Problem: VPN mit L2TP und Preshared Key

[MarkCoolio 10]

Hallo zusammen,

bin leider mit der Suche hier im Board nicht viel weiter gekommen.

Habe eine Frage zu VPN:

Einwahl mit PPTP klappt einwandfrei. nun wollte ich das ganze auf L2TP umstellen, allerdings (erst einmal) nicht mit Zertifikaten, sondern mit Preshared Key.

Habe also auf dem "Rounting und Ras" den Haken bei "Benutzerdefinierte IPSec-Richtlinie..." gesetzt und den Key eingetragen.

Auf der Client-Seite (nicht Mitglied der AD-Domain!) habe ich in der VPN-Verbindung den typ von "Automatisch" auf "L2TP" gesetzt sowie den Preshared Key ebenfalls eingetragen.

Sonst habe ich keine Einstellung vorgenommen.

Nun klappt es nicht mit der Einwahl. Kann mir jemand auf die Sprünge helfen und sagen, was ich nun noch einstellen muss?

Würde mich über eine Antwort sehr freuen.

Danke und Gruß

Markus

[grizzly999 11]

Hallo und willkommen im Board :)

 

Ist das im LAN? Ich denke nicht, dann hätte es auf Anhieb geklappt. Da ist demnach ein Router daziwschen, der NAT macht, entweder auf Seiten des Servers oder des Clients?!

 

In dem Fall brauchst du NAT-T, was der 2003 Server von Haus aus unterstützt, XPSP2 auch, aber da muss man noch einen Registry Key setzen:

http://support.microsoft.com/default.aspx?scid=kb;en-us;885407

 

Für XPSP1 muss man einen Patch installieren:

http://support.microsoft.com/default.aspx?scid=kb;en-us;818043

 

Leitet dein Router auch ESP-Pakete weiter (Protokoll 50)?

 

P.S.: Bitte nubedingt angewöhnen, bei Problemen immer alles mit zu schildern, Umgebung, BS, Phänomene, Logmeldungen, etc ;)

 

 

grizzly999

[MarkCoolio 10]

Hallo,

 

danke erst einmal für die Antwort!

 

Den Registry-Wert hatte ich noch nicht gesetzt, habe es jetzt nachgeholt. Und - ja, es ist ein Router auf Seite des Servers dazwischen. ESP hab ich auf ihm schon freigegeben.

 

Sehe ich das richtig, dass ich auf Server und Client dann eine IPSec-Richtlinie aktivieren muss? Habe auf dem Server die "Server (Sicherheit anfordern)" und auf dem Client die "Client (nur Antwort)" Regel ausgewählt.

 

Nun bekomme ich beim Versuch, mich einzuloggen die Meldung

"Fehler 788: Der L2TP-Verbindungsversuch ist fehlgeschlagen, da die Sicherheitsstufe keine kompatiblen Parameter mit dem Remotecomputer aushandeln konnte."

 

Was nun? jemand eine Idee?

 

Dachte vom bloßen Lesen in den Boards, dass es nicht allzu schwer sein kann, L2TP zu nutzen, aber irgendein entscheidendes Puzzleteil scheint mir noch zu fehlen.

 

Danke und Gruß

Markus

 

P.S. Noch 'ne kleine Frage: benötige ich auf dem Router auch die Weiterleitung der AH-Pakete? Habs zwar zugelassen, aber frage mich ob es nötig ist, da Du oben nur ESP erwähnt hast.

[Hr_Rossi 10]

hi !

 

ok mal folgendes welches server hast du 2003 ?

wenn du mit 2003 arbeitest brauchst du keine ipsec-richtlinie !

eine ipsec richtlinie brauchst du nur wenn du entweder host to host machen willst oder 2000 verwendest mit pre-shared key !

 

Ich würde die Optionen Sicherheit usw.. auf default lassen !

 

Zu initieren der Verbindung vom client aus einfach den eingebauten VPN-Client nehmen !

 

 

lg

rossi

 

http://www.microsoft.com/windowsserver2003/technologies/networking/vpn/default.mspx

[MarkCoolio 10]

Leider habe ich (meiner Meinung nach) alles auf Standardwerten. Halt bis auf die 2 Preshared Keys auf Server 2003 und XP Seite.

 

So, die Richtlinie habe ich jetzt rausgenommen. Jetzt kommt die Fehlermeldung:

 

"Fehler 791: Der L2TP-Verbindungsversuch ist fehlgeschlagen, da keine Sicherheitsrichtlinie für die Verbindung gefunden wurde."

