VPN: Lösungen für 2 häufig auftretende Probleme

Ted Laun von TechRepublic hat bereits jede Menge Probleme mit Virtuellen Privaten Netzwerken (VPN) gesehen. Als Support-Techniker ist er nicht nur für die Nutzer in unseren Büros in Louisville, Kentucky, zuständig, sondern hilft auch vielen entfernten Nutzern bei der Fehlersuche.

Laun hat zwei typische Probleme mit VPN-Klienten identifiziert:

1. Authentifizierungsprobleme auf NT/Windows 2000 Domänen
2. Schwierigkeiten bei der DNS-Auflösung, besonders bei Anwendern von Windows 98

Wenn Sie als Berater für das Training der VPN-Nutzer Ihres Kunden zuständig sind, sollten Sie einen Blick auf Launs einfache Tipps werfen und Sie können so diese Probleme mit ein wenig vorbeugender Kundenerziehung vermeiden.

Nachteil: Betriebssysteme für Heimanwender
Obgleich einige Unternehmen aus Sicherheitsgründen wie dem Schutz vor Viren diese Praxis nicht erlauben, gestattet TechRepublic den von zu Hause arbeitenden unabhängigen Vertragspartnern und Angestellten die Nutzung ihrer privaten Ausrüstung.

Wie die meisten Unternehmen hat auch TechRepublic ein Standardbetriebssystem, Windows 2000, für seine Computer. Entfernte Nutzer könnten jedoch ein Betriebssystem haben, das sich nicht auf dem neuesten Stand befindet und somit Schwierigkeiten für Laun verursachen kann.

„Man weiß gar nichts über ihr Betriebssystem. Wenn man also versucht, den Leuten bei der Konfiguration zu helfen, befindet man sich von Anfang an im Nachteil“, sagte er.

Norris‘ Problem: Die Authentifizierung auf NT/Windows 2000 Domänen
Hier die Beschreibung eines Authentifizierungsproblems, das Laun kürzlich untergekommen ist. Der TechRepublic-Mitarbeiter Norris Shelton arbeitete gerade von zu Hause aus, als er versuchte, über das VPN auf einige Netzwerkressourcen zuzugreifen und mit einer „Zugang verweigert“-Meldung konfrontiert wurde.

„Wenn Norris zu Hause ist, sich über das VPN verbindet und versucht, auf eine Netzwerkressource zuzugreifen, sucht das VPN auf seinem Computer nach Account-Informationen“, erklärte Laun. „Das Netz mag seinen Computer gar nicht, da er kein Mitglied der Domäne ist. Es kann seine Account-Informationen nicht verstehen und verweigert ihm deshalb den Zugang.“

Um Angestellten den Zugang zu Unternehmensdaten zu ermöglichen, verwendet TechRepublic das Verfahren der Domänen-Zulassung. Im Büro haben Nutzer keine Probleme damit, auf alle Teile des Netzwerks zuzugreifen, für die sie zugelassen sind. Wenn sie eine Netzwerkressource ansteuern, fragt diese auf dem jeweiligen Computer ein Passwort ab. Unter den Informationen, die der Nutzer beim Einloggen angegeben hat, findet sie das Passwort.

In Norris‘ Fall wurde ihm der Zugang zur Netzwerkressource verweigert, weil er auf seinem Heimcomputer den gleichen Benutzernamen und das gleiche Passwort verwendete, gerade so als wäre dieser Computer für die TechRepublic-Domäne eingerichtet, sagte Laun. Dieses Problem, so Laun weiter, ist typisch für Nutzer mit Windows NT oder 2000. „Man muss den Namen der Domäne eingeben, dann einen Backslash (), den Benutzernamen und dann das Passwort. Das ist eines dieser Dinge, die man entweder weiß oder nicht. Es ist ganz und gar nicht intuitiv.“

So sollte es funktionieren:

Wenn der Nutzer Johnny Doe den Benutzernamen Jdoe und das Passwort „identity“ verwendet, könnte er annehmen, dass er an seinem Heimcomputer in der Lage sei, den gleichen Benutzernamen und das gleiche Passwort zu verwenden wie an der Arbeit. Aber wenn er die folgenden Informationen eingibt…

… wird ihm der Zugang zum Netzwerk verweigert.

