-Server) und in beide Richtungen das GRE-Protokoll (IP-Protokollnr. 47 - das ist kein Port -).

Wichtig ist bei VPN-PPTP, dass die Sicherheit vom gewaehlten Kennwort abhaengt. Hier sollten die (leider oft ausgeschalteten) Domaenenkennwortrichtlinien von Windows Server 2003 angewandt werden. Leicht zu erratende Kennwoerter sind bei VPN-PPTP tabu.

Auch sollten in den RRAS-Authentifizierungsmethoden bei ausschliesslicher Nutzung von 2000/XP-VPNClients nur EAP und MS-CHAPv2 erlaubt werden.

Die RRAS-Ports werden mit IP-Adressen entweder von Deinem DHCP-Server oder aus einem statischen Bereich versorgt.

Gehe in die Eigenschaften der Ports und stelle die gewuenschte Anzahl ein. V.a. wenn Du nur eins der beiden moeglichen VPN-Protokolle nutzen willst.

Werden die anderen Dinge LAN-Routing und NAT bei Dir wirklich benoetigt?

Normalerweise werden fuer die alleine Nutzung von VPN beide zusaetzlichen Dinge (LAN-Routing und NAT) nicht benoetigt.

Es sei denn, der Server haengt direkt am DSL-Modem. Hier wuerde ich aus Sicherheitsgruenden aber eher eine kleine Hardwarefirewall vor dem Netz bevorzugen und den Server nur den VPN-Server bereitstellen lassen.

[Filou]

Damit kann ich etwas anfangen.

Bei alleiniger VPN-Aktivierung im RRAS wird standardmaessig VPN-PPTP genutzt.

VPN-PPTP benoetigt den Port TCP 1723 (Richtung zum RRAS-Server) und in beide Richtungen das GRE-Protokoll (IP-Protokollnr. 47 - das ist kein Port -).

Wichtig ist bei VPN-PPTP, dass die Sicherheit vom gewaehlten Kennwort abhaengt. Hier sollten die (leider oft ausgeschalteten) Domaenenkennwortrichtlinien von Windows Server 2003 angewandt werden. Leicht zu erratende Kennwoerter sind bei VPN-PPTP tabu.

Auch sollten in den RRAS-Authentifizierungsmethoden bei ausschliesslicher Nutzung von 2000/XP-VPNClients nur EAP und MS-CHAPv2 erlaubt werden.

Die RRAS-Ports werden mit IP-Adressen entweder von Deinem DHCP-Server oder aus einem statischen Bereich versorgt.

Gehe in die Eigenschaften der Ports und stelle die gewuenschte Anzahl ein. V.a. wenn Du nur eins der beiden moeglichen VPN-Protokolle nutzen willst.

Werden die anderen Dinge LAN-Routing und NAT bei Dir wirklich benoetigt?

Normalerweise werden fuer die alleine Nutzung von VPN beide zusaetzlichen Dinge (LAN-Routing und NAT) nicht benoetigt.

Es sei denn, der Server haengt direkt am DSL-Modem. Hier wuerde ich aus Sicherheitsgruenden aber eher eine kleine Hardwarefirewall vor dem Netz bevorzugen und den Server nur den VPN-Server bereitstellen lassen.

Kannst Du mir erklären wie und wo ich das mit dem VPN einstelle?

Das mit dem NAT und LAN Rounting brauch ich weil ich mein DSL geteilt wird. Der Router hat ja ne hardwarefirewall eingebaut. Und das LAN Rountig brauche ich weil an dem Server nur 3 Clients hängen und ich keinen Switch habe. Das funktioniert ja auch alles so.

Ich weiß nur nicht wo ich das mit dem VPN einstelle...

[hades]

Schaffe Deine abstruse Konstruktion ab!

1. Eine DSL-Leitung kommt an einem zentralen Punkt an, diese wird nicht nochmal aufgeteilt.

2. Der DSL-Router hat mit Sicherheit einen integrierten Switch. Daran kommen der Server und alle Clients ran. Notfalls mit langen Kabeln (aber unter 100 m bleiben;) ).

3. Die Ursache fuer das VPN-Problem liegt in den Firewallregeln Deines DSL-Routers. Am Server ist nichts weiter in Sachen VPN-Server einzustellen.

[Chief Wiggum]

Und das LAN Rountig brauche ich weil an dem Server nur 3 Clients hängen und ich keinen Switch habe.

Kein Geld für einen Switch, aber einen W2K3-Server mit vier Netzwerkkarten? Irgendwie verstehe ich die Investitionspolitik nicht.