VPN経由のRDP接続ができない、FWの設定？

質問

テスト環境を構築しましたが、VPN経由のRDP接続ができません。

■テスト環境
2003サーバ（RDPのサーバ）とCISCO Firewallと2008サーバ（RDP Client)をつないでいます。

■テスト概要
（１）RDP接続
　2008サーバ（RDP Client)から2003サーバに対しRDP接続をすると成功します。
（２）VPN接続
　2008サーバにてRole機能からVPN設定を実施。
　2003サーバもルーティングとリモートアクセスのところからVPN設定を実施。
　2008サーバ、2003サーバともに接続ステータスは画面上OKとなっています。
　この状態でFirewallの設定をすべてオープンにするとRDP接続が可能です。
（３）Firewall設定
　セキュリティ上の理由でRDPのポートTCP　3389を開けたくなく、
　この3389だけをブロックするようにFirewallに設定しました。
　その後、RDP接続ができません。
　Pingなどはすべて問題ないです。

Firewallで3389をブロックすると動かなくなるということは、VPN通信の中まで
ブロックしてしまうのでしょうか？
それとも回避策はあるのでしょうか？

回答No.6

Donotrely · ベストアンサー

No.5 Donotrelyです。

現象から見ると、pptpでトンネルはたぶん張れているのでしょうけど、
トンネルを通らずにrdpのセッションを張っているように見えます。

もしトンネルを経由しているのであれば、
pptpのパケットかどうかということと、とりあえずの宛先(pptpサーバ)は分かっても、
ペイロード部分にある、カプセル化され暗号化されたフレームについて、
アドレスはおろかTCPの3389番宛てということまで分かるはずがありませんから、
途中で覗いてポートによる制限をかけるということはできないと思います。

rdpのセッションはpptpを通らずに張れていて、
Ciscoで3389番ポートを止めると、rdpも遮断されると考えると、辻褄が合います。

もし可能なら、3389番ポートをを制限せずに、rdpのセッションを張っておいて、
rdpセッションを張っている最中に、1723ポートを制限してみて下さい。
それでもrdpが途切れなければ、rdpはpptpトンネルを経由していないということになります。

お礼

Donotrely様、

仰る通りです。RDPがVPNと並列（トンネルの外側）で通信をしているようです。すみません。今回は時間がないために、この時点でテストは終了となってしまいました。
IPSECを使った場合に、UDP500のみを開けることで3389を使わずに通信をできたので、こちらを使っていきたいと思います。

回答No.5

Donotrely

No.4 Donotrelyです。

＞おそらくPPTPだと思います。PORT 1723を使っていたところから判断しています。

もしpptpならですが、トンネル経由でアクセスできていませんね。

CiscoはルータやL3スイッチではないと思いますけど、
2003と2008は同じLAN内にあったりしませんよね？

補足

Donotrely様、

前回の補足ですが、pptpであることを確認しました。
2003(192.168.1.1)と2008(192.168.2.1)はCISCO FWにてRoutingしています。

回答No.4

Donotrely

No.3 Donotrelyです。

すみません。よく見たらファイアウォールは途中にあるネットワーク機器ではなくサーバのものですね。
だとするとトンネルプロトコルでトンネルしていても、トンネル後のトラフィックで利いているかもしれません。

2008は使ったことがありませんけど、もしVPNを構成した時、
ネットワーク接続に何がしか新しい接続が生成されているなら、
そこも含めてファイアウォールが有効化されている可能性もあります。

もしそれが原因ならですが、それを適用除外にすれば直ります。
ファイアウォールの設定を見て下さい。
可能性は低いですけど一応調べてみる価値はあります。

http://technet.microsoft.com/ja-jp/library/cc753002.aspx

の

＞保護されているネットワーク接続
＞このプロファイルの構成の対象となるネットワーク アダプターを指定するには、～

の部分で、
もしここにVPNにまつわる接続があれば、これを適用除外にします。

補足

Donotrely様、
返信いただきましてありがとうございます。
>IKEv1/IKEv2(IPsec)、PPTP L2TP/IPsec さらにSSTP
>など色々ありますけど、どれなんでしょう？

情けない話なのですが、どれを使っているかわかっていません。
おそらくPPTPだと思います。PORT 1723を使っていたところから判断しています。

また、FWですが、CISCO　ASA5520　を使っています。
WindowsのFWですが、すべてoFF（無効）にしています。

回答No.3

Donotrely

No.2 Donotrelyです。

頂いたページ

http://www.buchatech.com/2010/06/how-to-setup-vpn-access-on-server-2008/

は古いせいか、かなり表示されない部分が多く、
確実な情報が得られませんでした。
VPNには例えば、
IKEv1/IKEv2(IPsec)、PPTP L2TP/IPsec さらにSSTP
など色々ありますけど、どれなんでしょう？

IPsecをトンネルモードで使っていなければ、3389を閉じればRDPは使えなくなるはずです。

仮にいずれかのプロトコルでトンネルモードで使っていた場合、
ファイアウォールで純粋にTCP/UDPの3389を閉じただけでRDPが使えなくなったとしたら、
それはファイアウォールのせいではないですね。

でも、操作したのはファイアウォールだけなんですよね？

IPsecをトンネルモードで使っていない場合に相当するのではないかと思うのですが、
頂いたご説明だけでは裏が取れません。

回答No.2

Donotrely

No.1 Donotrelyです。

＞VPNはServer 2008の標準機能で入っているVPNを有効にしています。

標準はいいんですけど、色々ありますよ。
どれですか？

2008は使ったことありませんけど、
例えばIPsecでNATトラバーサル無しでいいなら、
ペイロードだけ暗号化するタイプもあります。その辺の状況を知りたいんです。

お礼

Donotrely様、
FWのログを見ていくと、RDP(3389)でブロックしていることがわかりました。つまり、表現が難しいのですが、RDP通信はVPNの内側でなく、VPNとは別にやっているようです。私がやりたいのは、RDP通信をVPNの中で行うというものでして、どのようにすればいいのか教えていただければと思います。

補足

Donotrely様、
早速の回答、感謝しております。
以下のサイトを参考にしております。英語で申し訳ございません。
http://www.buchatech.com/2010/06/how-to-setup-vpn-access-on-server-2008/

回答No.1

Donotrely

＞2008サーバにてRole機能からVPN設定を実施。

どういうVPNですか？

補足

(1)様、返信ありがとうございます。
VPNはServer 2008の標準機能で入っているVPNを有効にしています。