opzetten VPN verbinding en bijbehorende poorten

[dijkmane]

ok, probleem en ik vind dat ik minder goed geholpen ben aan de telefoon.

situatie :
kerkgebouw, Ziggo aansluiting sinds 2013.
stabiele netwerkomgeving, 5 werkstations, NAS en Win2012 server
in 2014 overgegaan van SBS2003 naar server 2012, alles netjes ingesteld, DHCP doet de Windows Server, net als de DNS, begin 2016 alle werkstations vervangen voor nieuwe met W10.
externe gebruikers met laptop bellen in met VPN en kunnen zo bij de bestanden.
dit werkt al zo sinds 2006 met de oude server en ook meteen prima met ziggo en de nieuwe server.
voor VPN heb ik poorten opengezet om met verschillende protocollen VPN te kunnen maken.
dit zijn de poorten : 47,1723,1194,500,4500,1701,443
alles werkt prima, iedereen blij.

probleem:
tot ik ergens in april klachten kreeg van gebruikers dat ze geen VPN meer konden maken, kregen foutmelding.
welke wisten ze niet meer en tijdelijk konden ze wel even naar het gebouw fietsen om zo via interne netwerk bij de bestanden te komen, er zat niet zoveel haast achter.
modem gereset, zelf geprobeerd, werkt inderdaad niet meer.
dit even vergeten en nu het grondiger aan het uitzoeken.
het lukt mij met geen mogelijkheid meer om een VPN op te zetten van buitenaf.
ook vanaf een andere locatie lukt dit niet.
intern, via het interne netwerk, lukt dit direct en prima, de Win2012 server is dus in orde.
gecontroleerd of de juiste poorten open staan op modem, dit is het geval, dit is ook niet gewijzigd sinds 2013 :


poortscan gedaan vanuit huis, ik vind alleen poort 21 en 1723 open, de rest staat dicht.
afgelopen donderdag grote stroomstoring in zwolle, 5uur lang, dus alles is uit geweest.
opzetten VPN lukt na opstarten nog steeds niet.

ik verdenk sterk het modem.

modem terug gezet naar fabrieksinstelling.
( sh*t, kon ik er op de fiets naartoe, want springt naar hele andere interne IP range.. 🙂 )
poorten weer opengezet, modem restart,
VPN lukt na opstarten nog steeds niet.

krijg aan de telefoon, na enige discussie te horen dat ik de beveiliging heb uitgezet omdat de DHCP op het modem niet aan staat (??) en Ziggo ondersteund dat niet....

dus ik braaf DHCP op de server uit gezet en op het modem DHCP aan, modem reset
VPN lukt na opstarten nog steeds niet.

ik weer terugbellen.
"wij verlenen geen ondersteuning aan openzetten poorten, u krijgt geen nieuw modem"
"wij kunnen hem in bridge zetten zodat u met uw eigen router dit wel kunt instellen"
( ik raak dan wifispots kwijt en juist in een kerk wil ik dat niet ).
op de vraag of ik van Ziggo dan zo'n router krijg werd ik naar de webshop verwezen.
gevraagd wat een nieuw modem kost, stuur maar op met de factuur erbij, "nee meneer die is bruikleen, wij verkopen die niet".

uiteindelijk roept ie ; "ga maar naar de community, daar hoort u vandaag de oplossing nog wel"

dus ik ben benieuwd

[Jonathan-458]

Beste,

level4
dijkmane geeft aan, zo ver ik dat begrijp dat zijn Ziggo locatie 1 (client-thuis) niet kan verbinden met Ziggo locatie 2 (server-extern) en dat via KPN mobiel of andere locatie dit alleen lukt via pptp, L2TP en OpenVPN werken niet.

Als het alleen om L2TP op Windows ging was het waarschijnlijk het NAT-T verhaal.

dijkmane
Of interpreteer ik het verkeerd?

MVG

[DennyW]

Jonathan-458 wrote:
Beste,

dijkmane geeft aan, zo ver ik dat begrijp dat zijn Ziggo locatie 1 (client-thuis) niet kan verbinden met Ziggo locatie 2 (server-extern) en dat via KPN mobiel of andere locatie dit alleen lukt via pptp, L2TP en OpenVPN werken niet.

Er is enige tijd terug een situatie / topic geweest waar ook zo iets dergelijks speelde; had te maken met de WAN IP-adressen en het subnet.
Ik heb geen idee of dit hier ook van toepassing kan zijn. Kijk maar of jullie er iets aan hebben.
Zie deze link.

[dijkmane]

level4 wrote:

Dit begrijp ik nog steeds niet helemaal. Je zit dus in je interne LAN, en probeert verbinding te maken met je WAN IP, die een forwarding heeft terug naar je interne LAN (de NAS) correct ?

In dat geval kan ik me goed voorstellen dat het niet werkt. Het is ook niet logisch, waarom zou je perse willen verbinden aan een WAN IP, terwijl de NAS gewoon intern beschikbaar is.

lees mijn startpost nog eens, daar staat het uitgelegd.
VPN locatie is een kerkgebouw, ik ( en de betreffende gebruikers ) zit thuis, beide Ziggo aansluiting.
wat is er onduidelijk ?

thuis heb ik een IP in de 94 range, kerk heeft 217 range.

[Jonathan-458]

Beste dijkmane,

Lukt het wel op beide locaties PPTP, L2TP en VPN van een andere server/vpn provider te openen?

