Windows Server 2012 R2 Routing zwischen zwei Subnetzen will einfach nicht funktionieren

[Cai-pirinha]

Servus,
ich bin gerade dabei, einen Server 2012 R2 Essentials aufzusetzen. Darauf soll im Hyper-V eine Instanz Sophos UTM Home laufen. Im Server ist eine Dual-NIC von HP verbaut. Die Topologie stellt sich dabei wie folgt dar:

Internet
|
Router (192.168.1.1)
|
NIC 1 (192.168.1.15)
Server als DC mit AD, DNS, DHCP, ...
NIC 2 (192.168.2.15)
|
Switch
|
WLAN, Clients, Drucker, ...

So. Nichts besonders kompliziertes also, möchte ich meinen. Auf dem Server sind die zwei NICs entsprechend benannt (Intranet 192.168.1.15 und Internet 192.168.2.15). Die VM hat zwei virtuelle Switches zugewiesen, jeweils extern.

Bei vEthernet (Internet) ist als Standardgateway der Internet-Router 192.168.1.1 angegeben (wenn nicht, habe ich am Server keinen Internetzugriff). Bei vEthernet (Intranet) ist das Gateway leer und als DNS die Intranet-Server-IP (192.168.2.15) angegeben. Der DNS-Server hat eine Forward-Lookup-Zone und eine Reverse-Lookup-Zone konfiguriert und als DNS-Weiterleitung den Internet-Router 192.168.1.1. So weit so gut. Am Server funktioniert soweit alles.

Wenn ich jetzt einen Client an den Switch anschließe, bekomme ich vom Windows DHCP-Server wie gewünscht eine IP im definierten Bereich vergeben (in dem Fall 192.168.2.101). Standardgateway kommt keines mit, als DNS-Server kommt der Windows-Server (192.168.2.15) mit.
Im nslookup am Client funktioniert soweit auch alles, der Client bekommt den Servernamen übergeben, kann das auch alles auflösen - auch Domains wie Google oder wie auch immer, wird alles auf die IPs aufgelöst. DNS funktioniert also.
Im Subnet 192.168.2.x kann ich auch auf alles zugreifen. Nun möchte ich natürlich auch Internet im 2.x Subnet (Intranet).


Kommen wir nun zum Problem

Also RRAS angeschmissen. Hier kann ich allerdings tun und machen, was ich will, es möchte einfach nicht hinhauen, dass das Intranet ins Internet Subnet geroutet wird. Habe sowohl RRAS als NAT laufen lassen, als auch als Custom->LAN-Routing.
Wobei ich dazu sagen muss, dass wenn ich RRAS als NAT konfigurieren will, unter IPv4 ebenfalls nur die Unterpunkte "Allgemein" und "Statische Routen" auftauchen. Kein "IGMP" und "NAT" wie ich es mehrmals beschrieben sehen habe...?
Statische Route von 192.168.2.0 auf 192.168.1.15 ist ebenfalls wirkungslos. Auch den Registry-Eintrag IPEnableRouting habe ich auf 1 gesetzt.

Ich kann vom Client aus also nur ins 192.168.2.0 Subnet pingen und zugreifen. Sonst geht nichts. Habe Server und Client auch immer wieder neu gestartet etc. (mit Berücksichtigung der statischen Route natürlich), daran liegts also auch nicht.

Habe auch ewig gegooglet, alles was ich finde ist RRAS und statische Routen, allerdings habe ich das ja schon durch. Habe ich was übersehen? Liegt es evtl an der VM oder den virtuellen "Switches"? Habe die VM während der zahlreichen Routing-Änderungen komplett ausgeschaltet, also dass Sophos den Traffic blockt kann nicht sein.

Was ich oft gelesen habe, ist, dass keine der beiden NICs am Server ein Standardgateway haben sollte. Mit sollte kann ich allerdings wenig anfangen, dürfen sie keines haben? Wenn dem so ist, wie kriege ich es hin, trotz fehlendem Standardgateway der Internet-NIC des Servers (wo ich ja den Internet-Router angeben musste) trotzdem Internetzugriff zu kriegen? Stehe da ebenfalls einigermaßen auf dem Schlauch.

