[Gelöst] VPN-Zugang zum Firmennetz

[simulacrum]

Tach zusammen!

Ich verwende zwei FB (eine 7390, die direkt mit dem Internet verbunden ist und eine 7270, die die Internetverbindung der 7390 mitbenutzt). So weit so gut. Mit meinem Notebook gehe ich über WLAN ins Netz.
Für den Zugriff auf bestimmte Funktionen im Firmennetz (z.B. SAP) benötige ich eine VPN-Verbindung, die ich auf dem Notebook (Windows 7 Enterprise) auch schon fertig eingerichtet habe. Ich bekomme aber weder über WLAN, noch über LAN eine VPN-Verbindung zustande und zwar egal mit welchem der beiden Router ich verbunden bin. Softwareseitig ist die VPN-Verbindung richtig eingerichtet, denn per USB-Tethering mit meinem Galaxy Nexus kommt eine VPN-Verbindung zustande. Für den täglichen Gebrauch ist mir das aber zu umständlich und langsam. Es muss auch über WLAN gehen, ich weiß nur nicht, was ich in welcher Box wie dazu einrichten muss.

Unser IT-Service meint, das Protokoll könne nicht über zwei Router geroutet werden. Das mag sein, dann müsste es aber doch beim ersten Router, der 7390, klappen, was aber nicht der Fall ist. Außerdem haben sie noch etwas über Point to Point Tunneling gefaselt, aber in den Einstellungen meiner Boxen finde ich dazu nichts.

Hat jemand von Euch eine zündende Idee, die mir mit meinem Problem weiter helfen könnte? Ich bin für jeden Tipp dankbar.

 

[sf3978]

Für den Zugriff auf bestimmte Funktionen im Firmennetz (z.B. SAP) benötige ich eine VPN-Verbindung, die ich auf dem Notebook (Windows 7 Enterprise) auch schon fertig eingerichtet habe. ...
...
Unser IT-Service meint, ...

Warum keine direkte VPN-Verbindung von deinem Notebook zu einem VPN-Server in das Firmennetz (durch die FB)? Wenn das genehmigt ist, dann kann der IT-Service das doch einrichten.

 

[simulacrum]

Das hat der IT-Service ja auch eingerichtet, aber es funktioniert eben nicht. Das Notebook hat kein UMTS, also muss ich schon per WLAN ans Netz, und dann kommen wieder die FB ins Spiel. Da es per USB-Tethering funktioniert, muss es an den FB liegen. Ergo muss ich irgendwelche Einstellungen vornehmen, mit denen das möglich ist. Mit dem VPN-Zugang bei meiner vorherigen Firma gab's erstaunlicherweise keine Probleme bei gleicher Routerkonstellation.

 

[doc456]

Hallo,

dann poste doch mal die Config des Client's und verrate uns noch, an welcher Firewall du dich anmeldest.

Btw, bei der Box kann es höchstens am DHCP liegen, das die Verbindung zurück nicht ankommt...

 

[simulacrum]

Hallo doc456,

ich verwende die VPN-Verbindung von Windows 7. Zum Einsatz kommt ein Zertifikat, das ich vorher importiert habe. Die VPN-Verbindung habe ich über das Netzwerk- und Freigabecenter eingerichtet (Neue Verbindung oder neues Netzwerk einrichten/Verbindung mit dem Arbeitsplatz herstellen/Die Internetverbindung (VPN) verwenden). Anschließend habe ich die korrekten Werte für die Firmenadresse (Internetadresse) eingegeben (vpn.<Firmenname>.com).
In den Adaptereinstellungen habe ich dann unter Sicherheit eingestellt, dass "Microsoft Smartcard oder anderes Zertifikat (Verschlüsselung aktiviert)" verwendet werden soll. Außerdem steht hier der VPN-Typ entweder auf automatisch oder auf PPPT. Unter den Eigenschaften habe ich eingestellt "Zertifikat auf diesem Computer verwenden" und "Einfache Zertifikatauswahl verwenden (empfohlen)".
Das war's.
Per USB-Tethering bekomme ich damit eine funktionierende Verbindung hin, so dass die VPN-Konfiguration nicht falsch zu sein scheint. Das Problem muss also irgendwie mit meinen FB zusammenhängen.

