Avis important : |
Cet article montre comment dépanner votre tunnel VPN L2TP sur IPSec en utilisant la série USG FLEX / ATP / VPN si vous avez des problèmes. Il montre ce qu'il faut faire en cas de nom d'utilisateur ou de mot de passe incorrect, de non-concordance de phase 1, de non-concordance de phase 2, de chevauchement de sous-réseau, de possibilité d'atteindre la passerelle/le pare-feu mais pas les clients du réseau local, lorsque la connexion VPN est bloquée et si Windows ne peut pas se connecter au L2TP.
Table des matières
1) Dépannage de la passerelle
1.1 Nom d'utilisateur ou mot de passe incorrect
1.2 Inadéquation de la phase 1
1.3 Chevauchement de sous-réseau
1.4 Possibilité d'atteindre la passerelle mais pas les clients du réseau local
1.5 Autoriser les protocoles VPN dans les règles du pare-feu
1.6 VPN inclus dans la zone IPsec_VPN
1.7 Sélection de la bonne connexion WAN
1.7 Autres problèmes de configuration
2) Dépannage Windows
2.1 Configuration de votre PC avec MS-CHAPv2
2.2 Quitter SecuExtender IPSec VPN Client
2.3 Assurez-vous que le service IKEEXT est en cours d'exécution.
1) Dépannage dela passerelle
Vous trouverez ci-dessous des informations sur la manière de résoudre les problèmes courants que nous avons identifiés lors de la mise en place du VPN L2TP sur IPSec.
1.1 Nom d'utilisateur ou mot de passe incorrect
Si vous voyez des messages de journal [alerte] tels que ceux ci-dessous, vérifiez les paramètres de l'utilisateur ou de l'utilisateur/groupe autorisé du L2TP du pare-feu. Les paramètres du périphérique client doivent utiliser le même nom d'utilisateur et le même mot de passe que ceux configurés dans le pare-feu pour établir le VPN L2TP.
1.2 Inadéquation de la phase 1
Si vous voyez un message [info] ou [error] comme ci-dessous, veuillez vérifier les paramètres de la phase 1 du pare-feu. Les paramètres de l'appareil client doivent utiliser la même clé prépartagée que celle configurée dans le pare-feu pour établir la SA IKE.
1.2 Inadéquation de la phase 2
Si vous constatez que le processus IKE SA de la phase 1 est terminé mais que vous obtenez toujours le message [info] ci-dessous, vérifiez les paramètres de la phase 2 du pare-feu. Le pare-feu doit définir la politique locale correcte pour établir la SA IKE.
1.3 Chevauchement de sous-réseaux
Lorsque vous configurez des VPN, vous devez vous assurer que le pool d'adresses L2TP n'entre pas en conflit avec les zones LAN1, LAN2, DMZ ou WLAN existantes, même si elles ne sont pas utilisées.
1.4 Possibilité d'accéder à la passerelle mais pas aux clients du réseau local
Si vous ne pouvez pas accéder aux dispositifs du réseau local, vérifiez que les dispositifs du réseau local définissent l'IP de l'USG comme leur passerelle par défaut pour utiliser le tunnel L2TP.
1.5 Autoriser les protocoles VPN dans les règles du pare-feu
Assurez-vous que les règles de sécurité des unités de pare-feu autorisent le trafic VPN IPSec. Assurez-vous que vous avez autorisé les ports suivants pour votre trafic IPsec (y compris du WAN vers Zywall) : IKE utilise le port UDP 500, NAT-T utilise le port UDP 4500, ESP utilise le protocole IP 50 et AH utilise le protocole IP 51.
1.6 VPN inclus dans la zone IPsec_VPN
Vérifiez que la zone est correctement définie dans la règle de connexion VPN. Elle doit être définie sur la zone IPSec_VPN afin que les politiques de sécurité soient appliquées correctement.
1.7 Sélection de la bonne connexion WAN
- Si vous utilisez une connexion PPPoE, assurez-vous de configurer la même chose : "Configuration > VPN > IPSec VPN > VPN Gateway > WIZ_L2TP_VPN" où Mon adresse doit être sélectionnée comme "wan_ppp" dans Interface - voir l'image ci-dessous ;
1.8 Autres problèmes de configuration
D'autres problèmes de configuration courants sont détaillés ici :
2) Dépannage Windows
2.1 Configuration de votre PC avec MS-CHAPv2
Sous Windows 10, naviguez vers Paramètres (Panneau de configuration) -> Réseau et Internet -> Modifier les paramètres de l'adaptateur.
Allez dans Sécurité puis choisissez "Autoriser ces protocoles" et sélectionnez "Mot de passe non chiffré (PAP) et Microsoft CHAP Version 2 (MS-CHAPv2)".
2.2 Quitter le client VPN IPSec de SecuExtender
Si la connexion ne s'ouvre même pas et que vous ne voyez rien dans les journaux du pare-feu. Assurez-vous que le client VPN IPsec ne tourne pas en arrière-plan car cela interfère avec la connexion L2TP intégrée.
Si c'est le cas, fermez l'application et essayez de vous connecter à nouveau.
2.3 Assurez-vous que le service IKEEXT est en cours d'exécution.
Si vous ne pouvez pas vous connecter à partir de votre PC, mais à partir d'autres appareils, cela peut être dû au fait que le service IKE ne fonctionne pas en arrière-plan.
Veuillez accéder au gestionnaire des tâches en cliquant sur ctrl-alt-del, puis sur gestionnaire des tâches.
Contactez notre équipe d'assistance si vous rencontrez un autre type de problème qui n'est pas abordé ici.