Wenn er jedoch vor seinem Benutzernamen auch den Domänenamen angibt, sollte er Zugang erhalten. So würde es aussehen, wenn der Domänename „TECHREPUB“ ist.

Laun sagte, dass sich das Problem schnell lösen lässt, und man sowohl für den Nutzer als auch für den Administrator einiges Kopfzerbrechen vermeiden kann, indem man die Nutzer dazu erzieht, zwischen der Netzwerknutzung vom Büro aus und von zu Hause aus zu unterscheiden.

(Tipp: Stellen Sie sicher, dass entfernte Nutzer verstehen, dass ihre VPN-Verbindung sie nicht automatisch für ihre Domäne authentifiziert und dass sie nur automatisch Zugang zu ihren Ressourcen erhalten, wenn sie sich bei der Domäne einloggen.)

Katys Leid: Fehler bei der DNS-Auflösung
In einem anderen Fall hatte Katy Yocom, eine freiberufliche Redakteurin, Schwierigkeiten, von ihrem Heimcomputer, der Windows 98 verwendet, auf TechRepublics Content Management System (CMS) zuzugreifen. Als sie Laun telefonisch um Hilfe bat, fand er heraus, dass ihre Schwierigkeiten von einem Problem mit der Domain Name Server (DNS)-Auflösung, bzw. Namensauflösung herrührten.

Nutzer, die vor Ort bei TechRepublic eingeloggt sind, erhalten Zugang zum CMS, indem sie einfach contentmanagement in die Adresszeile eines Browsers eingeben. Von Katys Heimcomputer aus funktioniert das nicht.

„Zuerst versucht ihr System, diesen Namen zu einer IP-Adresse aufzulösen“, sagte Laun. „Es greift auf die DNS-Server im Internet zu und die werden sagen ’nee, wir haben keine Ahnung, was das bedeutet.‘

Eines der Probleme mit Windows 95, Windows 98 und NT 4 besteht darin, dass der TCP/IP-Stack dieser Programme nicht besonders stark oder robust ist. Wenn es auf den ersten paar DNS-Servern nichts findet, gibt es einfach auf.“

Zur Lösung dieses Problems müssen die Nutzer einen voll qualifizierten Domänenamen verwenden, sagte Laun. Obwohl die Lösung simpel ist, ist sie doch ganz und gar nichts, was der durchschnittliche Anwender wissen würde, bemerkte er weiter. Ein voll qualifizierter Domänename besteht aus der Netzwerkressource, dem Domänenamen und der Internetadresse. Die Adresse des Content Management Systems eines Unternehmens könnte beispielsweise so aussehen:
http://contentmanagement.domainname.
businessname.com

Laun sagt, er kommt häufig am Montag-Morgen ins Büro und findet E-Mails oder Voice-Mails von Nutzern vor, die während des Wochenendes versucht hatten, auf Netzwerkressourcen zuzugreifen. Ohne voll qualifizierten Domänenamen sind sie nicht in der Lage, auf diese Dateien, Daten oder Systeme zuzugreifen.

Laun schlägt vor, dass eine Möglichkeit zur Vermeidung dieses Problems darin besteht, die Nutzer sich gar nicht erst daran gewöhnen zu lassen, während der Arbeit im Büro abgekürzte Domänenamen zu verwenden. TechRepublic hätte beispielsweise seine Anwender dazu bringen können, Shortcuts zum voll qualifizierten Domänenamen des CMS einzurichten, anstatt ihnen zu sagen, sie bräuchten nur contentmanagement in die Adresszeile ihres Browsers einzutippen. Auf diese Weise können sie bei der Arbeit von zu Hause aus über eine VPN-Verbindung eine Adresse benutzen, an die sie schon gewöhnt sind.

(Tipp: Ermutigen Sie die Anwender, voll qualifizierte Domänenamen für Netzwerkressourcen zu verwenden, anstatt nur über Shortcuts auf diese zuzugreifen.)