L2TP og IPsec

Læs denne

http://www.microsoft.com/windows2000/server/evaluation/news/bulletins/l2tpclient.asp

IPSec er relativt let at sætte op

Jeg fandt lidt mere læsestof og materiale

http://www.microsoft.com/windows2000/techinfo/howitworks/communications/remoteaccess/l2tpclientadmin.asp
http://www.microsoft.com/windows2000/techinfo/howitworks/communications/remoteaccess/l2tpclientfaq.asp
http://www.microsoft.com/technet/prodtechnol/windowsserver2003/library/ServerHelp/fe8e1d66-959c-476e-8b8f-6b44d511c825.mspx

Din L2TP tunnel er IPSEC krypteret, du behøves ikke at foretage dig yderligere.

Preetz > okay, men hvis jeg kobler op med L2TP klienten i Longhorn og vælger at se stauts for forbindelsen, står der intet om encryption. Det gør der derimod hvis man kobler op med PPTP. Der er forbindelsen krypteret med MPPE 128. Problemet er at jeg ikke kan vælge 3DES i RRA når jeg laver en policy.

Prøv at vælge "Details" fanebladet under Status på en oprettet forbindelse. På min XP klient kan jeg se krypteringen der.

Alternativt kan du bruge IP Security Monitor mmc'en, den vil vise alle detaljer om din L2TP tunnel.

Der står intet om kryptering. Jeg fulgte en af guidene som bufferzone postede hvor man kunne vælge hvilken kryptering man ville have, men jeg har ikke mulighed for at vælge f.eks. 3DES kun MPPE.

Hvor har du kigget i IP Security Monitor ?

Krypteringen på en L2TP forbindelse bliver bestemt af en Security Association, ikke af klienten.

Nedenstående er fra RRAS hjælpefilen:
Policy Encryption Level: Select the Strongest encryption (IPSec triple DES or MPPE 128-bit) check box, and then clear all other check boxes.

På min 2003 server har jeg heller ikke mulighed for at vælge 3DES, men kun 128 bit MPPE, når forbindelsen er oprettet viser min SA dog 3DES.
Jeg vil tro at "Strongest Encryption" på en RRAS policy, betyder 128bit MPPE for en PPTP forbindelse, og 3DES for en L2TP.

Forsøg derfor lige at undersøge den SA igen.

Mvh

Nicholas

Selvom jeg har defineret en policy i RRA med kryptering, bruger den tilsyneladende ikke alligevel!? Jeg har defineret nogle policy conditions som matcher en VPN forbindelse, men hvis jeg sætter den til "Deny remote access permission" kan den alligevel koble op.

Du skal rette i AD'en:

"Dial-in" fanebladet på dit bruger object. "Control access through Remote Access Policy" skal være slået til. "Allow Access" vil override evt. polices.

Det har jeg gjort nu, men jeg kan stadig ikke se noget med kryptering under status for forbindelsen :(

Men nu virker det med policy'en hvertfald :)

Så langt så godt.

Har du brugt den mmc jeg snakkede om?

Det "sjove" er at hvis man sætter et hak i "No encryption" i policy'en, hopper klienten af og brokker sig over den manglende kryptering (Eror 742). Hvis man på klienten sætter den til at kræve stærk krypteringen kommer den også med en error 742

De 2 settings på hhv server og klient skal sikkert matche hinanden.

Nu har jeg prøvet security monitoren og tilsyneladende ser det ud som om der alligevel er kryptering på (eller hvad?). http://knakkergaard.org/ekspert/win2003.jpg

Det skal lige siges at 192.168.0.18 er longhorn-klienten jeg kobler op fra.

Den er krypteret, 3DES over tunnelen.

At du ikke kan se det i klientens status, kan måske skyldes at Longhorn ikke helt skarp til VPN endnu :-)

hehe, ja det kan være.

Jeg takker mange gange for hjælpen!!

Var da så lidt.