10
VPN zu Lancom-Router mit Windows-Bordmitteln herstellen
Hallo!
In der Firma haben wir Lancom-Router. Mit dem Lanconfig-Tool von Lancom hab ich einen VPN-Zugang eingerichtet und mit mit dem Lancom-eigenen VPN-Client ("Lancom Advanced VPN Client") kann ich mich auch problemlos verbinden (hab die vom Lanconfig-Tool erzeugte Ini-Datei in den Client geladen,also nicht von Hand konfiguriert). Allerdings möchte ich den Zugang auch via Windows 10-Bordmitteln einrichten und hänge dort fest. Vielleicht kann mir ja jemand helfen.
Ich klicke mich also im Netzwerk- und Freigabe zur Einrichtung eines VPN durch ("Verbindung mit dem Arbeitsplatz herstellen").=>Die Internetverbindung verwenden und gebe als
Internetadresse die statische externe IP des Routers ein. Es wird dann eine VPN-Verbindung angelegt, die laut Anzeige ein Gerät namens WAN Miniport (IKEv2) nutzt. Beim Doppelklick darauf werden beim Versuch, eine Verbindung aufzubauen, gleich Domäne,Username und Passwort angefordert. Geb ich dort die Userdaten aus der Domäne an, erscheint nach einigen Sekunden die Fehlermeldung
"Die Remoteverbindung wurde aufgrund von Tunnelfehlern nicht hergestellt. Der VPN-Server ist möglicherweise nicht erreichbar. Wenn für die Verbindung ein L2TP/IPsec-Tunnel verwendet wird, werden die für die IPsec-Aushandlung erforderlichen Sicherheitsparameter möglicherweise nicht ordnungsgemäß konfiguriert."
Selbst wenn ich mir die Einstellungen dieser Verbindung anschaue, finde ich nirgendwo eine Möglichkeit, den in der Ini-Datei enthaltenen Full Qualified Username und den Preshared Key einzugeben. Ebenso ist nirgendwo eine Möglichkeit zu sehen, die in der Ini-Datei enthaltenen Angaben zur IKEv2-Richtlinie, IKE DH-Gruppe, IPsec-Richtline und der PFS-Gruppe einzustellen. Hab ich Tomaten auf den Augen oder klappt das tatsächlich mit Windows-Bordmitteln nicht ?
Hier mal der Inhalt der Ini-Datei, mit deren Hilfe sich der Lancom-VPN-Client konfiguriert hat (die externe IP hab ich allerdings vor dem Posten geändert
)
[PROFILE1]
Name=DEFSHL05-IKEV2C_HO01
ConnMedia=21
ConnMode=0
SeamRoaming=1
PriVoIP=1
Gateway=217.217.217.217
PFS=14
UseComp=0
IkeIdType=3
IkeIdStr=IKEV2C_HO01@intern
Secret=bJPuw{;F4yY86:$L
UseXAUTH=0
IpAddrAssign=0
IkeDhGroup=14
ExchMode=34
IKEv2Auth=2
IKEv2Policy=WIZ-AES256-SHA256
IPSEC-Policy=WIZ-AES256-SHA256
[IKEV2POLICY1]
Ikev2Name=WIZ-AES256-SHA256
Ikev2Crypt=6
Ikev2PRF=5
Ikev2IntAlgo=12
[IPSECPOLICY1]
IPSecName=WIZ-AES256-SHA256
IpsecCrypt=6
IpsecAuth=5
In der Firma haben wir Lancom-Router. Mit dem Lanconfig-Tool von Lancom hab ich einen VPN-Zugang eingerichtet und mit mit dem Lancom-eigenen VPN-Client ("Lancom Advanced VPN Client") kann ich mich auch problemlos verbinden (hab die vom Lanconfig-Tool erzeugte Ini-Datei in den Client geladen,also nicht von Hand konfiguriert). Allerdings möchte ich den Zugang auch via Windows 10-Bordmitteln einrichten und hänge dort fest. Vielleicht kann mir ja jemand helfen.
