Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Conventies

Configureren

Netwerkdiagram

De Windows 2000 Advanced Server voor Microsoft IAS configureren

RADIUS-clients configureren

Gebruikers op IAS configureren

Een extern toegangsbeleid op de Windows-gebruiker toepassen

De Windows 2000-client configureren voor L2TP

IPSec uitschakelen voor de Windows 2000-client

Cisco IOS configureren voor L2TP

Encryptie inschakelen

Opdrachten met debug en show

Split-tunneling

Problemen oplossen

Probleem 1: IPSec niet uitgeschakeld

Probleem 2: Fout 789

Probleem 3: Probleem met tunnelverificatie

Gerelateerde informatie

Inleiding

Dit document bevat instructies voor het configureren van Cisco IOS®-software en Windows 2000-clients voor Layer 2 Tunnel Protocol (L2TP) met behulp van Microsoft's Internet Authentication Server (IAS).

Raadpleeg L2TP over IPsec tussen Windows 2000/XP PC en PIX/ASA 7.2 Gebruik van Pre-Shared Key Configuration Voorbeeld voor meer informatie over de manier waarop u L2TP via IP security (IPSec) kunt configureren van externe Microsoft Windows 2000/2003 en XP-clients naar een PIX security applicatie met Windows met behulp van pre-gedeelde toetsen 2003 IAS RADIUS-server voor gebruikersverificatie.

Raadpleeg L2TP-configureren via IPSec van een Windows 2000- of XP-client naar een Cisco VPN 3000 Series Concentrator Gebruik van Pre-Shared Keys voor meer informatie over het configureren van L2TP via IPSec van externe Microsoft Windows 2000- en XP-clients naar een bedrijfssite met een gecodeerde methode.

Voorwaarden

Vereisten

Er zijn geen specifieke voorwaarden van toepassing op dit document.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Microsoft IAS optionele component geïnstalleerd op een Microsoft 2000 geavanceerde server met actieve map

- Een Cisco 3600 router

- Cisco IOS-softwarerelease c3640-io3s56i-mz.121-5.T

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Conventies

Raadpleeg Cisco Technical Tips Conventions (Conventies voor technische tips van Cisco) voor meer informatie over documentconventies.

Configureren

Deze sectie bevat informatie over het configureren van de functies die in dit document worden beschreven.

N.B.: Gebruik het Opdrachtupgereedschap (alleen geregistreerde klanten) om meer informatie te vinden over de opdrachten die in dit document worden gebruikt.

Netwerkdiagram

Het netwerk in dit document is als volgt opgebouwd:

Dit document gebruikt deze IP-pools voor inbelcliënten:

- Gateway router : 192.168.1.2-192.168.1.254

- LNS : 172.16.10.1-172.16.10.1

De Windows 2000 Advanced Server voor Microsoft IAS configureren

Zorg ervoor dat Microsoft IAS is geïnstalleerd. U kunt als volgt Microsoft IAS installeren door in te loggen als beheerder en de volgende stappen te voltooien:

1. Controleer onder Network Services of alle vinkjes zijn verwijderd.

2. Controleer het aanvinkvakje van de Internet Authentication Server (IAS) en klik vervolgens op OK.

3. Klik in de wizard Windows-onderdelen op Volgende. Plaats desgevraagd de Windows 2000-cd.

4. Wanneer de gewenste bestanden zijn gekopieerd, klikt u op Voltooien en vervolgens sluit u alle vensters. U hoeft niet opnieuw op te starten.

RADIUS-clients configureren

Voer de volgende stappen uit:

1. Open vanuit beheertools de Internet Verification Server Console en klik op Clients.

2. Voer in het vak Vriendelijke naam het IP-adres in van de netwerktoegangsserver (NAS).

3. Klik op Deze IP.

4. Zorg er in de vervolgkeuzelijst Clientverkoper voor dat de RADIUS-standaard is geselecteerd.

5. In het Gedeelde Geheime en Gedeeld Geheime dozen bevestigen, voer het wachtwoord in en klik dan op Voltooien.

6. Klik in de console boom met de rechtermuisknop op Internet Verificatieservice en klik vervolgens op Start.

7. Sluit de console.

Gebruikers op IAS configureren

Anders dan Cisco Secure is de RADIUS-gebruikersdatabase (Windows 2000 afstandsverificatie) voor inbel-gebruikersserver (Windows 2000) sterk gebonden aan de Windows-gebruikersdatabase.

- Als Active Directory is geïnstalleerd op uw Windows 2000-server, kunt u uw nieuwe inbelgebruikers maken van Active Directory-gebruikers en computers.

- Als Active Directory niet is geïnstalleerd, kunt u lokale gebruikers en groepen vanuit beheertools gebruiken om nieuwe gebruikers te maken.

Gebruikers in actieve map configureren

Voltooi deze stappen om gebruikers met Active Directory te configureren:

1. In de Actieve console van de Gebruikers en van de Computers, breid uw domein uit.

2. Klik met de rechtermuisknop op de gebruikers Scrolt om nieuwe gebruiker te selecteren.

3. Maak een nieuwe gebruiker die tac heet.

4. Typ uw wachtwoord in het dialoogvenster Wachtwoord en bevestig het wachtwoord.

5. Schakel de gebruiker uit door het wachtwoord te wijzigen bij de optie Volgende en klik op Volgende.

6. Het vakje Eigenschappen van de gebruikershandleiding openen. Switch naar het tabblad Inbellen

7. Onder Remote Access Permission (Inbelen of VPN), klik op Toegang toestaan en klik vervolgens op OK.

Gebruikers configureren als er geen actieve map is geïnstalleerd

Voltooi deze stappen om gebruikers te configureren als geen actieve map is geïnstalleerd:

1. Klik vanuit de beheertools op Computer Management.

2. Sluit de console Computer Management uit en klik op Lokale gebruikers en groepen.

3. Klik met de rechtermuisknop op Gebruikers Scrolt om Nieuwe gebruiker te selecteren.

4. Typ een wachtwoord in het dialoogvenster Wachtwoord en bevestig het wachtwoord.

5. Schakel de gebruiker uit door het wachtwoord te wijzigen bij de optie Volgende en klik op Volgende.

6. Open het dialoogvenster Eigenschappen van de nieuwe gebruikershandleiding. Switch naar het tabblad Inbellen

7. Onder Remote Access Permission (Inbelen of VPN), klik op Toegang toestaan en klik vervolgens op OK.

Een extern toegangsbeleid op de Windows-gebruiker toepassen

Voltooi deze stappen om een toegangsbeleid op afstand toe te passen:

1. Open vanuit beheertools de Internet-verificatieserverconsole en klik op Afstandstoegangsbeleid.

2. Klik op de knop Add op Specificeer de voorwaarden voor aanpassing en voeg servicetype toe. Kies het beschikbare type als framed. Voeg het toe aan de geselecteerde typen en druk op OK.

3. Klik op de knop Add op Specificeer de voorwaarden voor aanpassing en voeg framed Protocol toe. Kies het beschikbare type als PPP. Voeg het toe aan de geselecteerde typen en druk op OK.

4. Klik op de knop Add op Specificeer de voorwaarden voor aanpassing en voeg Windows-groepen toe om de Windows-groep toe waarin de gebruiker hoort toe te voegen. Kies de groep en voeg deze toe aan de geselecteerde typen. Druk op OK.

