Важно известие: |
Тази статия ще покаже как да отстраните неизправностите във вашия L2TP VPN през IPSec тунел с помощта на USG FLEX / ATP / VPN Series, ако имате проблеми. Тя показва какво да правите, ако имате неправилно потребителско име или парола, несъответствие на фаза 1, несъответствие на фаза 2, припокриване на подмрежи, можете да достигнете до шлюз/защитна стена, но не и до LAN клиенти, когато VPN връзката е блокирана и ако Windows не може да се свърже с L2TP.
Таблица на съдържанието
1) Отстраняване на проблеми с шлюза
1.1 Неправилно потребителско име или парола
1.2 Несъответствие на фаза 1
1.3 Припокриване на подмрежи
1.4 Може да се достигне до шлюза, но не и до клиентите на LAN
1.5 Разрешаване на VPN протоколите в правилата на защитната стена
1.6 Включване на VPN в зоната IPsec_VPN
1.7 Избор на правилна WAN връзка
1.7 Други проблеми при конфигурирането
2) Отстраняване на неизправности в Windows
2.1 Конфигуриране на вашия компютър с MS-CHAPv2
2.2 Излизане от SecuExtender IPSec VPN клиент
2.3 Уверете се, че услугата IKEEXT е стартирана
1) Отстраняване на проблеми сшлюза
По-долу е представена информация за това как да отстраняваме често срещани проблеми, които сме установили при настройката на L2TP през IPSec VPN.
1.1 Неправилно потребителско име или парола
Ако виждате съобщения в дневника [alert] като посочените по-долу, моля, проверете настройките на защитната стена L2TP Allowed User или User/Group Settings. Настройките на клиентското устройство трябва да използват същите Потребителско име и Парола, които са конфигурирани в защитната стена, за да се установи L2TP VPN
1.2 Несъответствие на фаза 1
Ако видите [info] или [error] съобщение в дневника като това по-долу, моля, проверете настройките на Фаза 1 на защитната стена. Настройките на клиентското устройство трябва да използват същия Pre-Shared Key, както е конфигуриран в защитната стена, за да се установи IKE SA.
1.2 Несъответствие на Фаза 2
Ако видите, че процесът на Фаза 1 на IKE SA е завършен, но все още получавате [info] съобщение в дневника, както е посочено по-долу, моля, проверете настройките на Фаза 2 на защитната стена. Устройството за защитна стена трябва да зададе правилната локална политика, за да се установи IKE SA.
1.3 Припокриване на подмрежи
Когато конфигурирате VPN мрежи, трябва да се уверите, че L2TP адресният пул не влиза в конфликт със съществуващи зони LAN1, LAN2, DMZ или WLAN, дори ако те не се използват.
1.4 Може да се достигне до шлюза, но не и до клиентите на LAN
Ако нямате достъп до устройства в локалната мрежа, проверете дали устройствата в локалната мрежа са задали IP адреса на USG като шлюз по подразбиране, за да използват L2TP тунела.
1.5 Разрешете VPN протоколите в правилата на защитната стена
Уверете се, че правилата за сигурност на устройствата за защитна стена позволяват IPSec VPN трафика. Уверете се, че сте разрешили следните портове за вашия IPsec трафик (включително от WAN към Zywall): IKE използва UDP порт 500, NAT-T използва UDP порт 4500, ESP използва IP протокол 50 и AH използва IP протокол 51.
1.6 VPN, включени в зоната IPsec_VPN
Проверете дали Зоната е зададена правилно в правилото за VPN връзка. То трябва да бъде настроено на IPSec_VPN Zone, за да се прилагат правилно политиките за сигурност.
1.7 Избор на правилна WAN връзка
- Ако използвате PPPoE връзка, тогава се уверете, че сте конфигурирали същата: "Configuration > VPN > IPSec VPN > VPN Gateway > WIZ_L2TP_VPN", където My address трябва да бъде избран като "wan_ppp" в Interface (Интерфейс) - вижте снимката по-долу;
1.8 Други проблеми с конфигурацията
Други често срещани проблеми с конфигурацията са описани подробно тук:
2) Отстраняване на неизправности в Windows
2.1 Конфигуриране на вашия компютър с MS-CHAPv2
В Windows 10 отидете в Настройки (Контролен панел) -> Мрежа и интернет -> Промяна на настройките на адаптера
Отидете на Security (Сигурност), след което изберете "Allow these protocols" (Разрешаване на тези протоколи) и изберете "Unencrypted password (PAP) and Microsoft CHAP Version 2 (MS-CHAPv2) (Некриптирана парола (PAP) и Microsoft CHAP Version 2 (MS-CHAPv2))
2.2 Прекратяване на SecuExtender IPSec VPN клиент
Ако връзката дори не се отваря и не можете да видите нищо в регистрите на защитната стена. Уверете се, че IPsec VPN клиентът не работи във фонов режим, тъй като това пречи на вградената L2TP връзка.
Ако той работи във фонов режим, моля, затворете приложението и опитайте да се свържете отново.
2.3 Уверете се, че услугата IKEEXT е стартирана
Ако не можете да се свържете от компютъра си, но от други устройства, това може да се дължи на факта, че услугата IKE не работи във фонов режим.
Моля, преминете към Мениджър на задачите, като щракнете върху ctrl-alt-del и след това щракнете върху Мениджър на задачите.
Свържете се с нашия екип за поддръжка, ако имате друг вид проблем, който не е разгледан тук.