Netzwerkanalyse, Fehlersuche, Testberichte
Home / News
Netzwerkanalyse
Grundlagen
Verkabelung
Erste Schritte
Baselining
Let's sniff
Tools
Auswerten/Filtern
Typische Probleme 1
Typische Probleme 2
Sicherheit
Bücher
Tutorials
Cacti
DSL einrichten
DynDNS einrichten
m0n0wall | pfSense
Nmap
VirtualBox
Wireshark
Forum
Shop
FAQ
Know How
Testberichte
Hardware-DB
Events
Netzwerklexikon
Links / Service
Suche
Kontakt
Impressum
Feedback
Sitemap
Partner
Unser Partner für
SSL Zertifikate
ist Checkdomain GmbH.
Tutorials

VPN einrichten

IPSec-VPN zwischen Netgear FVL328 und PC mit dem Netgear ProSafe VPN-Client

Die Anleitung beschreibt die Konfiguration eines IPSec-VPN zwischen einem Netgear FVL328 (Zentrale) und einem PC mit Windows XP mit dem Netgear VPN-Client für einen mobilen User.

Fast alle Daten (Exchange Mode, Identity Type, Encryption, Authentication, DH-Group und PFS) müssen auf beiden Seiten des Tunnels identisch sein.

VPN-Konfiguration des Netgear FVL328

Der zentrale Router benötigt eine feste IP-Adresse auf dem WAN-Interface oder einen dynamischen DNS-Eintrag bei DynDNS. Die Firmware V2.0_08 hat teilweise Probleme bei der Aktualisierung von DynDNS. Die VPN-Verbindung kann über den VPN-Wizard angelegt werden. Dabei werden IKE und VPN Policies angelegt. Diese können später angepasst werden.

IKE Policies

Direction/Type Remote Access
Exchange Mode Aggressive Mode
Local Identity Type FQDN
Local Identity Data fvl_co
Remote Identity Type FQDN
Remote Identity Data fvl_remote
Encryption Algorithm 3DES
Authentication Algorithm SHA-1
Authentication Method PSK
Diffie-Hellman (DH) Group Group 2 (1024 Bit)
SA Life Time 3600 sec

VPN Policies

IKE Keep Alive off
Remote VPN Endpoint IP Address (Adresse bleibt leer)
SA Life Time 3600 sec
IPSec PFS Group 2 (1024 Bit)
Local IP Subnet Address (IP und Maske des lokalen LANs)
Remote IP Any
AH Configuration off
ESP Encryption Algorithm 3DES
ESP Authentication Algorithm SHA-1

Konfiguration des Netgear VPN Clients

Der Netgear ProSafe VPN Client basiert auf SafeNet SoftRemote. Die Einrichtung erfolgt über eine grafische Oberfläche.

Bild 1: Bei Subnet und Mask müssen die Werte des LAN-Interfces des zentralen Router eingetragen werden. Der Domain Name ist die im zentralen Router eingetragene "Local Identity". Gateway Hostname ist der FQDN des zentralen Router (WAN-Interface).

Bild 2: Hier muss der Pre Shared Key (PSK) eingetragen werden. Der Virtual Adapter muss eine eindeutige IP-Adresse bekommen. Das Netz darf nicht identisch sein mit dem LAN des zentralen Routers.

Bild 3: Die Einstellungen Aggressive Mode, Perfect Forward Secrecy (PFS) und Diffie-Hellman Group 2 müssen dem zentralen VPN-Router entsprechen.

Bild 4: Für IKE Phase 1 muss ein Proposal angelegt werden. Wichtig ist auch hier die Übereinstimmung der Werte mit dem Netgear-Router.

Bild 5: Auch für IKE Phase 2 müssen die Einstellungen mit dem FVL328 übereinstimmen.

Fehlersuche

Am Router kann über "VPN Status" ein VPN-Log angezeigt werden. Der FVL328 schreibt ein recht detailliertes Log.

Log des FVL328 bei einem erfolgreichen VPN-Aufbau

Das folgende Log zeigt einen Verbindungsaufbau im Aggressive Mode. IKE Phase 1 und 2 sind gut zu sehen.

[2006-09-16 05:11:00][==== IKE PHASE 1(from 212.255.88.187) START (responder) ====]
[2006-09-16 05:11:00]**** RECEIVED  FIRST MESSAGE OF AGGR MODE **** 
[2006-09-16 05:11:00]<POLICY: > PAYLOADS: SA,PROP,TRANS,KE,NONCE,ID,
  VID,VID,VID,VID,VID,VID
[2006-09-16 05:11:00]<LocalRID> Type=ID_FQDN,ID Data=fvl_remote 
[2006-09-16 05:11:00]<RemoteLID> Type=ID_FQDN,ID Data=fvl_remote 
[2006-09-16 05:11:01]<POLICY: RW1> PAYLOADS: SA,PROP,TRANS,KE,NONCE,ID,HASH
[2006-09-16 05:11:01]**** SENT OUT SECOND MESSAGE OF AGGR MODE **** 
[2006-09-16 05:11:01]**** RECEIVED  THIRD MESSAGE OF AGGR MODE **** 
[2006-09-16 05:11:01]<POLICY: RW1> PAYLOADS: HASH,NOTIFY,NOTIFY
[2006-09-16 05:11:01]**** AGGR MODE COMPLETED **** 
[2006-09-16 05:11:01][==== IKE PHASE 1 ESTABLISHED====]

[2006-09-16 05:11:02][==== IKE PHASE 2(from 212.255.88.187) START (responder) ====]
[2006-09-16 05:11:02]**** RECEIVED  FIRST MESSAGE OF QUICK MODE **** 
[2006-09-16 05:11:02]**** FOUND IDs,EXTRACE ID INFO ****
[2006-09-16 05:11:02]<Initiator IPADDR=192.168.10.1>
[2006-09-16 05:11:02]<Responder IPADDR=192.168.0.0 MASK=255.255.255.0>
[2006-09-16 05:11:03]**** SENT OUT SECOND MESSAGE OF QUICK MODE **** 
[2006-09-16 05:11:03]**** RECEIVED  THIRD MESSAGE OF QUICK MODE **** 
[2006-09-16 05:11:03]<POLICY: RW1> PAYLOADS: HASH
[2006-09-16 05:11:03]**** QUICK MODE COMPLETED **** 
[2006-09-16 05:11:03][==== IKE PHASE 2 ESTABLISHED====]

Log des ProSafe VPN Clients bei einem erfolgreichen VPN-Aufbau

Über den Log-Viewer lässt sich das Logfile des VPN-Clients anzeigen.