Schon mal danke im Voraus fürs Lesen und eure Tipps

Gruß

 

[cbtestarossa]

du willst also dass alle Clients im 2er Netz sind und der gesamte Internet Traffic über den Server ins 1er Netz geroutet wird?

 

[black90]

Der Text macht nur für dich Sinn Ich versuchs mal mit halb offenem Auge

Da wo Router steht ist dein Gateway, der Rest braucht sowas nicht.
Da geht der Traffic ins Internet, der Rest unten (Server) muss nur wissen dass sie über den Router dort hinkommen - Gateway halt. Zieladresse *.*.*.* (Internet) über Gateway 192.168.1.1

Weiß nicht was du in der VM tust, aber :
Ping vom Server auf den Router geht ? Müsste, glaub ich.

NIC2 -> Router geht nicht, glaube ich.
Switches können keine verschiedenen Netze ansteuern, dafür brauchst Router, bzw. irgendwie deinem Server beibringen von NIC1 auf NIC2 zu kommunizieren. Switches Broadcasten einfach alles, mittlerweile halbwegs intelligent, von *.*.*.1-254. Gibt auch teure Switches die halb Router sind

Vergiss die ganzen Seiten, überleg dir einfach welche Wege du ablaufen musst um zum Ziel zu kommen.
NAT fähige Router sind normale Router mit Intelligenz die sich die Kommunkation merken und unpassendes filtern, z.B. vom Internet aus ist alles geblockt außer da wo von innen kommuniziert wird.

 

[Cai-pirinha]

danke erstmal für eure antworten.
ich könnte mich grad selbst verhauen. keine ahnung, wieso ich die ganze zeit den server die subnets routen lassen wollte - das soll doch die VM erledigen
meine ganzen versuche (mal abgesehen davon, dass sie gescheitert sind) waren völlig umsonst. morgen nochmal ran, diesmal mit hirn...

@black90: in meinem text ging es genau darum, was auch cbtestarossa gesagt hat. subnet1 hat bzw ist internetzugang und subnet2 soll über den server zum subnet1 geroutet werden.
und genau dafür habe ich ja eigentlich die UTM in der VM, die den traffic zwischen den zwei NICs filtert - wieso auch immer ich unbedingt den Windows Server dazu bringen wollte..

sorry für den unnötigen thread

 

[ByteFax]

Wenn du einen Rechner mit 2 NICs hast, kannst du diesen (ohne irgendwelche VMs) zum Gateway machen
Stichwort Routing & Ras Feature in Windows Server 2012r2

Ein VM ist nicht erforderlich.

Wenn man wüsste was du eigentlich vor hast, (Für was die netze etc.) ließe sich sicherlich eine für dich sinvolle lösung erarbeiten.

Tipp

Vorher erst mal genau überlegen was man vor hat, und bevor man "testet" einen Netzplan erstellen der in etwa die Pläne abbildet.

Schnell wirst du sehen wo du Router brauchst, an welchen Maschinen es u.U. sinn macht die Routingtabelle (z.B via Startscript) an zu passen.

 

[Cai-pirinha]

ich verstehe nicht ganz, wo ich scheinbar so unverständlich geschrieben habe.. wobei sich das ursprüngliche problem ja nun eigentlich schon erledigt hat.. dennoch:

erstens weiß ich ja wie beschrieben bereits dass ich dafür RRAS brauche. habe es wie beschrieben auch in verschiedenen konfigurationen probiert, es wollte nicht. obwohl es ja eigentlich nicht so schwer sein kann. und ich finde den fehler nicht.

zweitens ist das allerdings sowieso blödsinn, wie ich dann im anschluss an meine geistige umnachtung festgestellt habe, da ich ja in der VM die sophos firewall laufen habe, die den traffic routen soll - und nicht windows. mein fehler, weiß nicht warum ich das ausgeblendet habe.

jedenfalls genau deswegen die zwei netze. "wan" und "lan" quasi für die firewall.