web-dev-qa-db-ja.com

Windows 10からL2TP IPsec VPNに接続できませんが、macOS High Sierraで動作します

Windows 10クライアントからUbiquiti EdgeRouter VPNに接続しようとしています。次の手順を実行しました https://help.ubnt.com/hc/en-us/articles/204950294-EdgeRouter-L2TP- IPsec-VPN-Server ですが、VPNに接続しようとすると、次のようになります。

セキュリティ層がリモートコンピューターと互換性のあるパラメーターをネゴシエートできなかったため、L2TP接続の試行に失敗しました。

私はいくつかの調査を行い、Microsoft CHAPバージョン2（MS-CHAP v2）とチャレンジハンドシェイク認証プロトコル（CHAP）を許可するようにVPNセキュリティプロパティを変更しましたが、まったく違いがなかったようです。

同時に、macOS High Sierraクライアントから接続するのに何の問題もありません。クライアント側（Windows VPN設定）に問題があると思いますか？誰かがこれを手伝ってくれる？

windowsvpnipsecl2tp
4
div-opn

そのエラーメッセージは、おそらくWindowsとUbiquitiの間にある程度の接続があることを意味しますが、一般的な暗号化方法を見つけることができませんでした。フェーズ1（鍵交換）の場合、Windows（バージョン1803）は、次の暗号化方式を（この優先順位で）提案しています。

  1. SHA1 + AES-CBC-256 + ECP384
  2. SHA1 + AES-CBC-128 + ECP256
  3. SHA1 + AES-CBC-256 + MODP2048
  4. SHA1 + 3DES-CBC + MODP2048
  5. SHA1 + 3DES-CBC + MODP1024

フェーズ2の場合：

  1. SHA1 + AES-CBC-256
  2. SHA1 + AES-CBC-128

Ubiquitiがこれらの提案の1つを受け入れることができることを確認してください。そのため、Ubiquitiのフェーズ1およびフェーズ2の提案をこのようなものに設定してみてください。

set vpn ipsec ike-group FOO0 lifetime 86400
set vpn ipsec ike-group FOO0 proposal 1 dh-group 14
set vpn ipsec ike-group FOO0 proposal 1 encryption aes256
set vpn ipsec ike-group FOO0 proposal 1 hash sha1
set vpn ipsec esp-group FOO0 lifetime 43200
set vpn ipsec esp-group FOO0 pfs disable
set vpn ipsec esp-group FOO0 proposal 1 encryption aes128
set vpn ipsec esp-group FOO0 proposal 1 hash sha1

NATトラバーサルも有効にします。

set vpn ipsec nat-traversal enable

私はユビキティを本当に知りませんが、多分これは役に立ちます。

2
bcs78

私見これはWindows 10の組み込みVPNクライアントのバグです。 SoftEtherを実行しているほぼ同じVPNサーバーが2つあります。私が覚えているので（SSTPを使用して）、最初のVPN接続へのVPN接続に問題はありませんでした。同じネットワーク上の同じプロバイダーによってほぼ同じように構成およびホストされているVPNサーバーへの同じWindows PC上の2番目のVPN接続-SSTP経由で接続すると、WindowsクライアントがMSCHAP v2を受け入れない、または提供しないサーバーログから読み取ることができます認証用。ある日PSKでL2TP/IPSecを使用するようにWindowsクライアントを変更しようとするまで、何も問題を解決できませんでした。瞬時につながりました。次に、Windowsの構成をSSTPに戻しただけで、それ以降は簡単に動作します。

0
Jindrich Vavruska

ここでも同じ問題ですが、Cisco Merakiを使用しています。ラップトップが1803ビルドにアップグレードされるまでは問題なく動作していました。私はあなたが同じビルドを持っているに違いない。最近押し出されました。あなたが何をしているのかは問題ではないようです-L2TPに何か問題があります。

まだビルド1709を使用している場合は、ファイアウォールルールを追加して、ポート500、1701、4500のUDP/TCPの入出力を許可する必要があります。

https://docs.Microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/dd458955（v = ws.10） =

0
Some Guy