VPN - Fehlerbehebung für L2TP VPN über IPSec

Dieser Artikel zeigt Ihnen, wie Sie bei Problemen mit Ihrem L2TP-VPN-over-IPSec-Tunnel mit der USG FLEX / ATP / VPN-Serie eine Fehlersuche durchführen können. Es wird gezeigt, was zu tun ist, wenn Sie einen falschen Benutzernamen oder ein falsches Kennwort haben, wenn Phase 1 und Phase 2 nicht übereinstimmen, wenn sich Subnetze überschneiden, wenn Sie das Gateway/die Firewall erreichen können, aber die LAN-Clients nicht, wenn die VPN-Verbindung blockiert ist und wenn Windows keine Verbindung zu L2TP herstellen kann.

Inhaltsübersicht

1) Gateway-Fehlerbehebung

1.1 Falscher Benutzername oder falsches Passwort

1.2 Unstimmigkeiten in Phase 1

1.3 Subnetz-Überschneidung

1.4 Gateway kann erreicht werden, aber nicht die LAN-Clients

1.5 Erlauben der VPN-Protokolle in den Firewall-Regeln

1.6 VPN in der IPsec_VPN-Zone enthalten

1.7 Auswählen der richtigen WAN-Verbindung

1.7 Andere Konfigurationsprobleme

2) Windows-Fehlerbehebung

2.1 Konfigurieren des PCs mit MS-CHAPv2

2.2 Beenden Sie den SecuExtender IPSec VPN Client

2.3 Stellen Sie sicher, dass der IKEEXT-Dienst ausgeführt wird

1) Gateway-Fehlerbehebung

Im Folgenden finden Sie Informationen zur Fehlerbehebung bei allgemeinen Problemen, die wir bei der Einrichtung des L2TP over IPSec VPN festgestellt haben.

1.1 Falscher Benutzername oder falsches Passwort

Wenn Sie [alert]-Protokollmeldungen wie unten sehen, überprüfen Sie bitte die Firewall L2TP Allowed User oder User/Group Settings. Die Einstellungen des Client-Gerätes müssen den gleichen Benutzernamen und das gleiche Passwort verwenden, wie in der Firewall konfiguriert, um das L2TP-VPN aufzubauen.

1.2 Unstimmigkeiten in Phase 1

Wenn Sie eine [info]- oder [error]-Protokollmeldung wie unten sehen, überprüfen Sie bitte die Phase-1-Einstellungen der Firewall. Die Einstellungen des Client-Geräts müssen denselben Pre-Shared Key verwenden, der in der Firewall konfiguriert ist, um die IKE SA einzurichten.

1.2 Phase-2-Fehlanpassung

Wenn Sie sehen, dass der Phase 1 IKE SA-Prozess abgeschlossen wurde, aber immer noch die unten stehende [info]-Protokollmeldung erhalten, überprüfen Sie bitte die Phase 2-Einstellungen der Firewall. Die Firewall-Einheit muss die richtige lokale Richtlinie einstellen, um die IKE SA einzurichten.

1.3 Subnetz-Überlappung

Wenn Sie VPNs konfigurieren, müssen Sie sicherstellen, dass der L2TP-Adresspool nicht mit bestehenden LAN1-, LAN2-, DMZ- oder WLAN-Zonen kollidiert, selbst wenn diese nicht in Gebrauch sind.

1.4 Gateway kann erreicht werden, aber nicht die LAN-Clients

Wenn Sie auf Geräte im lokalen Netzwerk nicht zugreifen können, überprüfen Sie, ob die Geräte im lokalen Netzwerk die IP-Adresse des USG als Standardgateway eingestellt haben, um den L2TP-Tunnel zu nutzen.

1.5 Erlauben Sie die VPN-Protokolle in den Firewall-Regeln

Stellen Sie sicher, dass die Sicherheitsrichtlinien der Firewall-Einheiten IPSec-VPN-Verkehr zulassen. Stellen Sie sicher, dass Sie die folgenden Ports für Ihren IPsec-Verkehr zugelassen haben (auch vom WAN zu Zywall): IKE verwendet UDP-Port 500, NAT-T verwendet UDP-Port 4500, ESP verwendet IP-Protokoll 50 und AH verwendet IP-Protokoll 51.

1.6 VPN in der IPsec_VPN-Zone

Überprüfen Sie, ob die Zone in der Regel für die VPN-Verbindung richtig eingestellt ist. Diese sollte auf IPSec_VPN Zone eingestellt sein, damit die Sicherheitsrichtlinien korrekt angewendet werden.

1.7 Auswählen der richtigen WAN-Verbindung

- Wenn Sie eine PPPoE-Verbindung verwenden, stellen Sie sicher, dass Sie dieselbe konfigurieren: "Konfiguration > VPN > IPSec VPN > VPN-Gateway > WIZ_L2TP_VPN", wobei Meine Adresse als "wan_ppp" in Schnittstelle ausgewählt werden sollte - siehe den Schnappschuss unten;

1.8 Andere Konfigurationsprobleme

Andere häufige Konfigurationsprobleme werden hier beschrieben:

• • Können L2TP und der VPN IPSec-Client auf demselben Rechner verwendet werden?
  • IPsec VPN (IKEv1) - typische Fehlerprotokollmeldungen

2) Windows-Fehlerbehebung

2.1 Konfigurieren Sie Ihren PC mit MS-CHAPv2

Navigieren Sie unter Windows 10 zu Einstellungen (Systemsteuerung) -> Netzwerk & Internet -> Adaptereinstellungen ändern

Gehen Sie zu Sicherheit und wählen Sie dann "Diese Protokolle zulassen" und wählen Sie "Unverschlüsseltes Passwort (PAP) und Microsoft CHAP Version 2 (MS-CHAPv2)

2.2 Beenden Sie den SecuExtender IPSec VPN Client

Wenn sich die Verbindung gar nicht öffnet und Sie in den Protokollen der Firewall nichts sehen können. Stellen Sie sicher, dass der IPsec VPN Client nicht im Hintergrund läuft, da dies die eingebaute L2TP-Verbindung stört.

Wenn er im Hintergrund läuft, schließen Sie bitte die Anwendung und versuchen Sie erneut, eine Verbindung herzustellen.

2.3 Stellen Sie sicher, dass der IKEEXT-Dienst läuft

Wenn Sie von Ihrem PC aus keine Verbindung herstellen können, aber von anderen Geräten aus, liegt das möglicherweise daran, dass der IKE-Dienst nicht im Hintergrund läuft.

Bitte navigieren Sie zum Task-Manager, indem Sie auf ctrl-alt-del und dann auf Task-Manager klicken.

Wenden Sie sich an unser Support-Team, wenn Sie ein anderes Problem haben, das hier nicht behandelt wurde.