7170: wie SPI deaktivieren

[reFFI]

Hallo Zusammen,

wenn ich mich mit einem Firmennotebook von Daheim in unser Firmennetzwerk einwählen will habe ich ein paar Probleme:
die eigentliche VPN-Verbindung klappt soweit, sprich ich bekomme eine Verbindung zustande (Anmeldung mittels SmartCard), auch kann ich dann ohne Probleme SAP aufrufen und damit arbeiten.
Aber ich kann z.B. nicht die "Netlogon-Datei" ausführen, sie wird einfach nicht gestartet (eine Batchdatei auf dem Firmenserver, die autom die Netzlaufwerke verbindet), auch die Syncronisation des Outlook-Kontos funktioniert nicht. Outlook läuft einfach irgendwann ins leere.
Die Netzlaufwerke manuell über den Explorer verbinden klappt jedoch ohne Probleme
Wenn wir es in der Firma dann über einen stand-alone DSL-Router quasi von Aussen versuchen, läuft es ohne Probleme.
Ich habe den Eindruck, dass die Datein von außen einfach nicht durch meine FritzBox kommen, obwohl ja ein VPN-Tunnel steht


Habe auch schon an MTU-Werte gedacht und auch schon versucht, diese anzupassen (INetDoc), aber leider auch ohne Erfolg.

Jetzt hatte ich die Idee, das evtl. das SPI meiner FritzBox 7170 dazwischen funkt, aber ich finde keine Möglichkeit, SPI zu deaktivieren

Hat jemand einen Tip für mich ?

Danke & viele Grüße
reffi

 

[effmue]

Guude,


einfache Frage einmal vorab:

Was sagen denn die Admins deiner Firma zu dem Problem konkret..?

 

[reFFI]

Die Kollegen schauen auch nicht schlecht aus der Wäsche
Das hätten Sie auch noch nicht gehabt. FritzBox sollte eigentlich kein Problem sein, ... wenn VPN steht, sollte eigentlich alles andere egal sein, ...

Von Ihnen kam auch der Tip, dass ich mal versuchsweise testen soll, SPI zu deaktiviern um dann zu sehen, was los ist.

 

[effmue]

Guude,

evtl. solltest du uns für eine Eingrenzung des Problems dann etwas mehr über die Konfigurationen offenbaren..., oder..?

Evtl. werden Parameter nicht richtig übergeben oder verändert in den Laufwerkszuordnungen....

 

[reFFI]

Konfigurationen - was braucht Ihr denn da für Daten ?
Ich habe einen 6000 Telekom DSL Anschluss,
FritzBox 7110, Firmware-Version 29.04.76, ist per Fernwartung übers Internet inkl. der Angeschlossene USB Platte (DynDNS /ftp) erreichbar
WPA2 Verschlüsselung fürs WLAN
Meine privaten PC's und Notebooks laufen unter Win XP bzw. Ubuntu, alles ohne Probleme (LAN und WLAN)

Das Firmennotebook läuft unter WinXP.
Die Authentifizierung/Anmeldung am Notebook läuft problemlos über SmartCard.
Auch die Anmeldung der VPN-Verbindung (L2tp) läuft problemlos.
Ich baue also die VPN-Verbindung auf, danach kann ich mich ohne Probleme auf unserem SAP-System anmelden, sprich eine Anwendung auf dem Firmenserver starten und damit arbeiten.
Wenn ich aber die Batchdatei zur "automatischen" Einbindung der Netzlaufwerke starten will, passiert rein garnichts - normal müßte ja ein Hinweis kommen, dass es sich hier um eine ausführbare Datei handelt und ob man das wirklich will. (Wenn wir es in der Firma über einen Externen DSL-Anschluss versuche (D-Link Router) funktioniert das auch.)
Was daran merkwürdig ist, wenn ich manuell die Netzlaufwerke, über den Explorer -> Extras -> Netzlaufwerke verbinde, funktioniert das problemlos.
Auch mit dem Outlook auf dem Firmennotebook gibt es Probleme. Outlook kann sich nicht mit Exchange-Server verbinden und es erfolgt keine Synchronisation.

Es scheint also so, dass trotz VPN-Tunnel Datein von Aussen nicht ausgeführt bzw. geblockt werden.

Was für Daten benötigt Ihr noch ?

Danke & viele Grüße
reffi

 

[bloodviking82]

welche fehlermeldung spuckt denn dein outlook aus? timeout, fehler beim verbinden oder einen fehlercode? die firmenadmins könnten/sollten auch mal die logs vom exchange kontrollieren, was der client genau macht, bzw. an welcher stelle die kommunikation abbricht.

 

[frank_m24]

Hallo,

mir fallen drei möglich Ansätze ein, die man ggf. mal verfolgen könnte.

1. Es ist ein Problem mit SMB/NetBIOS. L2TP verschlüsselt nicht selber, sondern nur in Zusammenhang mit IPSec (was du aber nicht erwähnst). Die Box blockt die "gefährlichen" Windows SMB Ports in der Kommunikation nach außen. Wenn sie in die L2TP Pakete hineinsehen kann, dann sperrt sie die dort auch. Auch Outlook kann man per SMB anbinden, alternativ zu HTTPS.
2. Über die VPN Verbindung werden keine Broadcasts übertragen, die in vielen Fällen von Windows für die Netzwerkumgebung erforderlich sind. Auch damit könnte man zuverlässig beide Probleme erklären
3. Die automatische Proxykonfiguration klappt nicht über VPN. Damit fehlen die erforderlichen Parameter für den Netzwerkzugang einiger Dienste.

