15 Gedanken zu „AlwaysOn VPN – Überblick“

1. Danke für die gute Zusammenfassung und die einzelnen Kapitel zu Always On VPN. Wir überlegen auch gerade das einzusetzen, allerdings sehe ich noch weitere Nachteile. Könntest du ja ggf. oben in der Einleitung ergänzen.

   -Einrichtung etwas gewöhnungsbedürftig, da nur sinnvoll via Intune oder SCCM. Die Powershell-Variante kommt für größere Unternehmen eher nicht in Frage. Eine native Einrichtung via Gruppenrichtlinien wäre wünschenswert. DirectAccess bietet das.
   -bei der Device-Tunnel-Konfiguration (und diese ist deutlich sinnvoller als die User-Tunnel) die bekannten Nachteile, dass es nicht funktioniert, wenn die Ports 500 und 4500 gesperrt sind

   Antworten ↓

2. Hallo,

   zuerst einmal, ich finde die Anleitung gut gelungen und übersichtlich. Kompliment.

   Allerdings hänge ich gerade hier bei diesem Schritt:
   https://www.einfaches-netzwerk.at/always-on-vpn-verwaltung-der-zertifikate/#Zertifikatsvorlage_fuer_die_Benutzerauthentifizierung_erstellen

   Dort soll man sich auf die CA von SUBCA01 einloggen und Zertifikatvorlagen konfigurieren, allerdings wurde zuvor keine CA dort eingerichtet, es wurde alles auf APP01 gemacht. Habe ich da eventuell etwas übersehen?

   Viele Grüße,
   Oliver

   Antworten ↓

   • Hallo! Vielen Dank fürs Lesen! In der Übersicht von AlwaysOn VPN https://www.einfaches-netzwerk.at/always-on-vpn-ueberblick/ siehst du, dass die SubCA01 als Voraussetzung angeführt ist.

     Antworten ↓

     • Hallo Dietmar,

       vielen Dank für die schnelle Antwort 🙂

       Ja, da sehe ich sie, und auch den Teil 5ff, in dem ja die Konfigurationen der CAs beschrieben werden. Daher ging ich davon aus, dass dort auch die SUBCA01 eingerichtet würde. Dort wird aber nur APP01 als CA eingerichtet. Ich gehe davon aus, dass SUBCA01 ebenso wie APP01 eingerichtet wird und dann entsprechend den Links dann die entsprechenden Templates bekommt.

       Denn wenn ich dies nicht tue und weiter mit APP01 arbeite, sprich dort die Templates einrichte, dann bekomme ich spätestens beim SSLforSSTP bei der CA diese Meldung:
       „Zertifikat nicht ausgestellt (Verweigert) Verweigert vom Richtlinienmodul Der öffentliche Schlüssel erfüllt nicht die Mindestgröße, die von der angegebenen Zertifikatvorlage gefordert wird. 0x80094811 (-2146875375 CERTSRV_E_KEY_LENGTH)
       Zertifikatanforderungsverarbeitung: Der öffentliche Schlüssel erfüllt nicht die Mindestgröße, die von der angegebenen Zertifikatvorlage gefordert wird. 0x80094811 (-2146875375 CERTSRV_E_KEY_LENGTH)
       Verweigert vom Richtlinienmodul“

       Antworten ↓

       • Da hast du recht. Wenn du SubCA01 (AlwaysOn VPN-Anleitung) auf App1 (CA-Anleitung) installiert hast, musst du die Schritte auf App1 statt SubCA01 durchführen. Der Rest muss gleich sein.

         Dein Fehler sagt, dass die Länge des öffentlichen Schlüssels nicht passt. Hast du da die entsprechenden Einstellungen gemacht?

         Antworten ↓

         • Hallo Dietmar,

           ja, die Anpassung beim SSLforSSTP habe ich wie angegeben eingestellt (mit ECDSA_P256).

           Ich habe Dir in einer Mail das ganze etwas genauer beschrieben.

           Viele Grüße,
           Oliver

3. Hallo,

   ich habe mit der tollen Anleitung hier alles soweit am laufen.
   Ein kleines Problem habe ich allerdings noch.
   Es geht um die Zuordnung einer IP Adresse an den Benutzer.
   Ich habe den RRAS Server mit einem zusätzlichen Radius Server konfiguriert.
   In den RAS Einstellungen ist ein IPv4 Adress Bereich definiert. Der soll allerdings nur ein Fall-Back sein.
   An erster Stelle soll die IPv4 Adresse auf dem ADUC Dial-In TAB des Benutzers verwendet werden.
   Bei den alten VPN Server mit lokalem NPS ist das auch kein Problem.
   Aber Always On VPN weißt immer eine Adresse aus dem RRAS Adress Pool zu.

   Kann mir einer sagen, ob und wie ich bei Alway On VPN die Benutzer Dial-In IP zuweise?

   Vielen Dank im Voraus
   Beste Grüße
   Maik

   Antworten ↓

   • …

     Antworten ↓

4. Hallo,

   vielen Dank für die Anleitung. Eine Frage hätte ich noch, ist es richtig, dass der Device-Tunnel nicht vom NPS-Server authentifiziert wird?

   Ich starte den Device-Tunnel, er verbindet erfolgreich, allerdings erscheint kein Eintrag im NPS-Log…nur wenn ich den User-Tunnel starte, läuft es…

   Antworten ↓

   • Das ist richtig. Der Maschinentunnel verwendet nur das Computerzertifikat, welches direkt vom RRAS-Server authentisiert wird. Wenn man nur den Maschinentunnel verwenden will, muss man keinen NPS-Server einrichten.

     Antworten ↓

5. Eine richtig schöne Anleitung!
   Vielen Dank Dietmar!
   Hat mir das Thema NPS und RAS in kürzester Zeit näher gebracht.

   Antworten ↓

   • Vielen Dank!

     Antworten ↓

6. Eine Superanleitung ..
   2 Punkte:
   – Wie ich am Ende feststellen musste, ist es keine gute Idee mit einer AD-Domain zu arbeiten, die auf .local endet. Richtig?

   – Welche Ports muss ich an der Firewall öffnen, damit die AlwaysOn-Requests auch ankommen?

   Antworten ↓

   • Nach https://docs.microsoft.com/en-us/windows-server/remote/remote-access/vpn/always-on-vpn/deploy/vpn-deploy-dns-firewall

     Ports UDP1812, UDP1813, UDP1645, and UDP1646

     Und beim NPS-Server beschreibst Du’s eigentlich auch.

     Kannst den Kommentar löschen 😉

     Antworten ↓

7. Hi Dietmar.
   Vielen Dank für deine Anleitung. Ein paar Fragen dazu habe ich:
   Du hast in diesem Szenario die SubCA auf SubCA01 installiert.
   Bleibt der AD CS Online Responder auf App01 oder übernimmt SubCA1 auch diese Aufgabe?
   Wo finde ich die Anleitung zur Konfiguration des AD CS Online Responder?
   War das auch in Teil 5ff zu finden? Oder ist 5ff = 5a+5b?
   Weder App01, noch SubCA01 sind direkt aus dem Internet erreichbar.
   Wie sorgst du in deinem Szenario für die externe Verfügbarkeit der Website
   http://pki.einfaches-netzwerk.at/certenroll ?
   Ich hoffe sehr, dass du ein wenig Licht ins Dunkel bringen kannst.

   Vielen Dank im voraus,
   Nils

   Antworten ↓