5. Selecteer Toestemming op afstand verlenen als Inbeltoestemming is ingeschakeld en selecteer Toestemming op afstand.

6. Sluit de console.

De Windows 2000-client configureren voor L2TP

Voltooi deze stappen om de Windows 2000-client voor L2TP te configureren:

1. Kies in het menu Start Instellingen en volg een van deze paden:

- Bedieningspaneel > Aansluitingen netwerk- en inbelverbindingen

OF

- Aansluitingen netwerk- en inbelverbinding > Nieuwe verbinding maken

2. Gebruik de Wizard om een verbinding te maken die L2TP wordt genoemd. Deze verbinding sluit aan op een privaat netwerk door het internet. U moet ook het IP-adres of de naam van de L2TP-tunnelgateway specificeren.

3. De nieuwe verbinding wordt weergegeven in het venster Network and Dial-up Connections onder Control Panel. Klik vanuit deze positie op de juiste muisknop om de eigenschappen te bewerken.

4. Zorg er onder het tabblad Netwerk voor dat het type server dat ik bel, is ingesteld op L2TP.

5. Als u van plan bent een dynamisch intern adres aan deze client toe te wijzen vanuit de gateway, of via een lokale pool of DHCP, selecteer TCP/IP protocol. Zorg dat de client is geconfigureerd om automatisch een IP-adres te verkrijgen. U kunt DNS-informatie ook automatisch weergeven.

- Met de knop Advanced kunt u statische WINS en DNS-informatie definiëren.

- Het tabblad Opties stelt u in staat IPSec uit te schakelen of een ander beleid aan de verbinding toe te wijzen.

- Onder het tabblad Beveiliging kunt u de parameters voor gebruikersverificatie definiëren, zoals PAP, CHAP of MS-CHAP of Windows-domeinaanmelding.

6. Wanneer de verbinding is geconfigureerd, kunt u erop dubbelklikken om het inlogscherm te starten en vervolgens verbinding te maken.

IPSec uitschakelen voor de Windows 2000-client

1. Bewerk de eigenschappen van de inbelverbinding L2TP die u net hebt gemaakt. Klik met de rechtermuisknop op de nieuwe verbinding L2TP om het L2TP-venster te bereiken.

2. Klik onder het tabblad Netwerk op TCP/IP-eigenschappen (Internet Protocol/IP). Dubbelklik op het tabblad Geavanceerd. Ga naar het tabblad Opties en klik op IP-beveiligingseigenschappen en controleer deze, als IPSEC niet wordt gebruikt, dubbelcontrole.

Opmerking: Microsoft Windows 2000-clients hebben een standaard afstandsbediening en Policy Agent-services die standaard een beleid voor L2TP-verkeer creëren. Dit standaardbeleid staat geen L2TP verkeer toe zonder IPSec en encryptie. U kunt het standaardgedrag van Microsoft uitschakelen door de editor van de Microsoft-client voor de registratie te bewerken. De procedure om de registratie van Windows te bewerken en het standaardbeleid van IPSec voor L2TP-verkeer uit te schakelen wordt in deze sectie gegeven. Raadpleeg de Microsoft documentatie voor het bewerken van Windows-register.

Gebruik de griffier (Regedt32.exe) om de nieuwe ingang van het register toe te voegen om IPSec uit te schakelen. Raadpleeg de documentatie bij Microsoft voor het Microsoft Help-onderwerp van Regedt32.exe voor meer informatie.

U moet de registratiewaarde voor ProhibitIPsec toevoegen aan elke Windows 2000-gebaseerde eindpuntcomputer van een L2TP- of IPSec-verbinding om te voorkomen dat het automatische filter voor L2TP- en IPSec-verkeer wordt gecreëerd. Wanneer de ProhibitIpSec registratiewaarde op één wordt ingesteld, maakt uw op Windows 2000 gebaseerde computer niet het automatische filter dat CA-verificatie gebruikt. In plaats daarvan controleert het een lokaal of Actief Indexbeleid van IPSec. Om de registratiewaarde van ProhibitIpSec aan uw op Windows 2000 gebaseerde computer toe te voegen, gebruikt u Regedt32.exe om deze sleutel in het register te vinden:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters

Voeg deze registratiewaarde toe aan deze toets:

Value Name: ProhibitIpSec

Data Type: REG_DWORD

Value: 1

Opmerking: U moet de op Windows 2000 gebaseerde computer opnieuw opstarten om de wijzigingen van kracht te laten worden. Raadpleeg deze Microsoft-artikelen voor meer informatie:

- Q2582-61 - IPSEC-beleid uitschakelen met L2TP

- Q240-262-Hoe u een L2TP/IPSec-verbinding kunt configureren met behulp van een vooraf gedeelde sleutel

Cisco IOS configureren voor L2TP

Deze configuraties schetsen de opdrachten die vereist zijn voor L2TP zonder IPSec. Nadat deze basisconfiguratie werkt, kunt u ook IPSec configureren.

engelachtig

Building configuration...

Current configuration : 1595 bytes

!

version 12.1

no service single-slot-reload-enable

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname angela

!

logging rate-limit console 10 except errors

!--- Enable AAA services here.

aaa new-model

aaa authentication login default group radius local

aaa authentication login console none

aaa authentication ppp default group radius local

aaa authorization network default group radius local

enable password ww

!

memory-size iomem 30

ip subnet-zero

!

!

no ip finger

no ip domain-lookup

ip host rund 172.17.247.195

!

ip audit notify log

ip audit po max-events 100

ip address-pool local

!

!

!--- Enable VPN/VPDN services and define groups and !--- specific variables required for the group.

vpdn enable

no vpdn logging

!

vpdn-group L2TP_Windows 2000Client

!--- Default L2TP VPDN group. !--- Allow the Router to accept incoming requests.

accept-dialin

protocol L2TP

virtual-template 1

no L2TP tunnel authentication

!--- Users are authenticated at the NAS or LNS !--- before the tunnel is established. This is not !--- required for client-initiated tunnels.

!

!

call rsvp-sync

!

!

!

!

!

!

!

controller E1 2/0

!

!

interface Loopback0

ip address 172.16.10.100 255.255.255.0

!

interface Ethernet0/0

ip address 10.200.20.2 255.255.255.0

half-duplex

!

interface Virtual-Template1

ip unnumbered Loopback0

peer default ip address pool default

ppp authentication ms-chap

!

ip local pool default 172.16.10.1 172.16.10.10

ip classless

ip route 0.0.0.0 0.0.0.0 10.200.20.1

ip route 192.168.1.0 255.255.255.0 10.200.20.250

no ip http server

!

radius-server host 10.200.20.245 auth-port 1645 acct-port 1646

radius-server retransmit 3

radius-server key cisco

!

dial-peer cor custom

!

!

!

!

