Toon posts:

Win98SE <-> NAT-T <-> Win2k3 probleem

Pagina: 1
Acties:

maandag 10 november 2003 13:09

Acties:

Verwijderd

Topicstarter
Ik heb recent een Windows 2003 Server opgezet als een VPN server. De VPN server maakt gebruik van de certificate server die bij Windows 2003 Server meegeleverd wordt, en accepteerd alleen L2TP connecties.
Op het LAN werkt de server uitstekend, en kunnen Windows 2000, Windows XP en Windows 98SE computers inloggen.

Dit veranderd echter als ik een connectie probeer te maken vanaf de buitenwereld.
Met de NAT-T patch wil de Windows XP machine zonder problemen een connectie maken. De Windows 98SE machine lukt dit echter niet.
Op de Windows 98SE machine zijn de volgende programma's/patches geinstalleerd:
* Windows 98 SE DUN v1.4
* Active Directory Client Extensions for Windows 95/98 and Windows NT 4.0
* L2TP/IPSec VPN Client 1.0 release to web
* Internet Explorer 6 Service Pack 1
Ik gebruik dezelfde dail-up connectie om een connectie op te bouwen vanaf de Windows XP en de Windows 98SE machine, dus het probleem zal niet aan de ISP liggen.
De Windows 98SE machine draait ook geen enkele vorm van een firewall.

Ik heb ergens gelezen dat er timeout problemen zijn met UDP en IKE als je een IPTables firewall gebruikt (de firewall die tussen mijn LAN en het internet zit), maar het lijkt mij echter sterk dat dit het probleem is. Als dit het geval zou zijn geweest dan zou de Windows XP machine ook geen connectie kunnen maken.
Verder zijn er op de Windows 2003 server en op de clients geen timeout settings te vinden.

Kan iemand mij mischien helpen met dit probleem? Ik heb al heel wat afgezocht op het internet maar geen gerelateerde discussies kunnen vinden.

Alvast bedankt voor je tijd.

Voor de volledigheid zal ik een stuk van mijn isakmp.log van de Windows 98SE machine bijvoegen. Wellicht wordt iemand hier wat meer wijs uit dan ik.