Auf meinem Notebook läuft nur die Windows-Firewall. Welche meine Firma verwendet weiß ich nicht. Da USB-Tethering funktioniert, wird es ja wohl auch nicht an deren Firewall liegen, oder?

 

[doc456]

Da USB-Tethering funktioniert, wird es ja wohl auch nicht an deren Firewall liegen, oder?

Na ja, hier gehst du über UMTS und nicht über WLAN, vielleicht sind da die Einstellungen anders...

Was mich irritiert ist, das eure Firewall keinen eigenen VPN-Client hat, denn dann sollte man den nutzen und nicht den von Windows...

Und, hast du dem WLAN-Client mal eine feste IP verpasst?

 

[simulacrum]

Das mit der festen Ip-Adresse werde ich gleich einmal ausprobieren und dann hier berichten. Die feste IP-Adresse hat's leider auch nicht gerichtet.

 

[doc456]

Hmmm..., schon mal per LAN an der Box versucht?

 

[andilao]

Möglicherweise ist es auch eine typische Microsoft-Sicherheitseinstellung, wo L2TP/IPSec-VPN-Clients hinter NAT-Routern default nicht zulassen werden.

Das muss dann in der Server- und Client-Registry geändert werden:

Schlüssel: HKLM\System\CurrentControlSet\Services\IPSec
Wert: AssumeUDPEncapsulationContextOnSendRule
Datentyp: REG_DWORD
Daten: 2
;0 VPN-Server ohne NAT
;1 VPN-Server hinter NAT, Client ohne NAT
;2 VPN-Server und -Client hinter NAT

 

[simulacrum]

Per LAN an der Box habe ich auch schon erfolglos versucht.

 

[simulacrum]

Das mit den Registry-Einstellungen werde ich sofort einmal testen... ABER: den o.a. Schlüssel finde ich nicht. Bei mir gibt es nur einen Eintrag mit dem Namen "ipsecd". Ist das der, den Du meinst oder muss ich einen neuen Schlüssel IPSec erstellen?

Opps: Hatte überlesen, dass das auf dem Server geändert werden müsste.

 

[andilao]

Bist Du "unser IT-Service meint ..."?

 

[simulacrum]

Nein, das bin natürlich nicht ich. Außerdem sagt der auch, dass er den Registry-Eintrag nicht vornehmen will, zumal mehrere Kollegen momentan per VPN verbunden seien. Es müsse an meiner Konfiguration liegen.

 

[andilao]

Mehrere Kollegen über UMTS oder auch hinter Routern?
Das letzte aber einfachste Problem haben wir bisher gar nicht beachtet, hast Du daheim zufällig das gleiche Subnetz wie die Firma?

 

[simulacrum]

Die Frage verstehe ich jetzt nicht. Was ist damit gemeint?

 

[doc456]

Na ob du den gleichen IP-Adressbereich nutzest wie deine Firma...

 

[simulacrum]

Keine Ahnung. Ich weiß nicht, welchen IP-Adressbereich meine Firma nutzt.

 

[KunterBunter]

Außerdem haben sie noch etwas über Point to Point Tunneling gefaselt, aber in den Einstellungen meiner Boxen finde ich dazu nichts.

Die Fritzbox unterstützt ja auch kein PPTP, sondern nur IPSec.

 

[andilao]

Server und Client benötigen AssumeUDPEncapsulationContextOnSendRule=2, damit sie Server und Clients über NAT zulassen.

 

[simulacrum]

Das Problem hat sich inzwischen erledigt, da der IT-Support meiner Firma das Notebook lieber komplett neu aufgesetzt hat als stundenlange Fehlersuche zu betreiben. Nach dem Neuaufsetzen hat es dann auf Anhieb geklappt.
Vielen Dank für die zahlreichen Antworten auf meine Problemschilderung!