(VPN) L2TP-IPsec zwischen Windows Server 2003 und Mac OS X

Wir besitzen einen Windows Server 2003 als Domänencontroller und einen zweiten als Terminalserver mit VPN-Zugang.
Hierbei wird L2TP/IPse mit Zertifikate verwendet, was sehr gut mit Windows-Rechnern funktioniert.

Nun möchten wir gern auch MACs per VPN auf den Terminalserver zugreifen lassen. Leider habe ich bis heute noch keine Lösung gefunden.
Obwohl es eigentlich nicht so schwer ist. Folgendes habe ich bereits ausprobiert:

Anleitung zur Einrichtung:
http://www.carbonwind.net/ISA/MacOSXVPNL2TP/MacOSXVPNL2TP1.htm

http://www.serverhowto.de/Teil-6-Abschnitt-H-L2TP-Firewalls-und-NAT.50. ...

Einrichten von X509Anchors :
http://www.augusta.de/Services/CA/camacosx/

Folgende Fehlermeldung bekomme ich:

MAC (ppp.log)

Fri Apr 23 16:40:56 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:40:56 2010 : L2TP: no user shared secret found.
Fri Apr 23 16:41:14 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:41:14 2010 : L2TP: no user shared secret found.
Fri Apr 23 16:41:56 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:41:56 2010 : L2TP: no user shared secret found.
Fri Apr 23 16:42:30 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:42:30 2010 : L2TP: no user shared secret found.
Fri Apr 23 16:43:11 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:43:11 2010 : L2TP: no user shared secret found.
Fri Apr 23 16:43:21 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:43:24 2010 : L2TP sent SCCRQ
Fri Apr 23 16:43:24 2010 : IPSec connection started
Fri Apr 23 16:43:24 2010 : IPSec phase 1 client started
Fri Apr 23 16:43:34 2010 : IPSec connection failed
Fri Apr 23 16:43:48 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:43:51 2010 : L2TP sent SCCRQ
Fri Apr 23 16:43:51 2010 : IPSec connection started
Fri Apr 23 16:43:51 2010 : IPSec phase 1 client started
Fri Apr 23 16:44:01 2010 : IPSec connection failed
Fri Apr 23 16:44:35 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:44:38 2010 : L2TP sent SCCRQ
Fri Apr 23 16:44:38 2010 : IPSec connection started
Fri Apr 23 16:44:38 2010 : IPSec phase 1 client started
Fri Apr 23 16:44:38 2010 : IPSec phase 1 server replied
Fri Apr 23 16:44:38 2010 : IPSec connection failed <IKE Error 18 (0x12) Invalid id information>
Fri Apr 23 16:44:45 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:44:48 2010 : L2TP sent SCCRQ
Fri Apr 23 16:44:48 2010 : IPSec connection started
Fri Apr 23 16:44:53 2010 : IPSec connection failed
Fri Apr 23 16:45:07 2010 : L2TP connecting to server 'mykita.dyndns.org' (87.159.179.242)...
Fri Apr 23 16:45:10 2010 : L2TP sent SCCRQ
Fri Apr 23 16:45:10 2010 : IPSec connection started
Fri Apr 23 16:45:10 2010 : IPSec phase 1 client started
Fri Apr 23 16:45:10 2010 : IPSec phase 1 server replied
Fri Apr 23 16:45:10 2010 : IPSec connection failed <IKE Error 18 (0x12) Invalid id information>
Fri Apr 23 16:45:29 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:45:32 2010 : L2TP sent SCCRQ
Fri Apr 23 16:45:32 2010 : IPSec connection started
Fri Apr 23 16:45:32 2010 : IPSec phase 1 client started
Fri Apr 23 16:45:32 2010 : IPSec phase 1 server replied
Fri Apr 23 16:45:32 2010 : IPSec connection failed <IKE Error 18 (0x12) Invalid id information>
Fri Apr 23 16:49:50 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:49:53 2010 : L2TP sent SCCRQ
Fri Apr 23 16:49:53 2010 : IPSec connection started
Fri Apr 23 16:49:53 2010 : IPSec phase 1 client started
