VPN via ISA 2006 vs Windows domain

[Roygenz]

Ik ben al even op volgend probleem aan het zoeken (die ik maar niet opgelost krijg): We hebben een ISA server 2006 firewall met daarop de "VPN service" geactiveerd (via IPSec). Die werkt perfect, alle communicatie is mogelijk, op voorwaarde dat de clientcomputer standalone is. Van zodra die in (ons) domein zit en van op afstand via VPN connectie wilt maken loopt alles tergend traag (browsen in mappen op de server, exchange etc). Na de logs te bekijken zie ik dat hij steeds lastig doet over "Kerberos auth.". Bij die requests krijg ik de melding "connection denied". Ik heb al vanalles geprobeerd maar geraak er maar niet aan uit (kerberos op vpn toegelaten in de firewallpolicies etc). Iemand soms suggesties & ervaring met ISA server?

[Sasuke]

Je moet eens enkele zaken nakijken:

* Geef je de interne DNS mee door aan de VPN clients ? --> Belangrijk
* Is het subnet dat je aan de VPN clients hebt gegeven geconfigureerd in AD Sites & Services
* Hoe connecteert men naar de Exchange, via HTTP/RPC, of direct ?

Voor meer troubleshooting gaan we toch iets meer info nodig hebben, maar mijn gevoel zegt dat DNS de basis van het probleem is.

Grtz,
Sasuke

[Roygenz]

Tnx voor je antwoord!

* Geef je de interne DNS mee door aan de VPN clients ? --> Belangrijk

Ja

* Is het subnet dat je aan de VPN clients hebt gegeven geconfigureerd in AD Sites & Services

Ja, met een pc die niet in het domein zit kan ik alles doen via die vpn (exchange etc..) dus denk ik dat alles wel correct geconfigureerd is.

* Hoe connecteert men naar de Exchange, via HTTP/RPC, of direct ?

men connecteert direct.

[Sasuke]

heb je wat meer info ? Kwestie van de configuratie wat te schetsen met de subnets erbij (hoeven niet jouw ip's te zijn he). Op deze manier is het quasi onmogelijk om te troubleshooten.

grtz,
Sasuke

[Roygenz]

Sorry voor m'n late reply.. We zijn intussen aan het experimenteren geslagen met OpenVPN, en met succes! Clients in domain kunnen nu perfect communiceren over vpn. Om een of andere reden liep de windows "kerberos authentication" wat de mist in over de ISA IPsec VPN. Toch bedankt voor je hulp!

[Sasuke]

Heb je kerberos event logging opgezet op je domaincontroller(s) ? Dan kon je toch perfect zien waar het misliep ?

Enfin, met OpenVPN gaat het inderdaad ook, alleen mis je dan wat features natuurlijk.

grtz,
Sasuke