Ich klicke mich also im Netzwerk- und Freigabe zur Einrichtung eines VPN durch ("Verbindung mit dem Arbeitsplatz herstellen").=>Die Internetverbindung verwenden und gebe als
Internetadresse die statische externe IP des Routers ein. Es wird dann eine VPN-Verbindung angelegt, die laut Anzeige ein Gerät namens WAN Miniport (IKEv2) nutzt. Beim Doppelklick darauf werden beim Versuch, eine Verbindung aufzubauen, gleich Domäne,Username und Passwort angefordert. Geb ich dort die Userdaten aus der Domäne an, erscheint nach einigen Sekunden die Fehlermeldung
"Die Remoteverbindung wurde aufgrund von Tunnelfehlern nicht hergestellt. Der VPN-Server ist möglicherweise nicht erreichbar. Wenn für die Verbindung ein L2TP/IPsec-Tunnel verwendet wird, werden die für die IPsec-Aushandlung erforderlichen Sicherheitsparameter möglicherweise nicht ordnungsgemäß konfiguriert."
Selbst wenn ich mir die Einstellungen dieser Verbindung anschaue, finde ich nirgendwo eine Möglichkeit, den in der Ini-Datei enthaltenen Full Qualified Username und den Preshared Key einzugeben. Ebenso ist nirgendwo eine Möglichkeit zu sehen, die in der Ini-Datei enthaltenen Angaben zur IKEv2-Richtlinie, IKE DH-Gruppe, IPsec-Richtline und der PFS-Gruppe einzustellen. Hab ich Tomaten auf den Augen oder klappt das tatsächlich mit Windows-Bordmitteln nicht ?
Hier mal der Inhalt der Ini-Datei, mit deren Hilfe sich der Lancom-VPN-Client konfiguriert hat (die externe IP hab ich allerdings vor dem Posten geändert
)[PROFILE1]
Name=DEFSHL05-IKEV2C_HO01
ConnMedia=21
ConnMode=0
SeamRoaming=1
PriVoIP=1
Gateway=217.217.217.217
PFS=14
UseComp=0
IkeIdType=3
IkeIdStr=IKEV2C_HO01@intern
Secret=bJPuw{;F4yY86:$L
UseXAUTH=0
IpAddrAssign=0
IkeDhGroup=14
ExchMode=34
IKEv2Auth=2
IKEv2Policy=WIZ-AES256-SHA256
IPSEC-Policy=WIZ-AES256-SHA256
[IKEV2POLICY1]
Ikev2Name=WIZ-AES256-SHA256
Ikev2Crypt=6
Ikev2PRF=5
Ikev2IntAlgo=12
[IPSECPOLICY1]
IPSecName=WIZ-AES256-SHA256
IpsecCrypt=6
IpsecAuth=5
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 376853
Url: https://administrator.de/forum/vpn-zu-lancom-router-mit-windows-bordmitteln-herstellen-376853.html
Ausgedruckt am: 23.12.2024 um 15:12 Uhr
10 Kommentare
Neuester Kommentar
Moin,
steht schon gefühlt 1000 Mal im Bord. Geht nur über unverschlüsseltes PPTP ...
LG, Thomas
steht schon gefühlt 1000 Mal im Bord. Geht nur über unverschlüsseltes PPTP ...
LG, Thomas
mit Bordmitteln geht es nicht... Wenn es Dir aber darum geht die Client Kosten einzusparen nimm den Shrewsoft Client, mit dem geht es. (Google hilft)
LG
LG
@keine-ahnung
@wkuebel
Das stimmt so nicht, es darf am LANCOM nur nicht PSK als Server und Client Identität genommen werden und für die Remote-Auth muss RSA gewählt werden (Authentifizierung mit Client-Zertifikaten).
