2
Frage zu NAT und Routing über RAS Dienst bei Windows Server 2008 R2
Hallo,
ich habe folgendes Problem und bin leider ziemlicher Anfänger was den RAS Dienst anbelangt:
Folgendes Szenario:
Wir sollen auf Systeme bei einem Kunden zugreifen können, dazu haben wir einen VPN Client mit welchen wir einen Server im Netzwerk des Kunden erreichen können (Windows Server 2008 R2), von diesem Server aus (soll nur als Router fungieren) sollen wir zu einer Zweigstelle (auf einen Webserver) gelangen. Wir kommen nicht direkt zu dieser Zweigstelle, nur der Server, welcher über den VPN Client erreichbar ist, kann diese erreichen.
Der Server im Kundennetzwerk verfügt über 5 Netzwerkkarten, wir haben 5 IP Adressen zur Verfügung, welche die Zweigstelle erreichen können.
Folgendes ist geplant:
Der VPN Client weißt dem Rechner in unserem Netzwerk eine VPN IP zu (das funktioniert ja bereits), auf unserer Firewall wird eine Route so eingestellt, dass wenn die Adresse der Zweigstelle aufgerufen wird, wird der Server im Kundennetzwerk als next Hop genommen -> mit der VPN IP schlagen wir beim Server im Netzwerk auf -> die VPN IP soll auf eine der 5 IP Adressen über NAT umgewandelt werden -> die umgewandelte IP Adresse soll dann auf die Adresse der Zweigstelle geroutet werden.
Kurz gesagt, der Server im Kundennetzwerk ist nur als Router vorgesehen. Wir verbinden uns über VPN und werden direkt auf die Zweigstelle geroutet.
Die erste Adresse des Servers soll hier nicht betroffen sein, da wir ja auch weiterhin auf den Server via RDP zugreifen möchten, d.h. wenn wir auf die erste IP des Servers zugreifen, sollen wir nicht weitergeroutet werden, die weitern 4 IP Adressen sollen für NAT und Routing verwendet werden.
Meine Fragen:
Geht das überhaupt?
Ist eine Anleitung für dieses Szenario verfügbar?
Welche Optionen muss ich beim Einrichten von RAS auswählen?
PS: wir müssen 4 verschiedene IP Adressen bei der Zweigstelle erreichen können.
Eine andere Lösung ist nicht möglich - Firmen Policy
Ich hoffe, ich habe es verständlich formuliert
Bitte um Hilfe.
ich habe folgendes Problem und bin leider ziemlicher Anfänger was den RAS Dienst anbelangt:
Folgendes Szenario:
Wir sollen auf Systeme bei einem Kunden zugreifen können, dazu haben wir einen VPN Client mit welchen wir einen Server im Netzwerk des Kunden erreichen können (Windows Server 2008 R2), von diesem Server aus (soll nur als Router fungieren) sollen wir zu einer Zweigstelle (auf einen Webserver) gelangen. Wir kommen nicht direkt zu dieser Zweigstelle, nur der Server, welcher über den VPN Client erreichbar ist, kann diese erreichen.
Der Server im Kundennetzwerk verfügt über 5 Netzwerkkarten, wir haben 5 IP Adressen zur Verfügung, welche die Zweigstelle erreichen können.
Folgendes ist geplant:
Der VPN Client weißt dem Rechner in unserem Netzwerk eine VPN IP zu (das funktioniert ja bereits), auf unserer Firewall wird eine Route so eingestellt, dass wenn die Adresse der Zweigstelle aufgerufen wird, wird der Server im Kundennetzwerk als next Hop genommen -> mit der VPN IP schlagen wir beim Server im Netzwerk auf -> die VPN IP soll auf eine der 5 IP Adressen über NAT umgewandelt werden -> die umgewandelte IP Adresse soll dann auf die Adresse der Zweigstelle geroutet werden.
Kurz gesagt, der Server im Kundennetzwerk ist nur als Router vorgesehen. Wir verbinden uns über VPN und werden direkt auf die Zweigstelle geroutet.
Die erste Adresse des Servers soll hier nicht betroffen sein, da wir ja auch weiterhin auf den Server via RDP zugreifen möchten, d.h. wenn wir auf die erste IP des Servers zugreifen, sollen wir nicht weitergeroutet werden, die weitern 4 IP Adressen sollen für NAT und Routing verwendet werden.
Meine Fragen:
Geht das überhaupt?
Ist eine Anleitung für dieses Szenario verfügbar?
Welche Optionen muss ich beim Einrichten von RAS auswählen?
PS: wir müssen 4 verschiedene IP Adressen bei der Zweigstelle erreichen können.
Eine andere Lösung ist nicht möglich - Firmen Policy
Ich hoffe, ich habe es verständlich formuliert
Bitte um Hilfe.