Fri Apr 23 16:49:53 2010 : IPSec phase 1 server replied
Fri Apr 23 16:49:53 2010 : IPSec connection failed <IKE Error 18 (0x12) Invalid id information>
Fri Apr 23 16:50:32 2010 : PPTP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:50:32 2010 : PPTP connection established.
Fri Apr 23 16:50:32 2010 : Using interface ppp0
Fri Apr 23 16:50:32 2010 : Connect: ppp0 <--> socket[34:17]
Fri Apr 23 16:50:32 2010 : MPPE 128-bit stateless compression enabled
Fri Apr 23 16:50:34 2010 : route_interface: write routing socket failed, File exists
Fri Apr 23 16:50:34 2010 : local IP address 192.168.2.66
Fri Apr 23 16:50:34 2010 : remote IP address 192.168.2.72
Fri Apr 23 16:50:34 2010 : primary DNS address 192.168.2.200
Fri Apr 23 16:50:34 2010 : secondary DNS address 192.168.2.201
Fri Apr 23 16:50:39 2010 : Hangup (SIGHUP)
Fri Apr 23 16:50:39 2010 : MPPE disabled
Fri Apr 23 16:50:39 2010 : Connection terminated.
Fri Apr 23 16:50:39 2010 : Connect time 0.2 minutes.
Fri Apr 23 16:50:39 2010 : Sent 0 bytes, received 0 bytes.
Fri Apr 23 16:50:39 2010 : PPTP disconnecting...
Fri Apr 23 16:50:39 2010 : PPTP disconnected
Fri Apr 23 16:50:44 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:50:47 2010 : L2TP sent SCCRQ
Fri Apr 23 16:50:47 2010 : IPSec connection started
Fri Apr 23 16:50:47 2010 : IPSec phase 1 client started
Fri Apr 23 16:50:47 2010 : IPSec phase 1 server replied
Fri Apr 23 16:50:47 2010 : IPSec connection failed <IKE Error 18 (0x12) Invalid id information>
Fri Apr 23 16:51:13 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:51:16 2010 : L2TP sent SCCRQ
Fri Apr 23 16:51:16 2010 : IPSec connection started
Fri Apr 23 16:51:16 2010 : IPSec phase 1 client started
Fri Apr 23 16:51:16 2010 : IPSec phase 1 server replied
Fri Apr 23 16:51:16 2010 : IPSec connection failed <IKE Error 18 (0x12) Invalid id information>
Fri Apr 23 16:51:42 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 16:51:45 2010 : L2TP sent SCCRQ
Fri Apr 23 16:51:45 2010 : IPSec connection started
Fri Apr 23 16:51:45 2010 : IPSec phase 1 client started
Fri Apr 23 16:51:45 2010 : IPSec phase 1 server replied
Fri Apr 23 16:51:45 2010 : IPSec connection failed <IKE Error 18 (0x12) Invalid id information>
Fri Apr 23 17:21:38 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 17:21:41 2010 : L2TP sent SCCRQ
Fri Apr 23 17:21:41 2010 : IPSec connection started
Fri Apr 23 17:21:41 2010 : IPSec phase 1 client started
Fri Apr 23 17:21:41 2010 : IPSec phase 1 server replied
Fri Apr 23 17:21:41 2010 : IPSec connection failed <IKE Error 18 (0x12) Invalid id information>
Fri Apr 23 17:22:12 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 17:22:15 2010 : L2TP sent SCCRQ
Fri Apr 23 17:22:15 2010 : IPSec connection started
Fri Apr 23 17:22:15 2010 : IPSec phase 1 client started
Fri Apr 23 17:22:15 2010 : IPSec phase 1 server replied
Fri Apr 23 17:22:15 2010 : IPSec connection failed <IKE Error 18 (0x12) Invalid id information>
Fri Apr 23 17:22:53 2010 : L2TP connecting to server '192.168.2.201' (192.168.2.201)...
Fri Apr 23 17:22:56 2010 : L2TP sent SCCRQ
Fri Apr 23 17:22:56 2010 : IPSec connection started
Fri Apr 23 17:22:56 2010 : IPSec phase 1 client started
Fri Apr 23 17:22:56 2010 : IPSec phase 1 server replied
Fri Apr 23 17:22:56 2010 : IPSec connection failed <IKE Error 18 (0x12) Invalid id information>

Hat jemand vielleicht Erfahrung mit der Problematik, irgendwie scheitert er am Schlüsselaustausch, aber warum?

