web-dev-qa-db-ja.com

Mac OS X Mavericks Server L2TPVPNサービスに対するActiveDirectoryユーザーの認証

2つのドメインコントローラーで構成されるWindowsServer 2012 ActiveDirectoryインフラストラクチャがあります。 Active Directoryドメインにバインドされているのは、Mac OS X Mavericks Server10.9.3です。サーバーはプロファイルマネージャーとVPNサービスを実行します。 Active Directoryユーザーは、プロファイルマネージャーに対して認証できますが、VPNに対しては認証できません。

同様の問題を報告している他のユーザーの他のフォーラムでいくつかのスレッドを見つけました。これは多くの参照の1つにすぎません： https://discussions.Apple.com/thread/5174619

問題はCHAP認証の失敗に関連しているように見えます。

  • 誰かが私が取るかもしれない次のトラブルシューティング手順を提案できますか？
  • 認証メカニズムを自由化してMS-CHAPv2を含める方法はありますか？

これは、ログからのトランザクションの抜粋です。ドメインがexample.comに変更されていることに注意してください。

Jun 6 15:25:03 profile-manager.example.com vpnd[10317]: Incoming call... Address given to client = 192.168.55.217 Jun 6 15:25:03 profile-manager.example.com pppd[10677]: publish_entry SCDSet() failed: Success! Jun 6 15:25:03 --- last message repeated 2 times --- Jun 6 15:25:03 profile-manager.example.com pppd[10677]: pppd 2.4.2 (Apple version 727.90.1) started by root, uid 0 Jun 6 15:25:03 profile-manager.example.com pppd[10677]: L2TP incoming call in progress from '108.46.112.181'... Jun 6 15:25:03 profile-manager.example.com racoon[257]: pfkey DELETE received: ESP 192.168.55.12[4500]->108.46.112.181[4500] spi=25137226(0x17f904a) Jun 6 15:25:04 profile-manager.example.com pppd[10677]: L2TP connection established. Jun 6 15:25:04 profile-manager kernel[0]: ppp0: is now delegating en0 (type 0x6, family 2, sub-family 0) Jun 6 15:25:04 profile-manager.example.com pppd[10677]: Connect: ppp0 <--> socket[34:18] Jun 6 15:25:04 profile-manager.example.com pppd[10677]: CHAP peer authentication failed for alex Jun 6 15:25:04 profile-manager.example.com pppd[10677]: Connection terminated. Jun 6 15:25:04 profile-manager.example.com pppd[10677]: L2TP disconnecting... Jun 6 15:25:04 profile-manager.example.com pppd[10677]: L2TP disconnected Jun 6 15:25:04 profile-manager.example.com vpnd[10317]: --> Client with address = 192.168.55.217 has hung up

active-directoryvpnauthenticationmac-osx-serverl2tp
2
sardean

CHAPでは、認証サーバーがプレーンテキストのパスワードにアクセスできる必要があります。 Active Directoryはデフォルトでプレーンテキストのパスワードを保存しないため、CHAPは機能しません。

VPNサーバー構成ファイル （com.Apple.RemoteAccessServers.plist）を変更して、MS-CHAPv2認証プロトコルを使用できるように見えます。 プロトコルの弱さ を考えると、私はそれを使用することを本当にお勧めできません。唯一の選択肢は、RSAトークンまたはKerberosのいずれかを使用したEAPです。すでにActiveDirectory環境を使用しているので、OS X VPNサーバーをドメインに参加させ、Kerberosを使用するのがおそらく最善の策だと思います。 （とは言っても、それは私が経験したことのないものであり、段階的な指示を与えることはできません。）

5
Evan Anderson