 

?? Kennst Du vielleicht 'nen Link, wo alle Schritte mal aufgelistet sind? Oder weisst Du, was das Problem sein könnte?

[IThome 10]

Ist es nicht so, dass in den Standard IPSEC Regeln Kerberos als einzige Authentifizierung eingetragen ist (auch auf dem Standalone-Client) ?

 

edit: Humbug, ist ja RRAS :rolleyes:

[Hr_Rossi 10]

 

?? Kennst Du vielleicht 'nen Link, wo alle Schritte mal aufgelistet sind? Oder weisst Du, was das Problem sein könnte?

 

hi

 

den kenn ich...

http://support.microsoft.com/default.aspx?scid=kb;de;323441

 

lg

rossi

[=BT=Viper 11]

Ich empfehle immer den Tunnel erstmal lokal zu testen. Dann kann man sicher sein, daß die Autentifizierung stimmt. Danach von extern. Wenn das dann nicht klappt, musst du die Ports und das Routing noch anpassen.

[mirki 10]

Wenn Du einen Router auf der Server Seite hast, dann muss der DNAT machen. Bei einer IPSEC Verbindung wo der header der Packete nicht verschlüsselt ist reicht es , so wie grizly999 schon geschrieben, das ESP Protokoll auf dem Router zu aktivieren. Ansonsten auch noch das AH Protokoll (51). Zudem braucht Deine Ipsec Verbindung auch noch den UDP500 port. Ist der denn auch weitergegeben worden ??

 

mirki

[grizzly999 11]

P.S. Noch 'ne kleine Frage: benötige ich auf dem Router auch die Weiterleitung der AH-Pakete? Habs zwar zugelassen, aber frage mich ob es nötig ist, da Du oben nur ESP erwähnt hast.

Nein, du benötigst am Router nur die Weiterleitung von ESP, UDP-Port 500 und UDP-Port 45000, sonst nichts (für L2TP/IPSec)

 

 

grizzly999

[IThome 10]

Nicht auch noch UDP 1701 ?

[mirki 10]

Nein, du benötigst am Router nur die Weiterleitung von ESP, UDP-Port 500 und UDP-Port 45000, sonst nichts (für L2TP/IPSec)

UDP 45000 kenne ich nur bei IDS und dem Spiel Splinter Cell.

 

@ grizzly999

Wofür soll denn der hier gut sein. ESP und UDP 500 reichen nach Ipsec spekifikationen doch aus, wenn NAT-T dazu kommt wird sowieso ein weiterer Port ausgehandelt, ist das der UDP45000 nach Microsoft spec. ?

[IThome 10]

UDP 45000 kenne ich nur bei IDS und dem Spiel Splinter Cell.

 

@ grizzly999

Wofür soll denn der hier gut sein. ESP und UDP 500 reichen nach Ipsec spekifikationen doch aus, wenn NAT-T dazu kommt wird sowieso ein Port ausgehandelt, ist das der UDP45000 ?

 

Bestimmt verschrieben , UDP 4500 - IPSec Nat Traversal

[mirki 10]

achso

[MarkCoolio 10]

Ihr habt ja Recht. Konzentriere mich momentan darauf, erst einmal lokal einen Zugriff hinzubekommen. Jedoch (bisher) ohne Erfolg.

Situation: mein Client (XP mit SP2) ist NICHT Mitglied der Domäne, daher halt auch Zugriff per Preshared Key gewünscht.

Ich weiss echt nicht, was ich vergessen habe. Gerade DAS sollte doch ohne Probleme laufen oder?

Also zusammenfassend habe ich folgendes getan, um von PPTP auf L2TP umzuswitchen:

1. Auf XP Client den Registry-Wert "AssumeUDPEncapsulationContextOnSendRule" auf 1 gesetzt

2. In den Eigenschaften des RRAS Servers 2003 die Option für den Preshared Key aktiviert und den Key eingetragen

3. In der Standard-RAS-Richtlinie auf dem IAS lediglich den Zugriff gewährt (steht ja standardmäßig auf verweigert), allerdings das ja schon für PPTP

4. In der VPN-Verbindung des Clients lediglich unter "IPSec-Einstellungen" den Preshared Key eingetragen, alles andere auf Standard gelassen (muß ich noch etwas spezielles einstellen?)

Ich sag nur Hiiiilfeee :)

Hoffe, einer hat noch den entscheidenden Tip parat. Wenn es einmal lokal läuft, denke ich dass es mit dem Router auch funktioniert (habe auf ihm sowie im RRAS selbst die Ports 500,1701,1723 und 4500 freigegeben, auf dem Router noch das GRE-Protokoll).

Danke schon mal....

Markus