WinXP: Verschlüsselung für ankommende Einwahl-Verbindungen

[TomDooley 10]

Hallo

 

Ich möchte bei meinem WinXP-PC für die ankommenden ISDN-Verbindungen eine starke Verschlüsselung erzwingen (MPPE 128-Bit).

 

Kann mir jemand sagen wie und wo ich das konfigurieren muss? Unter Win2003 und W2K wäre das kein Problem:

Erzwingen der Verwendung der stärksten Verschlüsselung für VPN-Clients

 

Danke

[weg5st0 10]

Dir ist schon bewusst, daß ISDN und VPN zwei paar Schuhe sind.

 

Ich glaube nicht, daß das geht.

[TomDooley 10]

Ich glaube nicht, daß das geht.

Für ankommende Verbindungen kann also keine Verschlüsselung verlangt werden?

 

Ich habe eben das Problem, dass bis vor ein paar Tagen eine Verschlüsselung verwendet wurde ("MPPE 128-Bit encrypted"). Jetzt aber plötzlich nicht mehr und ich habe nichts bewusst geändert!

[weg5st0 10]

Also MPPE (Microsoft Point-to-Point Encryption Protocol) hat dein XP Client für eingehende Verbindungen auf einer ISDN Schnittstelle gemacht?

 

Basic L2TP/IPSec Troubleshooting in Windows XP

Microsoft Point-to-Point Encryption Protocol (MPPE), which can be used to secure the PPP payload when the Extensible Authentication Protocol Transport Layer Security (EAP-TLS) or Microsoft Challenge-Handshake Authentication Protocol (MS-CHAP) is used, is negotiated by Windows when the L2TP peer (client or server) requests it.

 

MPPE uses the Rivest-Shamir-Adleman (RSA) RC4 stream encryption and either 40-bit, 56-bit, or 128-bit secret keys. MPPE keys are generated from the MS-CHAP and EAP-TLS user-authentication process. The remote access server can be configured to require data encryption. If the remote access client cannot perform the required encryption, the connection attempt is rejected and the following error message (#742) appears:

The remote computer does not support the required data encryption type.

IPSEC is negotiated before PPP starts; MPPE is negotiated after PPP starts. PPP runs over L2TP using IPSec. During the PPP authentication phase, a user name is sent to the Remote Access Server (RAS) component of the virtual private network (VPN) server by using the configured authentication protocol (MS-CHAP, for example). The RAS server then matches the user name and other call properties to a Remote Access Policy. Each policy has a profile, and RAS compares the conditions of the incoming call with the profile to determine whether to accept the connection request.

 

Also aufgrund der Infos in dem Artikel kann ich das immernoch nicht so recht glauben. Aber vielleicht hilft dir das ja weiter.

btw: wozu Mppe über eine ISDN Wählleitung?

[TomDooley 10]

Also MPPE (Microsoft Point-to-Point Encryption Protocol) hat dein XP Client für eingehende Verbindungen auf einer ISDN Schnittstelle gemacht?

 

Ja, offensichtlich. Nachfolgender Thread zeigt eine Aufzeichnung der Verbindung:

 

http://www.mcseboard.de/cisco-forum-allgemein-38/isdn-authentifizierung-analysieren-96889.html

 

es beschäftigt mich also schon länger :rolleyes:

 

btw: wozu Mppe über eine ISDN Wählleitung?

Ich benötige eine möglichst hohe Sicherheit.

[IThome 10]

Dann konfiguriere Rückruf ... Wer soll denn die ISDN-Verbindung abhören ?

[TomDooley 10]

Dann konfiguriere Rückruf ... Wer soll denn die ISDN-Verbindung abhören ?

Ok, vielleicht hast Du Recht und das ist tatsächlich nicht nötig. Trotzdem (und sorry wenn ich da immer nachbohre) frage ich mich vor allem:

 

Warum wurde bis vor ein paar Tagen eine 128-Bit Verschlüsselung verwendet (bzw. es wurde versucht eine zu verwenden --> siehe Aufzeichnung) und jetzt plötzlich nicht mehr? Ich konnte die Gegenseite schon überzeugen die 128-Bit Verschlüsselung auf ihrem Router zuzulassen. Jetzt nachdem das gemacht wurde und alles funktionierte, scheint es diese Verschlüsselung plötzlich nun doch nicht mehr zu gebrauchen?!?

[IThome 10]

Es verbindet sich ein Router mit der ISDN-Karte in der Windows-XP Maschine ? Der Haken "Alle Benutzer müssen ihre Kennwörter und Daten schützen" ist aber gesetzt oder ?

Ich habe bezüglich des Erzwingens der 128-Bit MPPE Verschlüsselung bei Eingehenden Verbindungen eines XP-Clients nichts gefunden (und vorher auch noch nie was davon gehört, was aber nichts heissen muss :D ), nur dass CHAP nicht unterstützt wird ...

Windows 2000 Professional and Windows XP Professional do not support incoming connections by using MD5 Challenge Handshake Authentication Protocol (CHAP) for Point-to-Point Protocol (PPP) authentication

Aber das hilft Dir auch nicht weiter ...

[TomDooley 10]

Ich habe bezüglich des Erzwingens der 128-Bit MPPE Verschlüsselung bei Eingehenden Verbindungen eines XP-Clients nichts gefunden

Das sehe ich nicht so! Ich denke die Lösung schreibst Du im Satz zuvor:

Der Haken "Alle Benutzer müssen ihre Kennwörter und Daten schützen" ist aber gesetzt oder ?

Dieser Haken ist momentan nicht gesetzt. Natürlich habe ich das sofort geändert und siehe da... :D :D die Verschlüsselung ist "MPPE 128-Bit encrypted"!

 

Grosses DANKE an alle geduldigen Helfer!

 

PS: Etwas muss ich zu meiner Verteidigung trotzdem noch anbringen. Erstens bin ich mir wirklich absolut sicher dass dieser Haken niemals gesetzt war (ok, das sagen vermutlich alle). Komischerweise hatte ich das selbe "Problem" aber auf mehreren XP-Systemen. D.h. immer war erst die Verschlüsselung aktiv und ohne ersichtilchen Grund plötzlich nicht mehr (mal die Möglichkeit ausgeschlossen dass ich während dem Nachtwandeln den Haken entfernt habe ohne mich am Morgen daran zu erinnern).

[IThome 10]

Das sehe ich nicht so! Ich denke die Lösung schreibst Du im Satz zuvor:

Dieser Haken ist momentan nicht gesetzt. Natürlich habe ich das sofort geändert und siehe da... :D :D die Verschlüsselung ist "MPPE 128-Bit encrypted"!

Ich bin mir aber nicht sicher, ob nicht auch eine 40-Bit Verschlüsselung erlaubt ist. Du hast nach einer erzwungenen 128-Bit Verschlüsselung gefragt ... ;) Die beiden einigen sich ja auf die höchstmögliche Verschlüsselung, was passiert, wenn der Client nur höchstens 40-Bit anbietet ?

[TomDooley 10]

Ok, ok, überzeugt :cool:

 

Wie gesagt kann ich das leider nicht testen da ich keinen Zugriff auf den Client habe. Aber mit dieser Wissenslücke kann ich leben :D Auf jeden Fall weiss ich jetzt wo die Verschlüsselung ein und ausgeschaltet wird. Und darum ging's mir vor allem.