 

[reFFI]

Die Punkte von frank_m24 habe ich mal unseren Admins gezeigt, aber die sollten lt. unseren Admins nicht relevant sein.

Werde am Wochenende mal testen was passiert, wenn ich mit dem Laptop zum Kumpel (auch 7170) gehe.

Momentan deutet sich ein DNS Problem an - glaube ich zumindest
Wenn ich die VPN-Verbindung aufbaue und dann "ipconfig /all" ausführe, werden mir zu dem "VPN-Adapter" die richtigen DNS- und WINS-Server zurückgemeldet.
Setze ich dann einen Ping mit dem Namen (nicht IP, sondern halt der vergebene Name) auf einen vorhandenen Server in unserer Firma ab, so wird zu dem Namen eine vollkommen falsche IP-Adresse gefunden und es kommen Zeitüberschreitungen.
Habe es mit zwei Servern getestet. Es werden IP's gefunden, die wirklich rein nichts mit unserem Firmennetz zutun haben.
Habe die gefundenen IP's mal bei DNSstuff.com abgefragt und dabei kam heraus, dass es sich um Server von T-Online handelt
Ich bin nur gerade echt überfragt, ob das Problem nur an unserer Firma liegt, oder ab es an mir bzw. an meiner FritzBox liegt (kann ich in der FB etwas in diese Richtung verstellt haben ).
Andere Kollegen habe keinerlei Probleme, wobei ein Teil der Kollegen auch die FB 7170 nutzen.

viele Grüße
reffi

 

[frank_m24]

Hallo,

Wird die Default-Route über die VPN Verbindung geleitet? Was sagt denn ein nslookup auf die Servernamen, die falsch aufgelöst werden?

 

[reFFI]

nslookup zeigt mir, dass trotz bestehendem VPN-Tunnel, über den DNS der FritzBOx gearbeitet wird
Somit liefert auch nslookup falsche IP's für die Server.
Interessant finde ich, dass selbst wenn ich noch keine VPN-Verbindung aufgebaut haben, mir IP's zu den Servernamen gegeben werden, selbst nachdem ich ipconfig /flushdns ausgeführt habe.
Irgendwie scheint mein LAN zu meinen, die Namen der Server trotzdem schon zu kennen.
Gibt es eine Möglichkeit, es so zu biegen, dass bei bestehender VPN-Verbindung nicht der DNS meiner FritzBox benutzt wird, sondern der DNS unserer Firma ?

viele Grüße
reffi

 

[frank_m24]

Hallo,

nslookup zeigt mir, dass trotz bestehendem VPN-Tunnel, über den DNS der FritzBOx gearbeitet wird

Das bedeutet dann wohl, dass die Defaultroute nicht über den VPN Tunnel geht.

Somit liefert auch nslookup falsche IP's für die Server.

Was ist, wenn du z.B. einen OpenDNS Server benutzt beim nslookup?

Interessant finde ich, dass selbst wenn ich noch keine VPN-Verbindung aufgebaut haben, mir IP's zu den Servernamen gegeben werden, selbst nachdem ich ipconfig /flushdns ausgeführt habe.

Wenn die Namen tatsächlich von einem Server aufgelöst werden können, dann ist ist das normal.
Bist du sicher, die Servernamen komplett mit Domain anzugeben?

Irgendwie scheint mein LAN zu meinen, die Namen der Server trotzdem schon zu kennen.

Was steht in der "hosts" Datei? Gibt es einen lokalen DNS Server bei dir im Netz? dnsmasq auf der Box z.B.?

Gibt es eine Möglichkeit, es so zu biegen, dass bei bestehender VPN-Verbindung nicht der DNS meiner FritzBox benutzt wird, sondern der DNS unserer Firma ?

Ja, wenn die Default-Route über die VPN Leitung geht, dann werden wahrscheinlich auch die DNS Server der VPN Verbindung benutzt.

 

[reFFI]

so, jetzt haben wir die Lösung:
man höre und staune, schuld war nicht eine fehlerhafte EInstellung in den VPN-Verbindungen oder im Router, oder ein Hardwareproblem, oder sonst etwas, NEIN nur ein kleiner Haken um Kundencenter meines Providers T-Online
T-Online hat nämlich einfach für alle seine Kunden pauschal das super duper Feature "Navigationshilfe" aktiviert Dieses tolle "Feature" sorgt dafür das DNS-Anfragen unter Umständen vollkommene Fantasie-IPs zurückgemeldet bekommen - schönen Dank liebe T-Com

viele Grüße
reffi

 

[effmue]

Guude,


das ist ja mal eine sehr interessante Problemlösungsvariante/-lösung für alle, durch uns hier ausprobierten bisherigen, Lösungsansätze....! :noidea:


...aber nichtsdestotrotz...Danke für dein Feedback zu diesem Thema....

 

[reFFI]

ich habe auch nicht schlecht gestaunt.

Wie so oft im Leben: man muß wissen wonach man suchen muß.
Wenn man mal bei google "Navigationshilfe probleme" eingibt erhält man schlappe 22.400 Einträge und sehr viele mit dem Vermerkt DNS

viele Grüße
reffi