Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 3 replies
  • Subscribers 27 subscribers
  • Views 8749 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

L2TP mit Zertifikat und RADIUS

Stefan Becker1

Hallo zusammen,

folgende Komponenten habe ich im Einsatz UTM Firmware 9.502-4, Windows Server 2012 R2 mit NPS Rolle und Windows 10 Client.

Ich habe auf der UTM das Zertifikat generiert unter Remote Access und Certificate Management mit dem Namen VPN. Dann habe ich den L2TP over IPSec konfiguriert. Authentication Type habe ich X.509 ausgewählt und das neu generierte Zertifikat. Authentication via habe ich dann den RADIUS ausgewählt. Dieser ist auch konfiguriert.

Das Zertifikat VPN habe ich heruntergeladen und auf dem Windows 10 Client importiert. Bei der VPN Konfiguration kann ich kein explizites Zertifikat auswählen. Wie wählt Windows hier das korrekte aus? Im Log habe ich dann gesehen, dass es das richtige ist. Sehe ich das auch richtig, das jeder User das gleiche Zertifikat erhält? Die CA auch, damit die Zertifikatskette gültig ist.

 

Wenn ich nun eine Verbindung aufbauen will, probiert Windows ca. 1 Minute lange die Verbindung aufzubauen. Danach erhalte ich die Fehlermeldung "Der L2TP-Verbindungsversuch ist fehlgeschlagen, da ein Verarbeitungsfehler während der ersten Sicherheitsaushandlung mit dem Remotecomputer aufgetreten ist."

Im Log der UTM finde ich folgendes:

[..]
2017:08:04-10:40:12 vpn pluto[5409]: | certificate is valid
2017:08:04-10:40:12 vpn pluto[5409]: | authcert list locked by 'verify_x509cert'
2017:08:04-10:40:12 vpn pluto[5409]: | issuer cacert found
[..]

2017:08:04-10:40:12 vpn pluto[5409]: | certificate signature is valid
2017:08:04-10:40:12 vpn pluto[5409]: | authcert list unlocked by 'verify_x509cert'
2017:08:04-10:40:12 vpn pluto[5409]: | reached self-signed root ca with a path length of 0
2017:08:04-10:40:12 vpn pluto[5409]: | Public key validated
2017:08:04-10:40:12 vpn pluto[5409]: | Notify Message Type: AUTHENTICATION_FAILED
2017:08:04-10:40:12 vpn pluto[5409]: | removing 12 bytes of padding
2017:08:04-10:40:12 vpn pluto[5409]: "L_for admin"[11] 80.187.102.188:2710 #8: ignoring informational payload, type AUTHENTICATION_FAILED

[..]

Im AD sehe ich dann auch einen Verbindungsversuch, aber von Domäne\Admin und die NAS-ID ist webadmin. Es müsste laut der Sophos Anleitung aber doch l2tp sein.

Habe ich hier ein grundsätzliches Problem oder mache ich etwas falsch?

Besten Dank und schöne Grüße,

Stefan



This thread was automatically locked due to age.
Parents
  • 0

    Hallo Stefan,

    (Sorry, my German-speaking brain isn't creating thoughts at the moment. [:(])

    It's not clear from your description how you generated the users and certs in the UTM.  When I've done this, I've not used Locally Authenticated users, but ones that were synced from AD.  One would think it would work for users added manually, but I don't know that.  What if you try a users that has been synced instead of manually created in WebAdmin?

    MfG - Bob (Bitte auf Deutsch weiterhin.)

     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson

    Hallo,

     

    Wie Bob schreibt, ist nicht ganz klar, woher du die Zertifikate beziehst.

    https://community.sophos.com/kb/en-us/116034

     

    Radius bedeutet, dass du externe Zertifikate nutzt.

     

    Hilft dieser externe Artikel weiter?

    https://www.cactusvpn.com/tutorials/how-to-set-up-l2tp-vpn-on-windows-10/

     

    Gruß

    __________________________________________________________________________________________________________________

  • 0 in reply to LuCar Toni

    Hallo zusammen,

    die Nutzer liegen im AD in einer entsprechenden Gruppe, die ich im NPS berechtigt habe. Das Zertifikat VPN erstelle ich mit der Sophos VPN CA. Entsprechend installiere ich die CA und das Zertifikat VPN auf dem Client.

    Danke für den Link. Genauso habe ich es gemacht, außer Punkt 9, dort habe ich dann die Zertifikatsmethode ausgewählt.

    Für mich stellt sich die Frage, ob ich nur MS-CHAP v2 oder auch Microsoft: Protected EAP (PEAP) nutzen kann?

    Viele Grüße,

    Stefan

     

Reply
  • 0 in reply to LuCar Toni

    Hallo zusammen,

    die Nutzer liegen im AD in einer entsprechenden Gruppe, die ich im NPS berechtigt habe. Das Zertifikat VPN erstelle ich mit der Sophos VPN CA. Entsprechend installiere ich die CA und das Zertifikat VPN auf dem Client.

    Danke für den Link. Genauso habe ich es gemacht, außer Punkt 9, dort habe ich dann die Zertifikatsmethode ausgewählt.

    Für mich stellt sich die Frage, ob ich nur MS-CHAP v2 oder auch Microsoft: Protected EAP (PEAP) nutzen kann?

    Viele Grüße,

    Stefan

     

Children
No Data
Cookie Information Banner