Für den Windows 10 Client muss dann ein Client-Zertifikat generiert werden und das in Windows eingebunden werden. Dann klappt das auch mit Windows 10 und LANCOM via IKEv2, selbst schon eingerichtet!
Windows 10 unterstützt einfach kein IKEv2 mit PSK sondern hier nur EAP mit MsCHAPv2 oder eben mit Zertifikaten.
@wkuebel
Das stimmt so nicht, es darf am LANCOM nur nicht PSK als Server und Client Identität genommen werden und für die Remote-Auth muss RSA gewählt werden (Authentifizierung mit Client-Zertifikaten).
Für den Windows 10 Client muss dann ein Client-Zertifikat generiert werden und das in Windows eingebunden werden. Dann klappt das auch mit Windows 10 und LANCOM via IKEv2, selbst schon eingerichtet!
Windows 10 unterstützt einfach kein IKEv2 mit PSK sondern hier nur EAP mit MsCHAPv2 oder eben mit Zertifikaten.
Wie es mit Windows (und auch den anderen BS und Smartphone) eingerichtet wird steht alles hier:
IPsec IKEv2 VPN für mobile Benutzer auf der pfSense oder OPNsense Firewall einrichten
Sollte auch für die Lancom Gurke identisch sein sofern die modernes IKEv2 versteht.
IKEv2 mit nur PSK geht prinzipienbedingt nur sehr eingeschränkt, da IKEv2 Zertifikate erzwingt bzw. vorgibt.v2 ohne Zertifikate ist bei vielen Implementationen nicht möglich, aus gutem Grund !
IPsec IKEv2 VPN für mobile Benutzer auf der pfSense oder OPNsense Firewall einrichten
Sollte auch für die Lancom Gurke identisch sein sofern die modernes IKEv2 versteht.
IKEv2 mit nur PSK geht prinzipienbedingt nur sehr eingeschränkt, da IKEv2 Zertifikate erzwingt bzw. vorgibt.
v2 ohne Zertifikate ist nicht möglich aus gutem Grund !
Da bist du leider falsch informiert, das geht sehr wohl ... auch wenn es sicherheitstechnisch natürlich Unterirdisch ist:https://m.heise.de/security/artikel/IKEv2-Protokoll-im-Detail-270950.htm ...
Auch ein Hybrid-Authentifizierungsmodus wird nun offiziell unterstützt: In einem Remote-Access-Szenario kann sich das zentrale VPN-Gateway mit einer durch ein Zertifikat beglaubigten RSA-Signatur ausweisen, während die Clients althergebrachte Pre-Shared Keys (PSKs) verwenden können, so dass man auf eine aufwendige Public-Key-Infrastruktur verzichten kann. Ist die erste Kontaktaufnahme erfolgreich verlaufen, so schiebt der Initiator einen IKE_AUTH Request mit seiner Identität IDi und seiner Authentifizierungs-Payload Authi nach, die auf PSK (Pre-Shared Keys) oder RSA beruhen kann. Optional kann noch die gewünschte Identität IDr angegeben werden, falls die Gegenstelle mehrere Identitäten besitzt. 
Danke für Eure Antworten.
Hallo Leute,
ich wollte noch eine kleine Rückmeldung geben. Inzwischen läuft der Zugang via Shrewsoft VPN.
Ich bin zufällig auf ein kleines Tool namens VPN Multiconnect gestoßen, welches (angeblich) kompatible Settings-Files für Lancom bzw Shrew-Client erstellt. Ich schreibe angeblich, weil es anfangs trotzdem noch nicht funktionierte. Wie ich dann mit dem Trace-Tool von LanConfig feststellen konnte, lag es daran, dass beide Seiten irgendwie "aneinander vorbeiredeten" bei der Aushandlung der Verbindungsparameter, genauergesagt bei der Übermittlung der DH-Exchange-Gruppe, des Verschlüsselungsalgorhythmus und des Hash-Algorhythmus. Auch dann, wenn die Einstellungen im Shrew-Client auf Auto standen. Sprich: Wenn der Shrew-Client gerade "Group 2" sendete, wollte der Lancom gerade Group 14 haben. Sendete Shrew gerade SHA1 als Hashalgorhythmus, wollte der Lancom gerade MD5 haben usw. Die logische Konsequenz: Ich hab die Settings im Shrew-Client an das angepasst, was der Lancom erwartete und prompt wurde die Verbindung aufgebaut.
ich wollte noch eine kleine Rückmeldung geben. Inzwischen läuft der Zugang via Shrewsoft VPN.