!

line con 0

exec-timeout 0 0

login authentication console

transport input none

line 33 50

modem InOut

line aux 0

line vty 0 4

exec-timeout 0 0

password ww

!

end

angela#

*Mar 12 23:10:54.176: L2TP: I SCCRQ from  RSHANMUG-W2K1.cisco.com tnl 5

*Mar 12 23:10:54.176: Tnl 8663 L2TP: New tunnel created for remote

RSHANMUG-W2K1.cisco.com, address 192.168.1.56

*Mar 12 23:10:54.176: Tnl 8663 L2TP: O SCCRP  to  RSHANMUG-W2K1.cisco.com

tnlid 5

*Mar 12 23:10:54.180: Tnl 8663 L2TP: Tunnel state change from idle to

wait-ctl-reply

*Mar 12 23:10:54.352: Tnl 8663 L2TP: I SCCCN from  RSHANMUG-W2K1.cisco.com

tnl 5

*Mar 12 23:10:54.352: Tnl 8663 L2TP: Tunnel state change from

wait-ctl-reply to established

*Mar 12 23:10:54.352: Tnl 8663 L2TP: SM State established

*Mar 12 23:10:54.356: Tnl 8663 L2TP: I ICRQ from  RSHANMUG-W2K1.cisco.com

tnl 5

*Mar 12 23:10:54.356: Tnl/Cl 8663/44 L2TP: Session FS enabled

*Mar 12 23:10:54.356: Tnl/Cl 8663/44 L2TP: Session state change from idle

to wait-connect

*Mar 12 23:10:54.356: Tnl/Cl 8663/44 L2TP: New session created

*Mar 12 23:10:54.356: Tnl/Cl 8663/44 L2TP: O ICRP to

RSHANMUG-W2K1.cisco.com 5/1

*Mar 12 23:10:54.544: Tnl/Cl 8663/44 L2TP: I ICCN from

RSHANMUG-W2K1.cisco.com tnl 5, cl 1

*Mar 12 23:10:54.544: Tnl/Cl 8663/44 L2TP: Session state change from

wait-connect to established

*Mar 12 23:10:54.544: Vi1 VPDN: Virtual interface created for

*Mar 12 23:10:54.544: Vi1 PPP: Phase is DOWN, Setup [0 sess, 0 load]

*Mar 12 23:10:54.544: Vi1 VPDN: Clone from Vtemplate 1 filterPPP=0 blocking

*Mar 12 23:10:54.620: Tnl/Cl 8663/44 L2TP: Session with no hwidb

*Mar 12 23:10:54.624: %LINK-3-UPDOWN: Interface Virtual-Access1, changed

state to up

*Mar 12 23:10:54.624: Vi1 PPP: Using set call direction

*Mar 12 23:10:54.624: Vi1 PPP: Treating connection as a callin

*Mar 12 23:10:54.624: Vi1 PPP: Phase is ESTABLISHING, Passive Open [0 sess,

0 load]

*Mar 12 23:10:54.624: Vi1 LCP: State is Listen

*Mar 12 23:10:54.624: Vi1 VPDN: Bind interface direction=2

*Mar 12 23:10:56.556: Vi1 LCP: I CONFREQ [Listen] id 1 len 44

*Mar 12 23:10:56.556: Vi1 LCP:   MagicNumber 0x595E7636 (0x0506595E7636)

*Mar 12 23:10:56.556: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:10:56.556: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:10:56.556: Vi1 LCP:   Callback 6  (0x0D0306)

*Mar 12 23:10:56.556: Vi1 LCP:   MRRU 1614 (0x1104064E)

*Mar 12 23:10:56.556: Vi1 LCP:   EndpointDisc 1 Local

*Mar 12 23:10:56.556: Vi1 LCP:    (0x1317012E07E41982EB4EF790F1BF1862)

*Mar 12 23:10:56.556: Vi1 LCP:    (0x10D0AC00000002)

*Mar 12 23:10:56.556: Vi1 AAA/AUTHOR/FSM: (0): LCP succeeds trivially

*Mar 12 23:10:56.556: Vi1 LCP: O CONFREQ [Listen] id 1 len 15

*Mar 12 23:10:56.556: Vi1 LCP:   AuthProto MS-CHAP (0x0305C22380)

*Mar 12 23:10:56.556: Vi1 LCP:   MagicNumber 0x4E1B09B8 (0x05064E1B09B8)

*Mar 12 23:10:56.560: Vi1 LCP: O CONFREJ [Listen] id 1 len 34

*Mar 12 23:10:56.560: Vi1 LCP:   Callback 6  (0x0D0306)

*Mar 12 23:10:56.560: Vi1 LCP:   MRRU 1614 (0x1104064E)

*Mar 12 23:10:56.560: Vi1 LCP:   EndpointDisc 1 Local

*Mar 12 23:10:56.560: Vi1 LCP:    (0x1317012E07E41982EB4EF790F1BF1862)

*Mar 12 23:10:56.560: Vi1 LCP:    (0x10D0AC00000002)

*Mar 12 23:10:56.700: Vi1 LCP: I CONFACK [REQsent] id 1 len 15

*Mar 12 23:10:56.700: Vi1 LCP:   AuthProto MS-CHAP (0x0305C22380)

*Mar 12 23:10:56.704: Vi1 LCP:   MagicNumber 0x4E1B09B8 (0x05064E1B09B8)

*Mar 12 23:10:56.704: Vi1 LCP: I CONFREQ [ACKrcvd] id 2 len 14

*Mar 12 23:10:56.704: Vi1 LCP:   MagicNumber 0x595E7636 (0x0506595E7636)

*Mar 12 23:10:56.704: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:10:56.704: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:10:56.704: Vi1 LCP: O CONFACK [ACKrcvd] id 2 len 14

*Mar 12 23:10:56.708: Vi1 LCP:   MagicNumber 0x595E7636 (0x0506595E7636)

*Mar 12 23:10:56.708: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:10:56.708: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:10:56.708: Vi1 LCP: State is Open

*Mar 12 23:10:56.708: Vi1 PPP: Phase is AUTHENTICATING, by this end [0

sess, 0 load]

*Mar 12 23:10:56.708: Vi1 MS-CHAP: O CHALLENGE id 28 len 21 from angela

*Mar 12 23:10:56.852: Vi1 LCP: I IDENTIFY [Open] id 3 len 18 magic

0x595E7636 MSRASV5.00

*Mar 12 23:10:56.872: Vi1 LCP: I IDENTIFY [Open] id 4 len 27 magic

0x595E7636 MSRAS-1- RSHANMUG-W2K1

*Mar 12 23:10:56.880: Vi1 MS-CHAP: I RESPONSE id 28 len 57 from tac

*Mar 12 23:10:56.880: AAA: parse name=Virtual-Access1 idb type=21 tty=-1

*Mar 12 23:10:56.880: AAA: name=Virtual-Access1 flags=0x11 type=5 shelf=0

slot=0 adapter=0 port=1 channel=0

*Mar 12 23:10:56.884: AAA/MEMORY: create_user (0x6273D024) user='tac'

ruser='' port='Virtual-Access1' rem_addr='' authen_type=MSCHAP service=PPP

priv=1

*Mar 12 23:10:56.884: AAA/AUTHEN/START (3634835145): port='Virtual-Access1'

list='' action=LOGIN service=PPP

*Mar 12 23:10:56.884: AAA/AUTHEN/START (3634835145): using default list

*Mar 12 23:10:56.884: AAA/AUTHEN/START (3634835145): Method=radius (radius)

