VPN geht nicht mit PC, aber mit Handy

Haldenwolf

Guten Tag

Vorweg: ich bin kein Netzwerkspezialist, aber auch nicht ganz grün bezüglich dessen.

Jedoch bekunde ich folgendes Problem:

Ich möchte von meinem Arbeits-PC eine VPN zu meinem PC Zuhause erstellen, um darin meine RDP zu erstellen. (RDP alleine funktioniert nach Hause)

Soweit habe ich das mit den Anleitungen auch geschafft, aber es funktioniert nur mit dem Smartphone (Android).

Mit dem PC kann ich keine Verbindung aufbauen, dann kommt folgende Meldung:

"DIe Verbindung wurde durch eine RAS/VPN-Server konfigurierte Richtlinie verhindert."

Ist das ein Problem des Arbeits-PC oder der Internet-Box?

Ich wäre dankbar, wenn mich jemand in'd Licht führen könnte... 🙂

Vielen Dank und freundliche Grüsse

Dani

WalterB

@Haldenwolf

Schau Dir mal den Link unten an wegen den IP-Adressen zwischen den Verbindungsgeräte welche unterschiedlich sein müssen.

https://community.swisscom.ch/t5/Router-Hardware/VPN-auf-anderes-Netzwerk/m-p/652241#M33067

Werner

@Haldenwolf

Die Fehlermeldung ist eine Windowsfehlermeldung, welche Dir sagt, dass es Dir nicht erlaubt ist eine VPN-Verbindung nach aussen aufzubauen.

Wenn es sich beim betroffenen Windows PC um ein Firmengerät handelt, ist das auch sehr einleuchtend, denn die meisten Firmen unterbinden diese Möglichkeiten aus Sicherheitsgründen standardmässig auf ihren Geräten.

Falls Du die Verbindung aber aus Firmeninteresse benötigen würdest, müsstest Du mal mit dem IT-Administrator sprechen.

Haldenwolf

Vielen Dank für die Antwort.

Ich habe aber auch einige VPN's auf meinem PC die problemlos funktionieren (Fernzugriff auf Maschinen die wir unterhalten).

Diese konnte ich auch ohne Probleme einrichten.

Werner

@Haldenwolf schrieb:

Vielen Dank für die Antwort.

Ich habe aber auch einige VPN's auf meinem PC die problemlos funktionieren (Fernzugriff auf Maschinen die wir unterhalten).

Diese konnte ich auch ohne Probleme einrichten.

Die Windows Richtlinien sind Security-Konstrukte, welche bei Windows für die Pro- und Enterprise-Versionen normalerweise zentral von einem IT-Administrator verwaltet werden..

Falls Du es mit Deinem Heimserver also auf die Liste der zu unterhaltenden Maschinen schaffen würdest, wer weiss....

Als Gegentest könntest Du übrigens die Verbindung auch mal mit einem normal konfigurierten privaten Windows-PC probieren.

PowerMac

Die Meldung kann etwas irreführend sein, da man Richtlinien (Group Policies, oder GPOs) auch lokal auf dem PC definieren kann (Befehl "gpedit"). Und manche Richtlinien sind standardmässig aktiv, auch wenn man nie etwas eingestellt hat. Dh. es muss nicht unbedingt sein dass der Firmen-Admin die Funktion gesperrt hat.

Hast du diesen Thread schon gelesen und kontrolliert ob PAP als Passwortmechanismus aktiviert ist?

Haldenwolf

Ja, den Thread hatte ich schon gelesen.

Jedoch auf Deinen neuerlichen Hinweis nochmal und erst da habe ich verstanden, das ich PAP in den "Adapteroptionen", in den Eigenschaften der Sicherheit der Verbindung "Unverschlüsseltes Kennwort" aktivieren muss.

Gemacht und funktioniert!

Vielen Dank dafür! 🙂

Wie ich eingangs geschrieben habe, ist mir die "Netzwerkerei" mit all den Policies, etc. nicht wirklich geläufig.

Beim gelösten Problem fehlt mir deshalb das Wissen begründen zu können, warum die Einstellung so sein muss, da es für mich unsicher tönt.

Könnte mich freundlicherweise Jemand ein wenig Aufklären? 🙂

Und könnte man nicht auch das Häckchen bei "Microsoft CHAP Version 2...." machen?

PowerMac

@Haldenwolf schrieb:
[...] Beim gelösten Problem fehlt mir deshalb das Wissen begründen zu können, warum die Einstellung so sein muss, da es für mich unsicher tönt.

Könnte mich freundlicherweise Jemand ein wenig Aufklären? 🙂

Und könnte man nicht auch das Häckchen bei "Microsoft CHAP Version 2...." machen?

VPN mit der Internetbox funktioniert nur mit den genannten Einstellungen, dh. PAP für die Userauthentifizierung.

Das ganze Prozedere mit dem Aufbau des VPN ist z.B. bei Checkpoint recht ausführlich beschrieben. Wie du dort siehst, wird als erstes ein IPsec-Tunnel aufgebaut. Im Fall der Internetboxen werden dazu keine Zertifikate sondern ein Pre-Shared Key verwendet. Darum ist es wichtig, dass du dafür einen starken Key verwendest (dh. möglichst lang und wirklich zufällig). Wenn dieser IPsec-Tunnel steht, wird darüber per PAP der User authentifiziert. Dh. das unverschlüsselte Passwort wird durch einen verschlüsselten Tunnel übertragen und kann daher von allfälligen Mithörern nicht mitgelesen werden.

Klar wäre MS-CHAPv2 schöner, da noch ein zusätzlicher Sicherheitslayer, aber eben. Wenn du für die Userauthentifizierung auch ein langes, zufälliges und einmaliges Passwort verwendest (und ggf. noch mit einem zufälligen Usernamen ergänzt), hast du auch noch eine zusätzliche Sicherheitsstufe eingebaut.

Und wenn es noch sicherer sein soll, nimm OpenVPN auf einem NAS, Raspi, whatever.

Haldenwolf

Vielen Dank für Deine Ausführungen!