code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143

11-05: 14:41:58.180 Interface added: 194.109.188.237/255.255.255.0 on MODEM
"Modem of Xircom CreditCard 100+56".
11-05: 14:42:15.320
11-05: 14:42:15.320 Microsoft IPsec VPN\L2TP/IPsec - Initiating IKE Phase 1
(IP ADDR=195.64.93.150)
11-05: 14:42:15.320 Microsoft IPsec VPN\L2TP/IPsec - Generic entry match
with remote address 195.64.93.150.
11-05: 14:42:15.320 Microsoft IPsec VPN\L2TP/IPsec - SENDING>>>> ISAKMP OAK
MM (SA, VID, VID, VID)
11-05: 14:42:15.540 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
MM (SA, VID, VID, VID)
11-05: 14:42:15.590 Microsoft IPsec VPN\L2TP/IPsec - Peer is IKE
fragmentation capable
11-05: 14:42:15.590 Microsoft IPsec VPN\L2TP/IPsec - IKE fragmentation
enabled
11-05: 14:42:15.590 Microsoft IPsec VPN\L2TP/IPsec - Peer is NAT-T draft-02
capable
11-05: 14:42:15.590 Microsoft IPsec VPN\L2TP/IPsec - SENDING>>>> ISAKMP OAK
MM (KE, NON, NAT-D, NAT-D, VID, VID, VID, VID)
11-05: 14:42:15.980 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
MM (KE, NON, CERT_REQ, NAT-D, NAT-D)
11-05: 14:42:16.750 Microsoft IPsec VPN\L2TP/IPsec - NAT is detected for
Peer
11-05: 14:42:16.750 Microsoft IPsec VPN\L2TP/IPsec - Floating to IKE non-500
port
11-05: 14:42:16.800 Microsoft IPsec VPN\L2TP/IPsec - Using auto-selected
machine certificate "Users + (username)'s CN=x-server, DC=home, DC=local
ID".
11-05: 14:42:16.860 Microsoft IPsec VPN\L2TP/IPsec - SENDING>>>> ISAKMP OAK
MM *(ID, CERT, CERT_REQ, SIG, NOTIFY:STATUS_INITIAL_CONTACT)
11-05: 14:42:16.860 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
MM (Retransmission)
11-05: 14:42:16.860 Microsoft IPsec VPN\L2TP/IPsec - SENDING>>>> ISAKMP OAK
MM *(Retransmission)
11-05: 14:42:18.500 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
MM (Retransmission)
11-05: 14:42:18.500 Microsoft IPsec VPN\L2TP/IPsec - SENDING>>>> ISAKMP OAK
MM *(Retransmission)
11-05: 14:42:21.960 Microsoft IPsec VPN\L2TP/IPsec - message not received!
Retransmitting using fragmentation!
11-05: 14:42:21.960 Microsoft IPsec VPN\L2TP/IPsec - SENDING>>>> ISAKMP OAK
MM (FRAG)
11-05: 14:42:21.960 Microsoft IPsec VPN\L2TP/IPsec - SENDING>>>> ISAKMP OAK
MM (FRAG)
11-05: 14:42:21.960 Microsoft IPsec VPN\L2TP/IPsec - SENDING>>>> ISAKMP OAK
MM (FRAG)
11-05: 14:42:21.960 Microsoft IPsec VPN\L2TP/IPsec - SENDING>>>> ISAKMP OAK
MM (FRAG)
11-05: 14:42:21.960 Microsoft IPsec VPN\L2TP/IPsec - SENDING>>>> ISAKMP OAK
MM (FRAG)
11-05: 14:42:22.510 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
MM (Retransmission)
11-05: 14:42:22.510 Microsoft IPsec VPN\L2TP/IPsec - SENDING>>>> ISAKMP OAK
MM *(Retransmission)
11-05: 14:42:23.230 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
MM *(ID, CERT, SIG)
11-05: 14:42:23.340 Microsoft IPsec VPN\L2TP/IPsec - Established IKE SA
11-05: 14:42:23.340    MY COOKIE f1 41 8 92 d3 fb 53 46
11-05: 14:42:23.340    HIS COOKIE a2 b7 ac 9e e1 cc dd b5
11-05: 14:42:23.340 Microsoft IPsec VPN\L2TP/IPsec - Initiating IKE Phase 2
with Client IDs (message id: 481644B3)
11-05: 14:42:23.340   Initiator = IP ADDR=194.109.188.237, prot = 17 port =
1701
11-05: 14:42:23.340   Responder = IP ADDR=195.64.93.150, prot = 17 port =
1701
11-05: 14:42:23.340 Microsoft IPsec VPN\L2TP/IPsec - SENDING>>>> ISAKMP OAK
QM *(HASH, SA, NON, ID, ID)
11-05: 14:42:23.940 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
MM *(Retransmission)
11-05: 14:42:23.940 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
QM *(HASH, SA, NON, ID, ID, NAT-OA)
11-05: 14:42:23.940 Microsoft IPsec VPN\L2TP/IPsec - Phase 2 Local ID
Received from NAT Peer: IP ADDR=194.109.188.237 (prot = 17, port = 1701)
11-05: 14:42:23.940 Microsoft IPsec VPN\L2TP/IPsec - Phase 2 Remote ID
Received from NAT Peer: DOMAIN=x-server.home.local (prot = 17, port = 1701)
11-05: 14:42:23.940 Microsoft IPsec VPN\L2TP/IPsec - Indeterminate remote
internal address.
11-05: 14:42:23.940 Microsoft IPsec VPN\L2TP/IPsec - Error validating Proxy
IDs.
11-05: 14:42:24.490 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
QM *(HASH, )
11-05: 14:42:24.490 Microsoft IPsec VPN\L2TP/IPsec - Received malformed
message or negotiation no longer active (message id: 481644B3)
11-05: 14:42:26.470 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
QM *(HASH, )
11-05: 14:42:26.470 Microsoft IPsec VPN\L2TP/IPsec - Received malformed
message or negotiation no longer active (message id: 481644B3)
11-05: 14:42:30.480 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
QM *(HASH, )
11-05: 14:42:30.480 Microsoft IPsec VPN\L2TP/IPsec - Received malformed
message or negotiation no longer active (message id: 481644B3)
11-05: 14:42:38.500 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
QM *(HASH, )
11-05: 14:42:38.500 Microsoft IPsec VPN\L2TP/IPsec - Received malformed
message or negotiation no longer active (message id: 481644B3)
11-05: 14:42:40.250
11-05: 14:42:40.250 Microsoft IPsec VPN\L2TP/IPsec - Generic entry match
with remote address 195.64.93.150.
11-05: 14:42:40.970 Microsoft IPsec VPN\L2TP/IPsec - Initiating IKE Phase 2
with Client IDs (message id: 32BE939)
11-05: 14:42:40.970   Initiator = IP ADDR=194.109.188.237, prot = 17 port =
1701
11-05: 14:42:40.970   Responder = IP ADDR=195.64.93.150, prot = 17 port =
1701
11-05: 14:42:40.970 Microsoft IPsec VPN\L2TP/IPsec - SENDING>>>> ISAKMP OAK
QM *(HASH, SA, NON, ID, ID)
11-05: 14:42:42.560 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
QM *(HASH, SA, NON, ID, ID, NAT-OA)
11-05: 14:42:42.560 Microsoft IPsec VPN\L2TP/IPsec - Phase 2 Local ID
Received from NAT Peer: IP ADDR=194.109.188.237 (prot = 17, port = 1701)
11-05: 14:42:42.560 Microsoft IPsec VPN\L2TP/IPsec - Phase 2 Remote ID
Received from NAT Peer: DOMAIN=x-server.home.local (prot = 17, port = 1701)
11-05: 14:42:42.560 Microsoft IPsec VPN\L2TP/IPsec - Indeterminate remote
internal address.
11-05: 14:42:42.560 Microsoft IPsec VPN\L2TP/IPsec - Error validating Proxy
IDs.
11-05: 14:42:42.620 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
QM *(HASH, )
11-05: 14:42:42.620 Microsoft IPsec VPN\L2TP/IPsec - Received malformed
message or negotiation no longer active (message id: 32BE939)
11-05: 14:42:44.480 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
QM *(HASH, )
11-05: 14:42:44.480 Microsoft IPsec VPN\L2TP/IPsec - Received malformed
message or negotiation no longer active (message id: 32BE939)
11-05: 14:42:48.490 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
QM *(HASH, )
11-05: 14:42:48.490 Microsoft IPsec VPN\L2TP/IPsec - Received malformed
message or negotiation no longer active (message id: 32BE939)
11-05: 14:42:54.530 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
QM *(HASH, )
11-05: 14:42:54.530 Microsoft IPsec VPN\L2TP/IPsec - Received malformed
message or negotiation no longer active (message id: 481644B3)
11-05: 14:42:56.510 Microsoft IPsec VPN\L2TP/IPsec - RECEIVED<<< ISAKMP OAK
QM *(HASH, )
11-05: 14:42:56.510 Microsoft IPsec VPN\L2TP/IPsec - Received malformed
message or negotiation no longer active (message id: 32BE939)
11-05: 14:42:58.870 Interface lost: 194.109.188.237
11-05: 14:42:59.590 Microsoft IPsec VPN\L2TP/IPsec - Deleting IKE SA (IP
ADDR=195.64.93.150)
11-05: 14:42:59.590    MY COOKIE f1 41 8 92 d3 fb 53 46
11-05: 14:42:59.590    HIS COOKIE a2 b7 ac 9e e1 cc dd b5
11-05: 14:42:59.590 Microsoft IPsec VPN\L2TP/IPsec - SENDING>>>> ISAKMP OAK
INFO *(HASH, DEL)