*Mar 12 23:10:56.884: RADIUS: ustruct sharecount=0

*Mar 12 23:10:56.884: RADIUS: Initial Transmit Virtual-Access1 id 173

10.200.20.245:1645, Access-Request, len 129

*Mar 12 23:10:56.884:       Attribute 4 6 0AC81402

*Mar 12 23:10:56.884:       Attribute 5 6 00000001

*Mar 12 23:10:56.884:       Attribute 61 6 00000001

*Mar 12 23:10:56.884:       Attribute 1 5 7461631A

*Mar 12 23:10:56.884:       Attribute 26 16 000001370B0A0053

*Mar 12 23:10:56.884:       Attribute 26 58 0000013701341C01

*Mar 12 23:10:56.884:       Attribute 6 6 00000002

*Mar 12 23:10:56.884:       Attribute 7 6 00000001

*Mar 12 23:10:56.900: RADIUS: Received from id 173 10.200.20.245:1645,

Access-Accept, len 116

*Mar 12 23:10:56.900:       Attribute 7 6 00000001

*Mar 12 23:10:56.900:       Attribute 6 6 00000002

*Mar 12 23:10:56.900:       Attribute 25 32 502605A6

*Mar 12 23:10:56.900:       Attribute 26 40 000001370C22F6D5

*Mar 12 23:10:56.900:       Attribute 26 12 000001370A061C4E

*Mar 12 23:10:56.900: AAA/AUTHEN (3634835145): status = PASS

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP: Authorize LCP

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP (1995716469):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:10:56.900: AAA/AUTHOR/LCP: Vi1 (1995716469) user='tac'

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP (1995716469): send AV service=ppp

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP (1995716469): send AV protocol=lcp

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP (1995716469): found list default

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/LCP (1995716469): Method=radius

(radius)

*Mar 12 23:10:56.904: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR (1995716469): Post authorization

status = PASS_REPL

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/LCP: Processing AV service=ppp

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/LCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:10:56.904: Vi1 MS-CHAP: O SUCCESS id 28 len 4

*Mar 12 23:10:56.904: Vi1 PPP: Phase is UP [0 sess, 0 load]

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM: (0): Can we start IPCP?

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:10:56.904: AAA/AUTHOR/FSM: Vi1 (2094713042) user='tac'

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042): send AV service=ppp

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042): send AV protocol=ip

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042): found list default

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042): Method=radius

(radius)

*Mar 12 23:10:56.908: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:10:56.908: Vi1 AAA/AUTHOR (2094713042): Post authorization

status = PASS_REPL

*Mar 12 23:10:56.908: Vi1 AAA/AUTHOR/FSM: We can start IPCP

*Mar 12 23:10:56.908: Vi1 IPCP: O CONFREQ [Closed] id 1 len 10

*Mar 12 23:10:56.908: Vi1 IPCP:    Address 172.16.10.100 (0x0306AC100A64)

*Mar 12 23:10:57.040: Vi1 CCP: I CONFREQ [Not negotiated] id 5 len 10

*Mar 12 23:10:57.040: Vi1 CCP:   MS-PPC supported bits 0x01000001

(0x120601000001)

*Mar 12 23:10:57.040: Vi1 LCP: O PROTREJ [Open] id 2 len 16 protocol CCP

(0x80FD0105000A120601000001)

*Mar 12 23:10:57.052: Vi1 IPCP: I CONFREQ [REQsent] id 6 len 34

*Mar 12 23:10:57.052: Vi1 IPCP:    Address 0.0.0.0 (0x030600000000)

*Mar 12 23:10:57.052: Vi1 IPCP:    PrimaryDNS 0.0.0.0 (0x810600000000)

*Mar 12 23:10:57.052: Vi1 IPCP:    PrimaryWINS 0.0.0.0 (0x820600000000)

*Mar 12 23:10:57.052: Vi1 IPCP:    SecondaryDNS 0.0.0.0 (0x830600000000)

*Mar 12 23:10:57.052: Vi1 IPCP:    SecondaryWINS 0.0.0.0 (0x840600000000)

*Mar 12 23:10:57.052: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 0.0.0.0, we

want 0.0.0.0

*Mar 12 23:10:57.056: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:10:57.056: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:10:57.056: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:10:57.056: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 0.0.0.0, we

want 0.0.0.0

*Mar 12 23:10:57.056: Vi1 IPCP: Pool returned 172.16.10.1

*Mar 12 23:10:57.056: Vi1 IPCP: O CONFREJ [REQsent] id 6 len 28

*Mar 12 23:10:57.056: Vi1 IPCP:    PrimaryDNS 0.0.0.0 (0x810600000000)

*Mar 12 23:10:57.056: Vi1 IPCP:    PrimaryWINS 0.0.0.0 (0x820600000000)

*Mar 12 23:10:57.056: Vi1 IPCP:    SecondaryDNS 0.0.0.0 (0x830600000000)

*Mar 12 23:10:57.056: Vi1 IPCP:    SecondaryWINS 0.0.0.0 (0x840600000000)

*Mar 12 23:10:57.060: Vi1 IPCP: I CONFACK [REQsent] id 1 len 10

*Mar 12 23:10:57.060: Vi1 IPCP:    Address 172.16.10.100 (0x0306AC100A64)

*Mar 12 23:10:57.192: Vi1 IPCP: I CONFREQ [ACKrcvd] id 7 len 10

*Mar 12 23:10:57.192: Vi1 IPCP:    Address 0.0.0.0 (0x030600000000)

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 0.0.0.0, we

want 172.16.10.1

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 0.0.0.0, we

want 172.16.10.1

*Mar 12 23:10:57.192: Vi1 IPCP: O CONFNAK [ACKrcvd] id 7 len 10

*Mar 12 23:10:57.192: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:10:57.324: Vi1 IPCP: I CONFREQ [ACKrcvd] id 8 len 10

*Mar 12 23:10:57.324: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 172.16.10.1,

we want 172.16.10.1

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:10:57.324: AAA/AUTHOR/IPCP: Vi1 (413757991) user='tac'

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): send AV service=ppp

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): send AV protocol=ip

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): send AV

addr*172.16.10.1

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): found list default

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): Method=radius

(radius)

*Mar 12 23:10:57.324: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR (413757991): Post authorization status

= PASS_REPL

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP: Reject 172.16.10.1, using

172.16.10.1

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Processing AV addr*172.16.10.1

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 172.16.10.1,

we want 172.16.10.1

*Mar 12 23:10:57.328: Vi1 IPCP: O CONFACK [ACKrcvd] id 8 len 10

*Mar 12 23:10:57.328: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:10:57.328: Vi1 IPCP: State is Open

