VPN - Fejlfinding af L2TP VPN over IPSec

Denne artikel viser, hvordan du fejlfinder din L2TP VPN over IPSec tunnel ved brug af USG FLEX / ATP / VPN Series, hvis du har problemer. Den viser, hvad du skal gøre, hvis du har forkert brugernavn eller adgangskode, fase 1 mismatch, fase 2 mismatch, subnet overlap, kan nå gateway/firewall men ikke LAN-klienter, når VPN-forbindelsen er blokeret, og hvis Windows ikke kan oprette forbindelse til L2TP.

Gateway Fejlfinding

Følgende giver information om, hvordan man fejlfinder almindelige problemer, som vi har identificeret under opsætning af L2TP over IPSec VPN.

1.0 Forkert brugernavn eller adgangskode

Hvis du ser [alert] logbeskeder som nedenfor, bedes du kontrollere Firewall L2TP Tilladte Brugere eller Bruger/Gruppe Indstillinger. Klientens enhedsindstillinger skal bruge samme Brugernavn og Adgangskode som konfigureret i Firewall for at oprette L2TP VPN

1.1 Fase 1 Mismatch

Hvis du ser [info] eller [error] logbeskeder som nedenfor, bedes du kontrollere Firewallens Fase 1 Indstillinger. Klientens enhedsindstillinger skal bruge samme Forhåndsdelte Nøgle som konfigureret i Firewall for at etablere IKE SA.

1.2 Fase 2 Mismatch

Hvis du kan se, at Fase 1 IKE SA processen er fuldført, men stadig får [info] logbeskeder som nedenfor, bedes du kontrollere Firewallens Fase 2 Indstillinger. Firewall-enheden skal sætte den korrekte Lokal Politik for at etablere IKE SA.

1.3 Subnet Overlap

Når du konfigurerer VPN'er, skal du sikre, at L2TP Adresspoolen ikke konflikter med eksisterende LAN1, LAN2, DMZ eller WLAN zoner, selvom de ikke er i brug.

1.4 Kan nå Gateway men ikke LAN-klienter

Hvis du ikke kan få adgang til enheder i det lokale netværk, skal du kontrollere, at enhederne i det lokale netværk har sat USG’s IP som deres standardgateway for at bruge L2TP tunnelen.

1.5 Tillad VPN-protokollerne i Firewall-reglerne

Sørg for, at Firewall-enhedernes sikkerhedspolitikker tillader IPSec VPN trafik. Sørg for, at du har tilladt følgende porte for din IPsec trafik (inklusive fra WAN til Zywall): IKE bruger UDP port 500, NAT-T bruger UDP port 4500, ESP bruger IP protokol 50 og AH bruger IP protokol 51.

1.6 VPN inkluderet i IPsec_VPN zonen

Bekræft, at zonen er sat korrekt i VPN-forbindelsesreglen. Dette skal sættes til IPSec_VPN Zone, så sikkerhedspolitikker anvendes korrekt.

1.7 Vælg den korrekte WAN-forbindelse

- Hvis du bruger PPPoE-forbindelse, skal du sikre dig at konfigurere det samme: "Konfiguration > VPN > IPSec VPN > VPN Gateway > WIZ_L2TP_VPN", hvor Min adresse skal vælges som “wan_ppp” under Interface - se billedet nedenfor;

1.8 Andre konfigurationsproblemer

Andre almindelige konfigurationsproblemer er beskrevet her:

• IPsec VPN (IKEv1) - typiske fejl logbeskeder

Windows Fejlfinding - Konfigurering af din PC med MS-CHAPv2

På Windows 10, gå til Indstillinger (Kontrolpanel) -> Netværk & Internet -> Skift adapterindstillinger

Gå til Sikkerhed og vælg derefter "Tillad disse protokoller" og vælg "Ukrypteret adgangskode (PAP) og Microsoft CHAP Version 2 (MS-CHAPv2)"

2.2 Afslut SecuExtender IPSec VPN Client

Hvis forbindelsen slet ikke åbner, og du ikke kan se noget i firewallens logs, skal du sikre dig, at IPsec VPN Client ikke kører i baggrunden, da dette forstyrrer den indbyggede L2TP forbindelse.

Hvis den kører i baggrunden, skal du lukke applikationen og prøve at oprette forbindelse igen.

2.3 Sørg for, at IKEEXT tjenesten kører

Hvis du ikke kan oprette forbindelse fra din PC, men fra andre enheder kan, kan det skyldes, at IKE-tjenesten ikke kører i baggrunden.

Gå til Jobliste ved at trykke ctrl-alt-del og klik derefter på Jobliste.

Kontakt venligst vores Supportteam, hvis du oplever en anden type problem, som ikke er dækket her.