dinsdag 11 november 2003 09:28

Acties:
  • zomertje
  • Registratie: Januari 2000
  • Laatst online: 17-02 12:22

zomertje

Barisax knorretje

Met ip-chains waren er wel problemen voor zover ik weet. Ik geloof dat er een speciale setting in ip-tables nodig zou zijn.. heb er zelf nog niet naar gekeken eigenlijk.

Misschien weten ze het beter in 'NOS'?

het ultieme jaargetijde.... | #!/usr/bin/girl | Art prints and fun

dinsdag 11 november 2003 09:40

Acties:

Verwijderd

Topicstarter
zomertje schreef op 11 november 2003 @ 09:28:
Met ip-chains waren er wel problemen voor zover ik weet. Ik geloof dat er een speciale setting in ip-tables nodig zou zijn.. heb er zelf nog niet naar gekeken eigenlijk.
Dat was inderdaad ook mijn eerste reactie toen ik het artikel las over de timeout problemen aangaande UDP en IKE.
Echter kan de Windows XP machine prima een connectie maken met de VPN server, dus lijkt het mijn onwaarschijnlijk. Ik heb het echter wel in mijn verhaal vermeld om te laten blijken dat ik hiervan op de hoogte ben.

Verder is de 'setting' inderdaad wel te veranderen, maar alleen bij het compilen van de source van IPTables zo heb ik vernomen. Daar de Windows XP machine wel een connectie kan opbouwen en ik verder geen verstand heb van het compilen van sources ben ik verder niet achter deze optie aangegaan.
Misschien weten ze het beter in 'NOS'?
Om eerlijk te zijn lijkt het mij meer een Windows 98(SE) probleem, een Windows 2003 probleem (onwaarschijnlijk? maar je weet maar nooit) of toch een algemeen netwerk probleem.
Maar het blijft alleen maar gissen natuurlijk...

In ieder geval bedankt voor je reply.
Reageer