*Mar 12 23:10:57.332: Vi1 IPCP: Install route to 172.16.10.1

*Mar 12 23:10:57.904: %LINEPROTO-5-UPDOWN: Line protocol on Interface

Virtual-Access1, changed state to up

*Mar 12 23:11:06.324: Vi1 LCP: I ECHOREP [Open] id 1 len 12 magic

0x595E7636

*Mar 12 23:11:06.324: Vi1 LCP: Received id 1, sent id 1, line up

angela#show vpdn

L2TP Tunnel and Session Information Total tunnels 1 sessions 1

LocID RemID Remote Name   State  Remote Address  Port  Sessions

8663  5      RSHANMUG-W2K1.c est    192.168.1.56    1701  1

LocID RemID TunID Intf      Username    State  Last Chg Fastswitch

44    1     8663  Vi1      tac    est   00:00:18 enabled

%No active L2F tunnels

%No active PPTP tunnels

%No active PPPoE tunnels

*Mar 12 23:11:16.332: Vi1 LCP: I ECHOREP [Open] id 2 len 12 magic

0x595E7636

*Mar 12 23:11:16.332: Vi1 LCP: Received id 2, sent id 2, line upsh caller

ip

Line      User IP Address Local Number Remote Number <->

Vi1      tac 172.16.10.1 - - in

angela#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR

P - periodic downloaded static route

Gateway of last resort is 10.200.20.1 to network 0.0.0.0

172.16.0.0/16 is variably subnetted, 2 subnets, 2 masks

C 172.16.10.0/24 is directly connected, Loopback0

C 172.16.10.1/32 is directly connected, Virtual-Access1

10.0.0.0/24 is subnetted, 1 subnets

C 10.200.20.0 is directly connected, Ethernet0/0

S    192.168.1.0/24 [1/0] via 10.200.20.250

S*   0.0.0.0/0 [1/0] via 10.200.20.1

*Mar 12 23:11:26.328: Vi1 LCP: I ECHOREP [Open] id 3 len 12 magic

0x595E7636

*Mar 12 23:11:26.328: Vi1 LCP: Received id 3, sent id 3, line up172.16.10.1

angela#ping 172.16.10.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.10.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 156/160/168 ms

Encryptie inschakelen

Voeg de ppp encryptie MPE 40 opdracht toe onder interface virtueel-sjabloon 1. Zorg ervoor dat de encryptie ook in de Microsoft client is geselecteerd.

*Mar 12 23:27:36.608: L2TP: I SCCRQ from  RSHANMUG-W2K1.cisco.com tnl 13

*Mar 12 23:27:36.608: Tnl 31311 L2TP: New tunnel created for remote

RSHANMUG-W2K1.cisco.com, address 192.168.1.56

*Mar 12 23:27:36.608: Tnl 31311 L2TP: O SCCRP  to  RSHANMUG-W2K1.cisco.com

tnlid 13

*Mar 12 23:27:36.612: Tnl 31311 L2TP: Tunnel state change from idle to

wait-ctl-reply

*Mar 12 23:27:36.772: Tnl 31311 L2TP: I SCCCN from  RSHANMUG-W2K1.cisco.com

tnl 13

*Mar 12 23:27:36.772: Tnl 31311 L2TP: Tunnel state change from

wait-ctl-reply to established

*Mar 12 23:27:36.776: Tnl 31311 L2TP: SM State established

*Mar 12 23:27:36.780: Tnl 31311 L2TP: I ICRQ from  RSHANMUG-W2K1.cisco.com

tnl 13

*Mar 12 23:27:36.780: Tnl/Cl 31311/52 L2TP: Session FS enabled

*Mar 12 23:27:36.780: Tnl/Cl 31311/52 L2TP: Session state change from idle

to wait-connect

*Mar 12 23:27:36.780: Tnl/Cl 31311/52 L2TP: New session created

*Mar 12 23:27:36.780: Tnl/Cl 31311/52 L2TP: O ICRP to

RSHANMUG-W2K1.cisco.com 13/1

*Mar 12 23:27:36.924: Tnl/Cl 31311/52 L2TP: I ICCN from

RSHANMUG-W2K1.cisco.com tnl 13, cl 1

*Mar 12 23:27:36.928: Tnl/Cl 31311/52 L2TP: Session state change from

wait-connect to established

*Mar 12 23:27:36.928: Vi1 VPDN: Virtual interface created for

*Mar 12 23:27:36.928: Vi1 PPP: Phase is DOWN, Setup [0 sess, 0 load]

*Mar 12 23:27:36.928: Vi1 VPDN: Clone from Vtemplate 1 filterPPP=0 blocking

*Mar 12 23:27:36.972: Tnl/Cl 31311/52 L2TP: Session with no hwidb

*Mar 12 23:27:36.976: %LINK-3-UPDOWN: Interface Virtual-Access1, changed

state to up

*Mar 12 23:27:36.976: Vi1 PPP: Using set call direction

*Mar 12 23:27:36.976: Vi1 PPP: Treating connection as a callin

*Mar 12 23:27:36.976: Vi1 PPP: Phase is ESTABLISHING, Passive Open [0 sess,

0 load]

*Mar 12 23:27:36.976: Vi1 LCP: State is Listen

*Mar 12 23:27:36.976: Vi1 VPDN: Bind interface direction=2

*Mar 12 23:27:38.976: Vi1 LCP: TIMEout: State Listen

*Mar 12 23:27:38.976: Vi1 AAA/AUTHOR/FSM: (0): LCP succeeds trivially

*Mar 12 23:27:38.976: Vi1 LCP: O CONFREQ [Listen] id 1 len 15

*Mar 12 23:27:38.976: Vi1 LCP:   AuthProto MS-CHAP (0x0305C22380)

*Mar 12 23:27:38.976: Vi1 LCP:   MagicNumber 0x4E2A5593 (0x05064E2A5593)

*Mar 12 23:27:38.984: Vi1 LCP: I CONFREQ [REQsent] id 1 len 44

*Mar 12 23:27:38.984: Vi1 LCP:   MagicNumber 0x4B4817ED (0x05064B4817ED)

*Mar 12 23:27:38.984: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:27:38.984: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:27:38.984: Vi1 LCP:   Callback 6  (0x0D0306)

*Mar 12 23:27:38.984: Vi1 LCP:   MRRU 1614 (0x1104064E)

*Mar 12 23:27:38.984: Vi1 LCP:   EndpointDisc 1 Local

*Mar 12 23:27:38.984: Vi1 LCP:    (0x1317012E07E41982EB4EF790F1BF1862)

*Mar 12 23:27:38.984: Vi1 LCP:    (0x10D0AC0000000A)

*Mar 12 23:27:38.984: Vi1 LCP: O CONFREJ [REQsent] id 1 len 34

*Mar 12 23:27:38.984: Vi1 LCP:   Callback 6  (0x0D0306)

*Mar 12 23:27:38.984: Vi1 LCP:   MRRU 1614 (0x1104064E)

*Mar 12 23:27:38.984: Vi1 LCP:   EndpointDisc 1 Local

*Mar 12 23:27:38.988: Vi1 LCP:    (0x1317012E07E41982EB4EF790F1BF1862)

*Mar 12 23:27:38.988: Vi1 LCP:    (0x10D0AC0000000A)

*Mar 12 23:27:39.096: Vi1 LCP: I CONFACK [REQsent] id 1 len 15

*Mar 12 23:27:39.096: Vi1 LCP:   AuthProto MS-CHAP (0x0305C22380)

*Mar 12 23:27:39.096: Vi1 LCP:   MagicNumber 0x4E2A5593 (0x05064E2A5593)

*Mar 12 23:27:39.128: Vi1 LCP: I CONFREQ [ACKrcvd] id 2 len 14

*Mar 12 23:27:39.128: Vi1 LCP:   MagicNumber 0x4B4817ED (0x05064B4817ED)

*Mar 12 23:27:39.128: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:27:39.128: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:27:39.128: Vi1 LCP: O CONFACK [ACKrcvd] id 2 len 14

*Mar 12 23:27:39.128: Vi1 LCP:   MagicNumber 0x4B4817ED (0x05064B4817ED)

*Mar 12 23:27:39.128: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:27:39.128: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:27:39.128: Vi1 LCP: State is Open

