PPTP Server mit Radius Auth

dexcs · Jan 24, 2007, 9:30 AM

Hi Board,
ich hab mir den PPTP Server eingerichtet, weil dieser den Vorteil der RADIUS Authentifizierung bietet. Problem ist jetzt, das ich nur mit einem Connecten kann, ein zweiter der es versucht wird ohne angabe von Fehlern nicht reinkommen, und schmeißt gleichzeitig den ersten wieder raus. Sprich, er versucht es nach 2 min. nochmal und schafft es dann.

Ein weiteres problem das ich habe, ist das wenn der User der per VPN drauf ist, nur manchmal, völlig sporadisch sich sein Outlook mit dem hier im Haus befindlichen Exchange Server abgleichen kann. Firewall kanns nicht sein, da es ja manchmal tut. Vorher hab ich dann mal bei nem Außendienstler in die Windows hosts Datei unseren Exchange eingetragen und siehe da, es tut.

Kann sich einer diese Phänomene erklären und mir helfen wie ich es löse?

Vielen Dank,

Max

hoba · Jan 24, 2007, 1:25 PM

Du kommst mit mehreren Clients hinter dem gleiche NAT daher. Da das GRE Protocol aber keine Ports o.ä. verwnedet werden das Sessions zwischen den gleiche öffentlichen IP-Adressen und können nicht mehr voneinander getrennt werden. Abhilfe schafft hier ein PPTP-Proxy (ist als Package in Entwicklung). Kommen die Clients jedoch von verschiedenen öffentlichen IPs funktioniert das.

Es geht nur nicht sich von hinter dem gleichen NAT zur gleichen öffentlichen IP-Adresse mehrmals zu verbinden. Hinter dem gleichen NAT zu unterschiedlichen öffentlichen IPs funktioniert ohne Probleme. Liegt also nur an der Art und weise, wie Du testest.

Das mit dem Outlook macht für mich keinen Sinn. Vielleicht ein DNS/WINS Problem. Versuche mal beim Client in der PPTP-Verbindung als DNS und WINS den Domänen-DNS/WINS einzutragen.

dexcs · Jan 30, 2007, 7:12 AM

Zum Thema PPTP:
Heißt das, das sich mehrere öffentliche IP's auf meine eine öffentliche IP connecten können oder nicht? Steh grad bissle aufm Schlauch.

Zum Thema Outlook:
Ich habe unserem DNS das VPN noch als Forward Lookup Zone eingefügt. Funktioniert aber auch nicht. Mir hat einer erzählt, das er meint mal gehört zu haben, das der WINS nur im gleichen Subnetz arbeiten kann und das deswegen nicht mit outlook geht. Hab aber dazu irgendwie nichts bei Tante google gefunden, kann es trotzdem sein?

Gruß dexcs

hoba · Jan 30, 2007, 7:56 AM

Bzgl. des PPTP: Du kannst nicht mehrere Tunnelsessions zwischen den GLEICHEN öffentlichen IPs laufen haben. Ein Ende (also Dein PPTP-Server) kann durchaus mehrere Sessions zu VERSCHIEDENEN anderen öffentlichen IPs haben. Wenn das PPTP-Proxy-Package erst mal fertig ist wird diese Limitierung jedoch wegfallen.

Bzgl. Outlook habe ich eigentlich keine Probleme. Trage einfach in die PPTP-Verbindung des Clients manuell den Domänen DNS und den Domänen WINS ein, dann sollte das gehen.

dexcs · Jan 30, 2007, 8:02 AM

Ok, PPTP hab ich verstanden. Danke schön.

Bezgl. DNS und Outlook:
Ich muss hier Außendienstler diesen Zugang ermöglichen. Problem ist das die das selbst einrichten müssen, nur mit Telefonischer unterstützung.

Daher will ich nicht das ich irgendwas von hand eintragen muss. Ich habs jetzt so gelöst das ich der pfsense als DNS Server unseren Hausinternen gegeben habe, diesen trägt er ja dann auch bei den VPN Clients ein.

Ahh, mir ist noch was eingefallen während ich so schreibe. Wir hab hier im Haus die IP "192.6.1.0", ich weiß ist ne öffentliche und totaler Schwachfug, aber mein Vorgänger wusste das nicht. Kann es an dem liegen?

