Site2Site-VPN mit TMG und Draytek Vigor 2910

Hallo zusammen,

ich habe eine Frage zum Site2Site-VPN mit dem o.g. Firewall-Router vs. TMG:

Wir haben folgendes Szenario:

Standort1:
TMG mit öffentlicher IP-Adresse, konfiguriertes Site2Site-Netzwerk zu Standort2 mit der dortigen öffentlichen IP und dem internen Netzwerk-Range, Phase1 3DES, SHA1, G2 mit PSK
Der TMG hat eine Netzwerkkarte, die direkt im WAN hängt.

Standort2:
Vigor2910, Lan2Lan-Profil Dial out mit den gleichen Site2Site-Settings wie an der TMG. Der Vigor hängt als exposed host hinter einer Fritzbox mit gebridgtem Port und hat eine öffentliche IP-Adresse, die auch erreichbar ist.
Im Wesentlichen habe ich mich an diese Anleitung gehalten:
http://theangryangel.co.uk/blog/ms-isa-server-2004-to-draytek-vigor-280 ...

Sobald ich diese Konfiguration aktiviere, sehe ich unter „Connection management“, wie sich scheinbar der TMG am Vigor einwählt. Im Connection management taucht ein "Dynamic client" auf mit der Remote-IP 188.x.x.x und dem Virtual Network 188.x.x.x (das ist die WAN-Seite des Zielnetzes)

Allerdings komme ich nur von der TMG-Seite zur Draytek-Seite, von der Draytek-Seite komme ich nicht zum TMG - das Netz wird nicht geroutet. Was mich sehr wundert ist der „Dynamic client“ – eigentlich würde ich erwarten, dass dort „VPN MS“ steht. Aber irgendwie „dialt“ der Draytek den TMG nicht an, bzw. nicht mehr.

Ich hatte nur ein einziges mal die Situation, da hatte ich den "Dynamic client-Tunnel" und auch einen weiteren Tunnel mit dem von mir am Draytek vergebenen Profilnamen. Da stand dann als Remote-IP 188.x.x.x und als Virtual Network 192.x.x.x - also das Source-Net. Damit hat das Routing funktioniert, aber nachdem ich eine Routing-Option verstellt und wieder hergestellt hatte, klappte das einfach nicht mehr. Diesen Zustand kann ich trotz gleicher Einstellungen nicht mehr erreichen. Ich hab das Lan2Lan-Profil auch schonmal komplett gelöscht, keine Chance. Korrekt erscheint mir das aber trotzdem nicht zu sein, denn warum bilden sich überhaupt zwei Tunnel?

Ich weiß, dass das Draytek-Modell schon etwas älter ist und damit vermutlich out of support, aber site2Site sollte das Gerät ja trotzdem können. Die neueste Firmware ist übrigens bereits installiert. Der Draytek-Support meinte dazu "der TMG wählt sich offenbar als VPN Client ein und übermittelt dem Vigor lediglich die öffentliche IP-Adresse und nicht das lokale Subnetz, weshalb ein Routing nicht möglich ist. Bitte überprüfen Sie die Konfiguration des TMGs."

Da gibt es aber nach meiner Meinung nichts zu überprüfen, die Phasen-Settings sind 100% identisch und die Netzwerk/Firewall-Regeln werden ja automatisch erstellt.

Wäre super, wenn da jemand einen goldenen Tipp für mich hätte

VG

Marcel