*Mar 12 23:27:39.128: Vi1 PPP: Phase is AUTHENTICATING, by this end [0

sess, 0 load]

*Mar 12 23:27:39.128: Vi1 MS-CHAP: O CHALLENGE id 32 len 21 from angela

*Mar 12 23:27:39.260: Vi1 LCP: I IDENTIFY [Open] id 3 len 18 magic

0x4B4817ED MSRASV5.00

*Mar 12 23:27:39.288: Vi1 LCP: I IDENTIFY [Open] id 4 len 27 magic

0x4B4817ED MSRAS-1- RSHANMUG-W2K1

*Mar 12 23:27:39.296: Vi1 MS-CHAP: I RESPONSE id 32 len 57 from tac

*Mar 12 23:27:39.296: AAA: parse name=Virtual-Access1 idb type=21 tty=-1

*Mar 12 23:27:39.296: AAA: name=Virtual-Access1 flags=0x11 type=5 shelf=0

slot=0 adapter=0 port=1 channel=0

*Mar 12 23:27:39.296: AAA/MEMORY: create_user (0x6273D528) user='tac'

ruser='' port='Virtual-Access1' rem_addr='' authen_type=MSCHAP service=PPP

priv=1

*Mar 12 23:27:39.296: AAA/AUTHEN/START (2410248116): port='Virtual-Access1'

list='' action=LOGIN service=PPP

*Mar 12 23:27:39.296: AAA/AUTHEN/START (2410248116): using default list

*Mar 12 23:27:39.296: AAA/AUTHEN/START (2410248116): Method=radius (radius)

*Mar 12 23:27:39.296: RADIUS: ustruct sharecount=0

*Mar 12 23:27:39.300: RADIUS: Initial Transmit Virtual-Access1 id 181

10.200.20.245:1645, Access-Request, len 129

*Mar 12 23:27:39.300:       Attribute 4 6 0AC81402

*Mar 12 23:27:39.300:       Attribute 5 6 00000001

*Mar 12 23:27:39.300:       Attribute 61 6 00000001

*Mar 12 23:27:39.300:       Attribute 1 5 7461631A

*Mar 12 23:27:39.300:       Attribute 26 16 000001370B0AFC72

*Mar 12 23:27:39.300:       Attribute 26 58 0000013701342001

*Mar 12 23:27:39.300:       Attribute 6 6 00000002

*Mar 12 23:27:39.300:       Attribute 7 6 00000001

*Mar 12 23:27:39.312: RADIUS: Received from id 181 10.200.20.245:1645,

Access-Accept, len 116

*Mar 12 23:27:39.312:       Attribute 7 6 00000001

*Mar 12 23:27:39.312:       Attribute 6 6 00000002

*Mar 12 23:27:39.312:       Attribute 25 32 502E05AE

*Mar 12 23:27:39.312:       Attribute 26 40 000001370C225042

*Mar 12 23:27:39.312:       Attribute 26 12 000001370A06204E

*Mar 12 23:27:39.312: AAA/AUTHEN (2410248116): status = PASS

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP: Authorize LCP

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:27:39.316: AAA/AUTHOR/LCP: Vi1 (2365724222) user='tac'

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222): send AV service=ppp

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222): send AV protocol=lcp

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222): found list default

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222): Method=radius

(radius)

*Mar 12 23:27:39.316: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR (2365724222): Post authorization

status = PASS_REPL

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP: Processing AV service=ppp

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.316: Vi1 MS-CHAP: O SUCCESS id 32 len 4

*Mar 12 23:27:39.316: Vi1 PPP: Phase is UP [0 sess, 0 load]

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/FSM: (0): Can we start IPCP?

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:27:39.320: AAA/AUTHOR/FSM: Vi1 (1499311111) user='tac'

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111): send AV service=ppp

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111): send AV protocol=ip

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111): found list default

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111): Method=radius

(radius)

*Mar 12 23:27:39.320: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR (1499311111): Post authorization

status = PASS_REPL

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM: We can start IPCP

*Mar 12 23:27:39.320: Vi1 IPCP: O CONFREQ [Closed] id 1 len 10

*Mar 12 23:27:39.320: Vi1 IPCP:    Address 172.16.10.100 (0x0306AC100A64)

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM: (0): Can we start CCP?

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (327346364):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:27:39.324: AAA/AUTHOR/FSM: Vi1 (327346364) user='tac'

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM (327346364): send AV service=ppp

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM (327346364): send AV protocol=ccp

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM (327346364): found list default

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM (327346364): Method=radius

(radius)

*Mar 12 23:27:39.324: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR (327346364): Post authorization status

= PASS_REPL

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM: We can start CCP

*Mar 12 23:27:39.324: Vi1 CCP: O CONFREQ [Closed] id 1 len 10

*Mar 12 23:27:39.324: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.460: Vi1 CCP: I CONFREQ [REQsent] id 5 len 10

*Mar 12 23:27:39.460: Vi1 CCP:   MS-PPC supported bits 0x01000001

(0x120601000001)

*Mar 12 23:27:39.460: Vi1 AAA/AUTHOR/FSM: Check for unauthorized mandatory

AV's

*Mar 12 23:27:39.460: Vi1 AAA/AUTHOR/FSM: Processing AV service=ppp

*Mar 12 23:27:39.460: Vi1 AAA/AUTHOR/FSM: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.460: Vi1 AAA/AUTHOR/FSM: Succeeded

*Mar 12 23:27:39.464: Vi1 CCP: O CONFNAK [REQsent] id 5 len 10

*Mar 12 23:27:39.464: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.472: Vi1 IPCP: I CONFREQ [REQsent] id 6 len 34

*Mar 12 23:27:39.472: Vi1 IPCP:    Address 0.0.0.0 (0x030600000000)

*Mar 12 23:27:39.472: Vi1 IPCP:    PrimaryDNS 0.0.0.0 (0x810600000000)

*Mar 12 23:27:39.472: Vi1 IPCP:    PrimaryWINS 0.0.0.0 (0x820600000000)

*Mar 12 23:27:39.472: Vi1 IPCP:    SecondaryDNS 0.0.0.0 (0x830600000000)

*Mar 12 23:27:39.472: Vi1 IPCP:    SecondaryWINS 0.0.0.0 (0x840600000000)

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 0.0.0.0, we

want 0.0.0.0

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 0.0.0.0, we

want 0.0.0.0

*Mar 12 23:27:39.472: Vi1 IPCP: Pool returned 172.16.10.1

*Mar 12 23:27:39.476: Vi1 IPCP: O CONFREJ [REQsent] id 6 len 28

*Mar 12 23:27:39.476: Vi1 IPCP:    PrimaryDNS 0.0.0.0 (0x810600000000)

*Mar 12 23:27:39.476: Vi1 IPCP:    PrimaryWINS 0.0.0.0 (0x820600000000)

*Mar 12 23:27:39.476: Vi1 IPCP:    SecondaryDNS 0.0.0.0 (0x830600000000)

*Mar 12 23:27:39.476: Vi1 IPCP:    SecondaryWINS 0.0.0.0 (0x840600000000)

*Mar 12 23:27:39.480: Vi1 IPCP: I CONFACK [REQsent] id 1 len 10

*Mar 12 23:27:39.484: Vi1 IPCP:    Address 172.16.10.100 (0x0306AC100A64)