Ich bin zufällig auf ein kleines Tool namens VPN Multiconnect gestoßen, welches (angeblich) kompatible Settings-Files für Lancom bzw Shrew-Client erstellt. Ich schreibe angeblich, weil es anfangs trotzdem noch nicht funktionierte. Wie ich dann mit dem Trace-Tool von LanConfig feststellen konnte, lag es daran, dass beide Seiten irgendwie "aneinander vorbeiredeten" bei der Aushandlung der Verbindungsparameter, genauergesagt bei der Übermittlung der DH-Exchange-Gruppe, des Verschlüsselungsalgorhythmus und des Hash-Algorhythmus. Auch dann, wenn die Einstellungen im Shrew-Client auf Auto standen. Sprich: Wenn der Shrew-Client gerade "Group 2" sendete, wollte der Lancom gerade Group 14 haben. Sendete Shrew gerade SHA1 als Hashalgorhythmus, wollte der Lancom gerade MD5 haben usw. Die logische Konsequenz: Ich hab die Settings im Shrew-Client an das angepasst, was der Lancom erwartete und prompt wurde die Verbindung aufgebaut.
Dazu wäre nicht der Shrew nicht unbedingt erforderlich, denn das kann natürlich auch der bordeigene Winblows IPsec VPN Client.
Siehe:
IPsec IKEv2 VPN für mobile Benutzer auf der pfSense oder OPNsense Firewall einrichten
Siehe:
IPsec IKEv2 VPN für mobile Benutzer auf der pfSense oder OPNsense Firewall einrichten
Hallo,
bin hier neu und stehe vor folgendem Problem:
Ich soll für unser Büro eine VPN-Verbindung von unseren Notebooks zum Lancom mit Windows 10 Bordmitteln herstellen. Auf die hier verlinkten Anleitungen kann ich nicht zurückgreifen, weil diese sich nicht auf einen Lancom beziehen und ich nicht genau weiß, welche Schritte ich durchführen muss. Die Lancomsoftware würde ca. 500 € kosten, wax r3 ht hoch ist.
Gibt es eine Schritt-für-Schritt Anleitung, was ich machen muss einschließlich der Zertifikatserstellung?
Ich bin kein Profi, bin aber im Büro mit solchen Sachen betraut, da ich so einigermaßen Windowskenntnisse habe. Wir haben einen LANCOM VAW1781 und verfügen im Büro über ein kleines Domänennetzwerk.
Würde mich über Hilfe freuen.
bin hier neu und stehe vor folgendem Problem:
Ich soll für unser Büro eine VPN-Verbindung von unseren Notebooks zum Lancom mit Windows 10 Bordmitteln herstellen. Auf die hier verlinkten Anleitungen kann ich nicht zurückgreifen, weil diese sich nicht auf einen Lancom beziehen und ich nicht genau weiß, welche Schritte ich durchführen muss. Die Lancomsoftware würde ca. 500 € kosten, wax r3 ht hoch ist.
Gibt es eine Schritt-für-Schritt Anleitung, was ich machen muss einschließlich der Zertifikatserstellung?
Ich bin kein Profi, bin aber im Büro mit solchen Sachen betraut, da ich so einigermaßen Windowskenntnisse habe. Wir haben einen LANCOM VAW1781 und verfügen im Büro über ein kleines Domänennetzwerk.
Würde mich über Hilfe freuen.