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 141340

Url: https://administrator.de/contentid/141340

Ausgedruckt am: 21.11.2024 um 23:11 Uhr

9 Kommentare

Neuester Kommentar

Kommt eine Verbindung zustande, wenn statt der Zertifikate probeweise mit preshared secret authentifiziert wird?

Ist das in einem WAN oder LAN?

Steht der Mac hinter eine NAT Router ??
Wenn ja: Hast du entsprechendes Port Forwarding für L2TP eingerichtet ??
Hast du bei VPN die Ip Adress Design Grundlagen beachtet:
VPNs einrichten mit PPTP

Nach dem Fehlerlog sieht es so aus als ob gar kein Shared Secret eingerichtet ist für den User !! Der IKE Error bestätigt das nur (Key Exchange) ! Es stimmt also irgendwas mit den beidseitigen Passwörtern nicht !!

Vielen Dank für die Antworten

@sysad: Kann ich leider nicht ausprobieren, da der zugang bereits von anderen Windows Clienten per VPN verwendet wird, außerdem erhalte ich stets eine andere Fehlermeldung wenn ich die Zertifikate auf dem MAC lösche. Diese Fehlermeldung erscheint auch viel früher als die oben gepostete. Anscheinend werden die Zertifikate schon überprüft, aber Schlüsselaustausch findet nicht statt

@aqui
NAT-T Portforwarding ist auf den Server und den Windows Clienten einrichtet: "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPsec\AssumeUDPEncapsulationContextOnSendRule" auf den Wert 2 gestellt, vgl. http://support.microsoft.com/kb/818043/de
Bei dem MAC gibt es diese Einstellmöglichkeit leider nicht.

Port Forwarding für L2TP wird NICHT auf dem Server eingestellt sondern auf dem NAT Router um dessen Firewall zu überwinden.
Für L2TP gilt:
UDP 500
UDP 1701
UDP 4500
ESP

Also NAT-Router läuft übrigends Tomato 1.25!

Die Ports sind alle freigeschalten, ansonsten würde es mit den Windowsclienten auch nicht funktionieren.
Aber was ist mit dem ESP-Protokoll, frag ich mich gerade?

Ja...und ?? Wie ist die Frage ausgegangen ??
ESP ist ein eigenständiges IP Protokoll mit der Protokoll Nummer 50. Das muss der Router auch forwarden sonst wirds nix mit dem L2TP VPN !!
ESP übertägt um Tunnel die Produktivdaten.
Der Fehler sieht aber nicht nach dem Router aus sondern nach der Passwort Authentifizierung das zeigt der IKE Error. Du solltest also eher in dieser Richtung suchen... Vermutlich nutzt der Mac Zertifikate und die Winblows Machinen PSK Passwörter oder sowas... das klappt dann natürlich nicht !

Zitat von @aqui:

Ja...und ?? Wie ist die Frage ausgegangen ??

Würde mich auch interessieren. Bislang hab ich es nicht geschafft, W2003 L2TP-IPSEC per Zertifikaten für Macs zu realisieren. Bei mir geht nur PSK. Wenn das schon mal jemand besser hinbekommen hat, wäre ich interessiert, wie es geht.

Danke!

Hallo,

sorry für die später Rückmeldung, also es läuft noch nicht.
Ich denke ebenfalls, dass es kein Routerproblem ist da
1.) es mit Windows-Rechnern läuft und
2.) ich es auch schon im Firmennetzwerk ausprobiert hab, um alle NAT-Fehler auszuschließen.

Bei mir läuft zwar PSK, aber dass ist nicht der Sinn der Sache, da wir gern Benutzerzertifikate einrichten bzw. entziehen wollen. Mit PSK ist das nicht möglich.

L2TP/IPSEC bleibt vorerst eine Baustelle, sobald sich eine Lösung findet, (neues OS X etc.) würde ich das hier posten.