*Mar 12 23:27:39.488: Vi1 CCP: I CONFACK [REQsent] id 1 len 10

*Mar 12 23:27:39.488: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.596: Vi1 CCP: I CONFREQ [ACKrcvd] id 7 len 10

*Mar 12 23:27:39.596: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.596: Vi1 AAA/AUTHOR/FSM: Check for unauthorized mandatory

AV's

*Mar 12 23:27:39.596: Vi1 AAA/AUTHOR/FSM: Processing AV service=ppp

*Mar 12 23:27:39.596: Vi1 AAA/AUTHOR/FSM: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.596: Vi1 AAA/AUTHOR/FSM: Succeeded

*Mar 12 23:27:39.596: Vi1 CCP: O CONFACK [ACKrcvd] id 7 len 10

*Mar 12 23:27:39.596: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.596: Vi1 CCP: State is Open

*Mar 12 23:27:39.600: Vi1 MPPE: Generate keys using RADIUS data

*Mar 12 23:27:39.600: Vi1 MPPE: Initialize keys

*Mar 12 23:27:39.600: Vi1 MPPE: [40 bit encryption]  [stateless mode]

*Mar 12 23:27:39.620: Vi1 IPCP: I CONFREQ [ACKrcvd] id 8 len 10

*Mar 12 23:27:39.620: Vi1 IPCP:    Address 0.0.0.0 (0x030600000000)

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 0.0.0.0, we

want 172.16.10.1

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 0.0.0.0, we

want 172.16.10.1

*Mar 12 23:27:39.624: Vi1 IPCP: O CONFNAK [ACKrcvd] id 8 len 10

*Mar 12 23:27:39.624: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:27:39.756: Vi1 IPCP: I CONFREQ [ACKrcvd] id 9 len 10

*Mar 12 23:27:39.756: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 172.16.10.1,

we want 172.16.10.1

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:27:39.756: AAA/AUTHOR/IPCP: Vi1 (2840659706) user='tac'

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): send AV service=ppp

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): send AV protocol=ip

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): send AV

addr*172.16.10.1

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): found list

default

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): Method=radius

(radius)

*Mar 12 23:27:39.756: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR (2840659706): Post authorization

status = PASS_REPL

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP: Reject 172.16.10.1, using

172.16.10.1

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Processing AV addr*172.16.10.1

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 172.16.10.1,

we want 172.16.10.1

*Mar 12 23:27:39.760: Vi1 IPCP: O CONFACK [ACKrcvd] id 9 len 10

*Mar 12 23:27:39.760: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:27:39.760: Vi1 IPCP: State is Open

*Mar 12 23:27:39.764: Vi1 IPCP: Install route to 172.16.10.1

*Mar 12 23:27:40.316: %LINEPROTO-5-UPDOWN: Line protocol on Interface

Virtual-Access1, changed state to up

*Mar 12 23:27:46.628: Vi1 LCP: I ECHOREP [Open] id 1 len 12 magic

0x4B4817ED

*Mar 12 23:27:46.628: Vi1 LCP: Received id 1, sent id 1, line up

*Mar 12 23:27:56.636: Vi1 LCP: I ECHOREP [Open] id 2 len 12 magic

0x4B4817ED

*Mar 12 23:27:56.636: Vi1 LCP: Received id 2, sent id 2, line upcaller ip

Line      User IP Address Local Number Remote Number <->

Vi1      tac 172.16.10.1 - - in

angela#show ppp mppe virtual-Access 1

Interface Virtual-Access1 (current connection)

Software encryption, 40 bit encryption, Stateless mode

packets encrypted = 0      packets decrypted = 16

sent CCP resets   = 0      receive CCP resets = 0

next tx coherency = 0      next rx coherency = 16

tx key changes   = 0      rx key changes = 16

rx pkt dropped   = 0      rx out of order pkt= 0

rx missed packets = 0

*Mar 12 23:28:06.604: Vi1 LCP: I ECHOREP [Open] id 3 len 12 magic

0x4B4817ED

*Mar 12 23:28:06.604: Vi1 LCP: Received id 3, sent id 3, line up

angela#ping 172.16.10.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.10.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 188/196/204 ms

angela#show ppp mppe virtual-Access 1

Interface Virtual-Access1 (current connection)

Software encryption, 40 bit encryption, Stateless mode

packets encrypted = 5      packets decrypted = 22

sent CCP resets   = 0      receive CCP resets = 0

next tx coherency = 5      next rx coherency = 22

tx key changes   = 5      rx key changes = 22

rx pkt dropped   = 0      rx out of order pkt= 0

rx missed packets = 0

angela#ping 172.16.10.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.10.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 184/200/232 ms

angela#ping 172.16.10.1sh ppp mppe virtual-Access 1

Interface Virtual-Access1 (current connection)

Software encryption, 40 bit encryption, Stateless mode

packets encrypted = 10      packets decrypted = 28

sent CCP resets   = 0      receive CCP resets = 0

next tx coherency = 10      next rx coherency = 28

tx key changes   = 10      rx key changes = 28

rx pkt dropped   = 0      rx out of order pkt= 0

rx missed packets = 0

angela#

Opdrachten met debug en show

Raadpleeg Important Information on Debug Commands (Belangrijke informatie over opdrachten met debug) voordat u opdrachten met debug opgeeft.

Het Uitvoer Tolk (uitsluitend geregistreerde klanten) (OIT) ondersteunt bepaalde show opdrachten. Gebruik de OIT om een analyse van tonen opdrachtoutput te bekijken.

Als de zaken niet werken, bevat minimaal debug deze opdrachten:

- debug van verificatie—informatie over AAA/TACACS+ verificatie wordt weergegeven.

- debug van autorisatie—informatie over AAA/TACACS+ autorisatie wordt weergegeven.

- debug PPP onderhandeling-displays PPP-pakketten die tijdens PPP-opstarten worden verzonden, waar PPP-opties worden onderhandeld.

- debug van PPP-verificatie en verificatieprotocolberichten van displays, waaronder de PAP-uitwisselingen (Challenge Authentication Protocol) en de Wachtwoord Verificatieprotocol.

- debug straal-displays gedetailleerde zuiveringsinformatie gekoppeld aan de RADIUS.

Als verificatie werkt, maar er problemen zijn met Microsoft Point-to-Point Encryption (MPPE)-encryptie, gebruik dan een van deze opdrachten:

- debug ppp MPE-pakket—hier wordt al het inkomende uitgaande MPPE-verkeer weergegeven.

- debug ppp mppe gebeurtenis-displays Belangrijkste MPPE voorvallen.

- debug ppp gedetailleerd-displays breedband MPPE-informatie.

- debug vpdn l2x-pakketten - Hiermee geeft u berichten weer over L2F-protocolkoppen en -status (Level 2 Forwarding).

- debug van gebeurtenissen in vpdn—displays over gebeurtenissen die deel uitmaken van de normale tunnelvestiging of shutdown.

- debug VPDN fouten-displays die verhinderen dat een tunnel wordt aangelegd of fouten die veroorzaken dat een gevestigde tunnel wordt gesloten.

- debug VPDN-pakketten - Hiermee wordt elk uitgewisseld protocol-pakket weergegeven. Deze optie kan resulteren in een groot aantal debug-berichten en dient in het algemeen alleen op een debug chassis met één actieve sessie te worden gebruikt.