MVG

[dijkmane]

vanuit huis log ik dagelijks in via VPN op mn werk en als ik die laptop meeneem naar de andere locatie, lukt dat daar ook.

[Audie]

Ik heb hetzelfde probleem: draytek Vgor 2860AC op het werk, vpn werkt prima op mobiel, tablet en op mijn laptop (vanuit huis). Op mijn notebook met windows 10 en via mijn wifi zonder enig probleem op de VPN op het werk. Via de PC lukt dit niet. Ik heb de adapter van de PC het ethernet uitgeschakeld en alleen op de zelfde wifi als notebook verder te gaan. Exact dezelfde instellingen van notebook overgebracht op mijn PC, maar geen VPN. Ik heb geen idee hoe verder. Iemand?

[level4]

Jonathan-458, dijkmane

Ik trok inderdaad de verkeerde conclusies m.b.t. de locaties, zal beter lezen de volgende keer :nerd:

Zelf heb ik even geen ideeën meer, behalve nog ééntje dan misschien.. Geen van beide WAN ip's eindigen op .255 hoop ik ?

[Jonathan-458]

Beste,

Audie
Wat is de exacte foutmelding op uw PC en om welk type vpn gaat het?

dijkmane
Ik begin langzamerhand een beetje op te raken met ideeën.

MVG

[dijkmane]

ja, ik ook, daarom ook hier .. 🙂

ga nog proberen om ergens een GSM modem te scoren om t pand even daaraan te hangen zodat ik echt kan bewijzen dat t aan Ziggo ligt en niet aan mijn omgeving.

heb nog wel een ISDN router en een lijn daar, maar nergens een account, anders kan ik dat proberen.

[level4]

Ziggo WAN IP's eindigen niet op .255 ?
LAN Subnet aan beide zijden is wel verschillend ?

[dijkmane]

nee eindigen niet op 255, beide niet.

met mijn Ubee kan ik het subnet niet uitlezen, maar ik zie even niet waarom dat dit probleem zou veroorzaken.
ik kan via TCP wel gewoon de geforwarde poorten aldaar bereiken en FTP'en.
ook exchange active sync werkt, alleen VPN niet meer

[level4]

dijkmane wrote:
met mijn Ubee kan ik het subnet niet uitlezen, maar ik zie even niet waarom dat dit probleem zou veroorzaken

Bij het opzetten van de verbinding door de client, krijgt deze een IP toegewezen door NAS.
Dit toegewezen IP moet buiten de (interne-) client-netwerkrange zijn, wil de VPN kunnen werken.

Blijft echt een vreemd verhaal hoor. Het blijft ook lastig beoordelen zonder fysiek zicht te hebben op de totale configuratie.

[dijkmane]

ah zo,
interne range is 192.168.* en de VPN laat ik uitdelen in 10.*
maar zover komt t niet eens, ik geraak niet "binnen"

[Jonathan-458]

dijkmane
Als uw toestel hotspot via usb ondersteund dan kunt u kijken of het werkt als u deze met de Draytek via usb verbindt.

Niet alle routers of toestellen ondersteunen dit maar is het proberen waard.

[dijkmane]

zou wel eens kunnen lukken inderdaad..
na de vakantie, eerst even de Ziggo stress wegdrinken en laten afstromen :grinning:

[level4]

dijkmane wrote:
.. eerst even de Ziggo stress wegdrinken ..

Proost 😉 :wine_glass:

[Jonathan-458]

dijkmane
:wine_glass: , Geniet van je vakantie

[jack_kerkrade]

Beste, wij ondervinden hetzelfde probleem. PPTP gaat wel. maar ipsec of l2tp of openvpn gaat niet over het ziggo netwerk. Hebben hier modem/router (cisco epc3925) in bridge mode en eigen router erachter. Hebben een w16 server met vpn service lopen. pptp lukt, maar andere protocollen kan je vergeten. We hebben zelfs een pfsense opgezet op beide locaties en deze ook als router gezet. Je kan geen ipsec tunnel opbouwen tussen de twee pfsense machines. Ik ben ook tot de conclusie gekomen dat ziggo bewust specifieke poorten blokkeert. Probeer maar eens een eigen mailserver over smtp 25 te laten lopen op een ziggo lijn, kan je vergeten. Je moet al 2525 (2de smtp) instellen of met je relay hoster een specifieke andere poort afspreken. Ziggo blokt 25 af.
Ziggo zal ook niet toegeven dat 500/4500 udp (ipsec) wordt geblokkeerd. Via de particuliere helpdesk kan je het al helemaal vergeten, die weten net hoe ze hun pc aan moeten zetten. Als je al wat zegt zoals tcp/ip protocol komt er stoom uit hun oren. Helaas lopen wij nu dus ook tegen het feit aan dat de mensen die via een iphone een vpn willen opbouwen dat niet meer kunnen omdat apple het pptp protocol eruit gesloopt heeft. android gaat nog net wel.

[Jonathan-458]

Beste jack_kerkrade,

Raar, Log van pfsense was dus ook geen forward of failed attempts te vinden?

Zit u in voormalig Ziggo of UPC gebiedt?

MVG

[jack_kerkrade]

Beste, vandaag heeft medewerker van Ziggo toegegeven dat ze actief port 500 en 4500 udp blocken.
Hierdoor is een ipsec vpn niet mogelijk. Blijft toch raar.

en zit in ziggo gebied, maar ja kan men zien dat men nog steeds de zaken niet recht getrokken heeft tussen ziggo en upc. Ook lekker verwarrend voor die mensen aan een servicedesk.