VPN - Отстраняване на проблеми с L2TP VPN през IPSec

Тази статия ще покаже как да отстраните проблеми с вашия L2TP VPN през IPSec тунел, използвайки USG FLEX / ATP / VPN серия, ако имате затруднения. Тук е описано какво да направите при неправилно потребителско име или парола, несъответствие на фаза 1, несъответствие на фаза 2, припокриване на подмрежи, достигане до шлюза/файъруола, но не и до LAN клиентите, когато VPN връзката е блокирана и ако Windows не може да се свърже с L2TP.

Отстраняване на проблеми с шлюза

По-долу е предоставена информация как да отстраните често срещани проблеми, които сме идентифицирали при настройването на L2TP през IPSec VPN.

1.0 Неправилно потребителско име или парола

Ако виждате [alert] съобщения в логовете като по-долу, моля, проверете настройките за разрешени потребители L2TP във Firewall или настройките на Потребител/Група. Настройките на клиентското устройство трябва да използват същото потребителско име и парола, както са конфигурирани във Firewall за установяване на L2TP VPN

1.1 Несъответствие на фаза 1

Ако виждате [info] или [error] съобщения в логовете като по-долу, моля, проверете настройките на Фаза 1 във Firewall. Настройките на клиентското устройство трябва да използват същия предварително споделен ключ (Pre-Shared Key), както е конфигуриран във Firewall за установяване на IKE SA.

1.2 Несъответствие на фаза 2

Ако процесът на IKE SA за Фаза 1 е завършен, но все още получавате [info] съобщения в логовете като по-долу, моля, проверете настройките на Фаза 2 във Firewall. Устройството трябва да зададе правилната Локална политика за установяване на IKE SA.

1.3 Припокриване на подмрежи

При конфигуриране на VPN трябва да се уверите, че L2TP адресният пул не се припокрива с вече съществуващи LAN1, LAN2, DMZ или WLAN зони, дори ако те не се използват.

1.4 Може да достигнете до шлюза, но не и до LAN клиентите

Ако не можете да достъпите устройства в локалната мрежа, проверете дали устройствата в локалната мрежа са настроили IP адреса на USG като техен подразбиращ се шлюз, за да използват L2TP тунела.

1.5 Разрешаване на VPN протоколите в правилата на Firewall

Уверете се, че сигурностните политики на Firewall позволяват IPSec VPN трафик. Уверете се, че сте разрешили следните портове за вашия IPsec трафик (включително от WAN към Zywall): IKE използва UDP порт 500, NAT-T използва UDP порт 4500, ESP използва IP протокол 50, а AH използва IP протокол 51.

1.6 VPN включен в зоната IPsec_VPN

Проверете дали зоната е правилно зададена в правилото за VPN връзка. Тя трябва да бъде зададена на IPSec_VPN зона, за да се приложат правилно сигурностните политики.

1.7 Избор на правилната WAN връзка

- Ако използвате PPPoE връзка, уверете се, че сте конфигурирали същото: "Configuration > VPN > IPSec VPN > VPN Gateway > WIZ_L2TP_VPN", където My address трябва да бъде избран като “wan_ppp” в Interface - вижте снимката по-долу;

1.8 Други конфигурационни проблеми

Други често срещани конфигурационни проблеми са описани тук:

• IPsec VPN (IKEv1) - типични съобщения за грешки в логовете

Отстраняване на проблеми в Windows - Конфигуриране на вашия компютър с MS-CHAPv2

В Windows 10 отидете в Настройки (Контролен панел) -> Мрежа и Интернет -> Промяна на настройките на адаптера

Отидете в раздел Сигурност и след това изберете "Разреши тези протоколи" и маркирайте "Нешифровани пароли (PAP) и Microsoft CHAP версия 2 (MS-CHAPv2)"

2.2 Затваряне на SecuExtender IPSec VPN клиента

Ако връзката дори не се отваря и не виждате нищо в логовете на firewall-а, уверете се, че IPsec VPN клиентът не работи във фонов режим, тъй като това пречи на вградената L2TP връзка.

Ако работи във фонов режим, затворете приложението и опитайте да се свържете отново.

2.3 Уверете се, че услугата IKEEXT работи

Ако не можете да се свържете от вашия компютър, но от други устройства можете, това може да се дължи на това, че услугата IKE не работи във фонов режим.

Моля, отворете Диспечера на задачите, като натиснете ctrl-alt-del и след това изберете диспечер на задачите.

Свържете се с нашия екип за поддръжка, ако имате друг тип проблем, който не е разгледан тук.