- Laat vpdn-displays informatie zien over de actieve L2F-protocoltunnel en berichten herkenners in een Virtual Private Dialup Network (VPDN).

Je kunt ook de show vpdn gebruiken? opdracht om andere vpdn-specifieke show opdrachten te zien.

Split-tunneling

Stel dat de gateway-router een Internet Service Provider (ISP)-router is. Wanneer de Point-to-Point Tunneling Protocol (PPTP)-tunnel op de PC komt, wordt de PPTP-route geïnstalleerd met een hogere statistiek dan het vorige standaard, zodat we de internetconnectiviteit verliezen. Om dit te verhelpen, wijzigt u de Microsoft-routing om de standaard te verwijderen en de standaardroute opnieuw te installeren (dit vereiste terwijl het IP-adres van de PPTP-client is toegewezen); voor het huidige voorbeeld is dit 172.16.10.1 ) :

route delete 0.0.0.0

route add 0.0.0.0 mask 0.0.0.0 192.168.1.47 metric 1

route add 172.16.10.1 mask 255.255.255.0 192.168.1.47 metric 1

Problemen oplossen

Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen.

Probleem 1: IPSec niet uitgeschakeld

Symptoom

De PC-gebruiker ziet dit bericht:

Error connecting to L2TP:

Error 781: The encryption attempt failed because

no valid certificate was found.

Oplossing

Ga naar het gedeelte Eigenschappen van het venster Virtual Private Connection en klik op het tabblad Security. Schakel de optie Gegevensversleuteling uit.

Probleem 2: Fout 789

Symptoom

De L2TP-verbindingspoging mislukt omdat de beveiligingslaag een verwerkingsfout heeft aangetroffen tijdens eerste onderhandelingen met de externe computer.

De services van Microsoft Remote Access and Policy Agent maken een beleid dat wordt gebruikt voor L2TP-verkeer omdat L2TP geen encryptie biedt. Dit is van toepassing voor Microsoft Windows 2000 Advanced Server, Microsoft Windows 2000 Server en Microsoft Windows 2000 Professional.

Oplossing

Gebruik de griffier (Regedt32.exe) om de nieuwe ingang van het register toe te voegen om IPSec uit te schakelen. Raadpleeg de documentatie bij Microsoft voor het Help-onderwerp van Microsoft voor Regedt32.exe.

U moet de registratiewaarde voor ProhibitIPsec toevoegen aan elke Windows 2000-gebaseerde eindpuntcomputer van een L2TP- of IPSec-verbinding om te voorkomen dat het automatische filter voor L2TP- en IPSec-verkeer wordt gecreëerd. Wanneer de ProhibitIpSec registratiewaarde op één wordt ingesteld, maakt uw op Windows 2000 gebaseerde computer niet het automatische filter dat CA-verificatie gebruikt. In plaats daarvan controleert het een lokaal of Actief Indexbeleid van IPSec. Om de registratiewaarde van ProhibitIpSec aan uw op Windows 2000 gebaseerde computer toe te voegen, gebruikt u Regedt32.exe om deze sleutel in het register te vinden:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters

Voeg deze registratiewaarde toe aan deze toets:

Value Name: ProhibitIpSec

Data Type: REG_DWORD

Value: 1

Opmerking: U moet de op Windows 2000 gebaseerde computer opnieuw opstarten om de wijzigingen van kracht te laten worden.

Probleem 3: Probleem met tunnelverificatie

Gebruikers worden geauthentiseerd op NAS of LNS voordat de tunnel wordt ingericht. Dit is niet vereist voor client-geïnitieerde tunnels zoals L2TP van een Microsoft client.

De PC-gebruiker ziet dit bericht:

Connecting to 10.200.20.2..

Error 651: The modem(or other connecting device) has reported an error.

Router debugs:

*Mar 12 23:03:47.124: L2TP: I SCCRQ from  RSHANMUG-W2K1.cisco.com tnl 1

*Mar 12 23:03:47.124: Tnl 30107 L2TP: New tunnel created for remote

RSHANMUG-W2K1.cisco.com, address 192.168.1.56

*Mar 12 23:03:47.124: Tnl 30107 L2TP: O SCCRP  to  RSHANMUG-W2K1.cisco.com

tnlid 1

*Mar 12 23:03:47.124: Tnl 30107 L2TP: Tunnel state change from idle to

wait-ctl-reply

*Mar 12 23:03:47.308: Tnl 30107 L2TP: I SCCCN from  RSHANMUG-W2K1.cisco.com

tnl 1

*Mar 12 23:03:47.308: Tnl 30107 L2TP: Got a Challenge Response in SCCCN

from  RSHANMUG-W2K1.cisco.com

*Mar 12 23:03:47.308: AAA: parse name= idb type=-1 tty=-1

*Mar 12 23:03:47.308: AAA/MEMORY: create_user (0x6273D528) user='angela'

ruser='' port='' rem_addr='' authen_type=CHAP service=PPP priv=1

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): port='' list='default'

action=SENDAUTH service=PPP

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): found list default

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): Method=radius (radius)

*Mar 12 23:03:47.308: AAA/AUTHEN/SENDAUTH (4077585132): no authenstruct

hwidb

*Mar 12 23:03:47.308: AAA/AUTHEN/SENDAUTH (4077585132): Failed sendauthen

for angela

*Mar 12 23:03:47.308: AAA/AUTHEN (4077585132): status = FAIL

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): Method=LOCAL

*Mar 12 23:03:47.308: AAA/AUTHEN (4077585132): SENDAUTH no password for

angela

*Mar 12 23:03:47.308: AAA/AUTHEN (4077585132): status = ERROR

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): no methods left to try

*Mar 12 23:03:47.308: AAA/AUTHEN (4077585132): status = ERROR

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): failed to authenticate

*Mar 12 23:03:47.308: VPDN: authentication failed, couldn't find user

information for angela

*Mar 12 23:03:47.308: AAA/MEMORY: free_user (0x6273D528) user='angela'

ruser='' port='' rem_addr='' authen_type=CHAP service=PPP priv=1

*Mar 12 23:03:47.312: Tnl 30107 L2TP: O StopCCN  to

RSHANMUG-W2K1.cisco.com tnlid 1

*Mar 12 23:03:47.312: Tnl 30107 L2TP: Tunnel state change from

wait-ctl-reply to shutting-down

*Mar 12 23:03:47.320: Tnl 30107 L2TP: Shutdown tunnel

*Mar 12 23:03:47.320: Tnl 30107 L2TP: Tunnel state change from

shutting-down to idle

*Mar 12 23:03:47.324: L2TP: Could not find tunnel for tnl 30107, discarding

ICRQ ns 3 nr 1

*Mar 12 23:03:47.448: L2TP: Could not find tunnel for tnl 30107, discarding

ICRQ ns 3 nr 2

Gerelateerde informatie

- Layer 2 Tunneling Protocol (L2TP)

- L2TP-over-IPsec tussen Windows 2000 en VPN-3000 Concentrator met gebruik van digitale certificaten

- L2TP configureren via IPSec tussen PIX-firewall en Windows 2000 PC met behulp van certificaten

- Layer 2 Tunnel Protocol

- Virtual Private Networks configureren

- Layer 2 Tunnel Protocol-verificatie met RADIUS

- Technische ondersteuning en documentatie – Cisco Systems