 9-16: 15:10:51.437 My Connections\vpndrei - Attempting to resolve Hostname 
    (vpndrei.dyndns.org)
 9-16: 15:10:52.656 My Connections\vpndrei - Initiating IKE Phase 1 
    (Hostname=vpndrei.dyndns.org) 
                    (IP ADDR=84.189.246.27)
 9-16: 15:10:52.874 My Connections\vpndrei - SENDING>>>> ISAKMP OAK AG 
    (SA, KE, NON, ID, VID 6x)
 9-16: 15:10:54.015 My Connections\vpndrei - RECEIVED<<< ISAKMP OAK AG 
    (SA, KE, NON, ID, HASH)
 9-16: 15:10:54.156 My Connections\vpndrei - Using cached address.  
    (Hostname=vpndrei.dyndns.org) 
                    (IP ADDR=84.189.246.27)
 9-16: 15:10:54.156 My Connections\vpndrei - SENDING>>>> ISAKMP OAK AG *
                    (HASH, NOTIFY:STATUS_REPLAY_STATUS, NOTIFY:STATUS_INITIAL_CONTACT)
 9-16: 15:10:54.156 My Connections\vpndrei - Established IKE SA
 9-16: 15:10:54.156    MY COOKIE fa ad 2d b3 9d cd c6 1f
 9-16: 15:10:54.156    HIS COOKIE c3 ff bb 71 29 ba b0 e1
 9-16: 15:10:54.890 Virtual Interface constructed for local interface 192.168.10.1
 9-16: 15:10:54.921 Virtual Interface added: 192.168.10.1/255.255.255.0 on ISDN 
   "SafeNet VA miniport".
 9-16: 15:10:55.171 My Connections\vpndrei - Initiating IKE Phase 2 with Client IDs 
   (message id: 5F1033E2)
 9-16: 15:10:55.171 My Connections\vpndrei -   Initiator = IP ADDR=192.168.10.1, 
   prot = 0 port = 0
 9-16: 15:10:55.171 My Connections\vpndrei -   Responder = 
   IP SUBNET/MASK=192.168.0.0/255.255.255.0, 
                    prot = 0 port = 0
 9-16: 15:10:55.171 My Connections\vpndrei - SENDING>>>> ISAKMP OAK QM 
    *(HASH, SA, NON, KE, ID 2x)
 9-16: 15:10:55.812 My Connections\vpndrei - RECEIVED<<< ISAKMP OAK QM 
   *(HASH, SA, NON, KE, ID 2x)
 9-16: 15:10:55.812 My Connections\vpndrei - Filter entry 3: SECURE  
   192.168.010.001&255.255.255.255  
                    192.168.000.000&255.255.255.000  DNS.DNS.DNS.DNS added.
 9-16: 15:10:55.874 Route 192.168.0.0/255.255.255.0->192.168.10.1 added.
 9-16: 15:10:55.874 My Connections\vpndrei - SENDING>>>> ISAKMP OAK QM *(HASH)
 9-16: 15:10:55.953 My Connections\vpndrei - Loading IPSec SA (Message ID = 5F1033E2 
                    OUTBOUND SPI = CE38A9AF INBOUND SPI = FD3CAF9E)

Nach einem erfolgreichen Aufbau des IPSec-Tunnels, legt der VPN Client einen neuen Netzwerkadapter an:

C:\ ipconfig

PPP-Adapter SafeNet Virtual Adapter Interface:

        Verbindungsspezifisches DNS-Suffix:
        IP-Adresse. . . . . . . . . . . . : 192.168.10.1
        Subnetzmaske. . . . . . . . . . . : 255.255.255.255
        Standardgateway . . . . . . . . . :

Über das Kontextmenü "Reload Security Policy" des Netgear Clients, lassen sich die Einstellungen neu laden. Das ist mitunter nach Änderungen notwendig.

Typische Fehlermeldungen

No Proposal Choosen

Beim Verbindungsaufbau unterbreiten sich die Tunnelendpunkte Angebote (Proposals) zu den unterstützten Features (DES, 3DES, MD5, SHA-1, Identity). Dabei müssen beide Partner die selben Features unterstützen. Ist zum Beispiel der Router auf 3DES eingestellt und der VPN Client auf AES, entsteht der Fehler No Proposal Choosen.

Invalid ID Information

Ursache für die Meldung Invalid ID Information können zum Beispiel Fehler in der IP-Konfiguration sein. Im VPN-Server und -Client müssen die passenden IP-Adressen und Netzmasken der Gegenstelle eingetragen sein.

Eine weitere Mögliche Ursache sind unterschiedliche Einstellungen für den ID-Type (IP-Adresse, FQDN) auf beiden Seiten. Beide Linkpartner müssen die selben Einstellungen haben.

Interessante Artikel zum Thema VPN

 

 
© 2004-2015, network lab - we make your net work - Netzwerkforum
aktualisiert am 22.03.2012