Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 12 replies
  • Subscribers 1 subscriber
  • Views 11209 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

DNS not working in PPTP VPN

wyocowboy
I am running v7.403 and can't get DNS to work on a PPTP VPN. While I have the VPN connection active, I can ping the internal DNS server  by its address of 192.168.0.3 but not by name. I am using the default network address of 10.242.1.x for the VPN pool.

This DNS server is configured in Remote Access - Advanced - DNS, and 
ipconfig /all on the vpn client shows 192.168.0.3 = DNS1.

Is there something else I need to set up?


This thread was automatically locked due to age.
Parents Reply
  • 0 in reply to BAlfson
    Are there any relevant packets block in the packet filter live log?


    No, only port 137 UDP stuff. In the meantime, I have connected Wireshark on the DNS server side of ASG and I can see the pings come through when I use the DNS server IP address, showing the assigned VPN pool address as the source.

    Pinging it by name reveals that the DNS request is not being forwarded/relayed to the DNS server by ASG.
Children
  • 0 in reply to wyocowboy
    Strange.  Is there anything in the Intrusion Protection log?
  • 0 in reply to BAlfson
    Strange.  Is there anything in the Intrusion Protection log?


    No, nothing.
  • 0 in reply to wyocowboy
    What happens with NSLOOKUP when you tell it to use your dns server?

    Barry
  • 0 in reply to BarryG
    What happens with NSLOOKUP when you tell it to use your dns server?

    Barry


    Assuming you mean trying with the pptp client, 

    "Can't find server name for address 192.168.0.3: Timed out"
  • 0 in reply to wyocowboy
    FWIW, I changed over to L2TP over IPsec and am seeing the same issue: I can ping the DNS server by IP address, but ASG does not forward DNS requests to the DNS server.
  • 0 in reply to wyocowboy
    Since no dropped DNS packets were showing in the packet filter live log, I ran tcpdump on the ASG, tracing on interface ipsec0 shows that the DNS standard query A from the L2TP client is seen by the ipsec0 interface, and that the client tries both DNS servers that are configured in Remote Access - Advanced.

    These are the same servers that are configured in Network - DNS - Forwarders, and there are no allowed networks in the Network - DNS - Global, since my DNS servers are running Active Directory. According to the text on that tab, this should prevent clients from using the ASG as a recursive DNS resolver.

    Does anyone out there have any ideas why ASG is not forwarding DNS requests for the remote access client?
  • 0 in reply to wyocowboy
    What packetfilter rules did you setup for the VPN pool?

    Barry
  • 0 in reply to wyocowboy
    Ok, I found the problem. Turns out there is one bug and one quirk in Windows XP (and probably other versions of Windows) that pertains to VPN connections. The bug is that even if you put the Remote Access connections at the top of the Adapters & Bindings in Network Connections - Advanced - Advanced Settings, XP will still use the LAN DNS server ahead of the DNS servers configured for the VPN connection. Even though I did the registry hack described in MS KB311218, this behavior was not corrected.

    However, the real issue was that I could not resolve internal network names because DNS on the client could not do a reverse lookup on the VPN DNS server names, which were internal class C private addresses. This is because XP does not like it when the VPN adapter IP address is not in the same subnet as the VPN DNS servers.

    I fixed this by creating a new VPN address pool with an address of 192.168.0.220/32 (I will expand it beyond 2 addresses later) to put the VPN adapter into the same subnet as the 192.168.0.3 DNS server.

    Although it still uses the LAN DNS server first when doing an nslookup, it immediately resolves the internal names as soon as it gives up on the ISP's DNS server.