Gruß

hoba · Jan 30, 2007, 9:32 AM

Wie wird die erreicht? Ist die gerouted oder ist das direkt das interne LAN subnet? Kriegen PPTP-Clients IPs aus diesem Bereich?

dexcs · Jan 30, 2007, 10:35 AM

192.6.1.0 ist die LAN Adresse des internen Netzes.
192.6.2.1 ist die PPTP Server adresse.
192.6.5.0 ist das Subnetz in dem die PPTP Clients verweilen.

Firewall zwischen PPTP Netz und internem Netz ist komplett offen.

hoba · Jan 30, 2007, 12:05 PM

Das sind nicht wirklich Adressen (bis auf die des PPTP-Servers). Kannst Du die tatsächlichen Adressen bitte komplett mit entsprechenden Subnets angeben?

dexcs · Jan 30, 2007, 12:32 PM

192.6.1.0-255 255.255.255.0 Internes Netz
192.6.2.1 ist die PPTP Server Adresse.
192.6.5.0-255 Netz in dem die VPN Clients sind.

Versteh nicht ganz was du meinst g.

Nochmal, auf die dumme idee mit 192.6 bin ich nicht gekommen ^^. Ich distanziere mich ausdrücklich ;-).

hoba · Jan 30, 2007, 1:53 PM

Ich meinte irgendwas in der Art (fiktive Adressen, bitte richtig stellen):
LAN 192.6.1.1/24
PPTP Server 192.6.2.1
PPTP Subnet 192.168.6.2.192/16

dexcs · Jan 31, 2007, 8:01 AM

Aso, ja hat fast gestimmet ;-)

LAN Adresse der Firewall 192.6.1.245/24
PPTP Server 192.6.2.1
PPTP Subnet 192.168.6.5.1/28

hoba · Jan 31, 2007, 8:06 AM

Da kriegst du u.U. Probleme mit dem Routing. Ich würde das PPTP-Subnet zu einem Teil des LANs machen (z.B.):
LAN: 192.6.1.245/24
PPTP-Server: 192.6.1.246 (freie IP aus dem LAN)
PPTP-Subnet: 192.6.1.64/28

Das ist am Schmerzlosesten. Damit sind Deine PPTP-Clients im gleichen Subnet.

dexcs · Jan 31, 2007, 9:21 AM

Und wenn das nicht geht, weil das Subnetz vom LAN zu voll ist? g

hoba · Jan 31, 2007, 9:23 AM

Dann mußt Du sicherstellen, daß das Routing funktioniert.

dexcs · Feb 1, 2007, 6:49 AM

Juhu, ich glaubs net. Mein Cheff lässt es zu das wir die IP's ändern. Dann hat sich das mit dem Routing zwischen VPN und LAN auch erledigt.

Nur noch eine Frage, ich müsste ein Routing einrichten auf der FW, damit Rechner oder Drucker die noch nicht umgestellt sind, trotzdem ins neue Netz, und damit auf die Server im neuen, dürfen.

Wie gebe ich der FW 2 IP's im LAN, eine im neuen und eine im Alten Netz? Und was passiert wenn ich im "Interfaces: LAN" die IP Adresse ändere? werden die Firewallregeln angepasst?

Gruß Max

hoba · Feb 1, 2007, 9:13 AM

Der dazu benötigte Virtual-IP-Typ wird derzeit nicht unterstützt (ist bereits in HEAD verfügbar). Ich empfehle für die Übergangszeit eine zusätzliche Netzwerkkarte einzubauen, die auf dem alten Subnet läuft und am gleichen Switch im gleichen Layer2 Netz hängt.

Das gibt zwar ein paar ARP Meldungen im Log, aber die kannst Du unter System>advanced unterdrücken:
Shared Physical Network
( X ) This will suppress ARP messages when interfaces share the same physical network

Damit kannst Du dann schön "sanft" migrieren weil Clients sowohl im alten als auch im neuen Subnet funktionieren.

dexcs · Feb 1, 2007, 11:58 AM

Alles klar, hab eh so nen Embedded mit 8 Netzwerkanschlüssen, war mir nur net sicher ob das ne Schleife im Netz gibt.

hoba · Feb 1, 2007, 8:05 PM

Schleifen gäbe es nur mit Bridging und da die pfSense SpanningTreeProtocol unterstützt entdeckt sie das und schaltet die Bridge dann ab (siehst auch unter status>interfaces, wenn das der Fall ist).