web-dev-qa-db-ja.com

Windows7をASA5505VPNに接続する際のフェーズ2の不一致

ネットワーク上で新しいASA5505を立ち上げようとしています（以前はIPCopを使用していました）が、VPNを機能させるのに少し問題があります。 ASA（8.3）のASDM（6.3）でIPSec VPNウィザードを実行し、2番目のオプションであるL2TP overIPSecを選択しました。プロファイルでL2TP/IPSecとIPSecの両方を有効にすると、次のクライアントに接続できるようになります。

  • OSX内蔵VPNクライアント
  • OSX CiscoVPNクライアント
  • iPhone
  • iPad

Windowsクライアントを接続しようとしていますが、ほとんどの人がWindows 7 64ビットを実行しているため、残念ながらCisco VPNクライアントを使用することはできませんが、ASAにはバージョン5.0.06のVPNクライアントが付属しています。しかし、5.0.07は64ビットサポートが導入されたバージョンでした。

Windows7の組み込みのL2TP/IPsecクライアントを使用してVPNに接続しようとしていますが、接続時にモニターに表示される一連のイベント（デバッグレベルに設定）は次のとおりです。

Built inbound UDP connection 66792 for outside:x.x.x.x/27917 (x.x.x.x/27917) to identity:IP4/4500 (IP4/4500)
Group = DefaultRAGroup, IP = x.x.x.x, Automatic NAT Detection Status:     Remote end   IS   behind a NAT device     This   end is NOT behind a NAT device
AAA retrieved default group policy (vpn) for user = DefaultRAGroup
Group = DefaultRAGroup, IP = x.x.x.x, PHASE 1 COMPLETED
IP = x.x.x.x, Keep-alives configured on but peer does not support keep-alives (type = None)
Group = DefaultRAGroup, IP = x.x.x.x, All IPSec SA proposals found unacceptable!
Group = DefaultRAGroup, IP = x.x.x.x, QM FSM error (P2 struct &0xca3609e8, mess id 0x1)!
Group = DefaultRAGroup, IP = x.x.x.x, Removing peer from correlator table failed, no match!
Group = DefaultRAGroup, IP = x.x.x.x, Session is being torn down. Reason: Phase 2 Mismatch
Group = DefaultRAGroup, Username = , IP = x.x.x.x, Session disconnected. Session Type: IKE, Duration: 0h:00m:00s, Bytes xmt: 0, Bytes rcv: 0, Reason: Phase 2 Mismatch

（IPアドレスはx.x.x.xに置き換えられました）

この時点で、Windowsクライアントはただ座って座っているだけで、最終的にはタイムアウトになります。

すでに動作しているクライアントとWindowsの両方でこれを動作させるために何を変更する必要があるかを誰かが知っていますか？

私はまだCisco機器の経験があまりないので、含めるべきデバッグ情報や追加のログ情報がある場合はお詫びします。お気軽にお問い合わせください。質問を修正します。

vpnciscocisco-asaipseccisco-vpn
1
Adam Robinson

まず、設定を再確認してください。

すべてのIPSec SA提案は受け入れられません！

.。

セッションは取り壊されています。理由：フェーズ2の不一致

これらはおそらく、設定に実際に不一致があることを意味します。残念ながら、私はWindowsの組み込みクライアントを使用しておらず、互換性の問題を認識していません。

次に、シスコのVPNクライアントの最新バージョンを入手できない場合、つまり小売業者、Cisco.comなどから入手できない場合は、このクライアントを試してみることをお勧めします http://www.shrew.net/software =。これは、シスコがクライアントの64ビットの問題を修正する前に使用していたものです。

2
AlexTsr

http://gregsowell.com/?p=805

別の簡単な注意：複数の動的暗号マップがある場合は、L2TP暗号マップの優先度を他のマップよりも高くする必要があります。この問題が原因で、「すべてのIPSec SA提案が受け入れられないことが判明しました」」と表示されることがよくあります。

2
Charlie Zhu

Windowsが同じ暗号化を使用していない可能性があります。

3DES-MD5または3DES-SHAを使用してVPNをセットアップしましたか？

これがWindowsが使用しているものでもあることを確認してください。

1
Alex

以下を試してみてください、それは何時間もの苦労の後に私を助けました...

crypto ipsec transform-set myset esp-3des esp-sha-hmac

crypto ipsec transform-set myset modetransport

crypto dynamic-map mydynamapp 20 set transform-set myset

crypto isakmp policy 10 authentication pre-share Encryption 3des hash sha group 2

tunnel-group DefaultRAGroup ppp-attributes no authentication chap authentication ms-chap-v​​2

ユーザ名CiscoパスワードCiscochapユーザ名Cisco属性

vpn-tunnel-protocol l2tp-ipsec

他の設定を最小にしておくと、機能するはずです。

0
rewan