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Kommentar vom Moderator 16568 am Jul 07, 2012 um 12:31:49 Uhr
Und wieder einer, der den Unterschied zwischen Windows und Linux nicht kennt...
Content-Key: 187588
Url: https://administrator.de/contentid/187588
Printed on: April 25, 2024 at 16:04 o'clock
2 Comments
Latest comment
Nein so wie du es darstellst geht das nicht !
Allein die Beschreibung deiner Route auf deiner Firewall offenbart schon das du nicht wirklich verstehst wie Routing funktioniert....sorry.
Die Route dort hat keinerlei Einfluss und ist sinnlos, denn die Firewall kann logischerweise NICHT in den VPN Tunnel reinsehen und die VPN Adressierung "sehen". Der tiefere Sinn von VPNs.
Der Tunnel ist also immer nur mit den externen IPs addressiert. Die IP Adrressierung innerhalb des Tunnels "sehen" nur die VPN Tunnelendpunke also Server und Client.
Dein VPN Client muss also vom VPN Server (Server) entweder die Zielnetze dynamisch mitgeteilt bekommen oder du musst sie im Client einstellen, das die Weiteren Zielnetze auf der remoten Seite über den Tunnel erreichbar sind.
Mit einem VPN Server wie OpenVPN kannst du das dynamisch einstellen und dir damit den Zugriff erheblich vereinfachen.
Wie das geht kannst du in diesem Tutorial detailiert nachlesen:
OpenVPN Server installieren auf pfSense Firewall, Mikrotik. DD-WRT oder GL.inet Router
Welche Hardware du für OpenVPN einsetzt ist völlig egal und unabhängig vom den Konfig Schritten. Die ToDos im Tutorial gelten also folglich analog auch für eine Installation auf einem Winblows Server.
Damit ist dein Vorhaben in wenigen Minuten problemlos umgesetzt.
Ansonsten gilt der Kommentar von LSW oben...
Allein die Beschreibung deiner Route auf deiner Firewall offenbart schon das du nicht wirklich verstehst wie Routing funktioniert....sorry.
Die Route dort hat keinerlei Einfluss und ist sinnlos, denn die Firewall kann logischerweise NICHT in den VPN Tunnel reinsehen und die VPN Adressierung "sehen". Der tiefere Sinn von VPNs.
Der Tunnel ist also immer nur mit den externen IPs addressiert. Die IP Adrressierung innerhalb des Tunnels "sehen" nur die VPN Tunnelendpunke also Server und Client.
Dein VPN Client muss also vom VPN Server (Server) entweder die Zielnetze dynamisch mitgeteilt bekommen oder du musst sie im Client einstellen, das die Weiteren Zielnetze auf der remoten Seite über den Tunnel erreichbar sind.
Mit einem VPN Server wie OpenVPN kannst du das dynamisch einstellen und dir damit den Zugriff erheblich vereinfachen.
Wie das geht kannst du in diesem Tutorial detailiert nachlesen:
OpenVPN Server installieren auf pfSense Firewall, Mikrotik. DD-WRT oder GL.inet Router
Welche Hardware du für OpenVPN einsetzt ist völlig egal und unabhängig vom den Konfig Schritten. Die ToDos im Tutorial gelten also folglich analog auch für eine Installation auf einem Winblows Server.
Damit ist dein Vorhaben in wenigen Minuten problemlos umgesetzt.
Ansonsten gilt der Kommentar von LSW oben...
Hi,
Danke für deine Antwort.
Na ja , ein wenig Ahnung habe ich schon, ich gebe allerdings zu, dass ich nicht der Experte bin ;)
In dem Fall ist es so, dass der Split-Tunneling Modus aktiviert ist, würde das einen Unterschied machen?
Beim Client können wir keinerlei Einstellungen treffen, wird alles vom VPN Server zugewiesen und hier können wir NUR den einen Server im Kundennetzwerk erreichen, mehr bekommen wir nicht.
"Und wieder einer, der den Unterschied zwischen Windows und Linux nicht kennt..."
Mag sein, mit Linux habe ich mich bisher nicht befasst.....aber was hat das mit meiner Frage zu tun?
Danke für deine Antwort.
Na ja , ein wenig Ahnung habe ich schon, ich gebe allerdings zu, dass ich nicht der Experte bin ;)
In dem Fall ist es so, dass der Split-Tunneling Modus aktiviert ist, würde das einen Unterschied machen?
Beim Client können wir keinerlei Einstellungen treffen, wird alles vom VPN Server zugewiesen und hier können wir NUR den einen Server im Kundennetzwerk erreichen, mehr bekommen wir nicht.
"Und wieder einer, der den Unterschied zwischen Windows und Linux nicht kennt..."
Mag sein, mit Linux habe ich mich bisher nicht befasst.....aber was hat das mit meiner Frage zu tun?
