L2TP IPSec

По возможности не используйте этот тип подключения. Этот способ подключения может работать нестабильно, обладает огромной избыточностью, низкой производительностью и поддерживает не самое сильное шифрование. Вместо этого рекомендуется IPSec-IKEv2. Все современные ОС поддерживают IKEv2, либо для них есть приложения.

Настройка глобальных параметров Ideco UTM

1. Перейдите в раздел Пользователи -> Авторизация -> VPN-авторизация.

2. Включите флажок Авторизация L2TP/IPSec.

3. Укажите секретную фразу (PSK ключ).

4. Нажмите на кнопку Сохранить.

Настройка пользователей в Ideco UTM

Разрешите пользователю подключения по VPN из сети интернет, включив в настройках пользователя (Пользователи -> Нужный пользователь -> вкладка Основное) флажок Разрешить удаленный доступ через VPN.

Общие настойки подключающегося устройства

При настройке подключения по VPN из сети Интернет, в свойствах VPN-подключения нужно указывать:

• Тип VPN - L2TP/IPsec;

• Внешний адрес Ideco UTM в качестве VPN-сервера;

• Логин и пароль созданного пользователя;

• PSK (pre-shared key) - ключ, указанный на странице Сервисы -> Авторизация пользователей -> VPN-авторизация;

• Включить шифрование соединения.

После подключения вы будете авторизованы на сервере Ideco UTM от имени созданного пользователя и вам будут доступны сетевые хосты в локальной сети предприятия.

Если вы не хотите, чтобы после подключения по VPN интернет-трафик до внешних ресурсов ходил через Ideco UTM, то в свойствах VPN-подключения Сеть/Протокол интернета TCP/IP версии 4/Дополнительно уберите галочку Использовать основной шлюз в удаленной сети. Далее чтобы получить доступ к компьютерам за Ideco UTM, вручную пропишите маршруты.

Настройка подключения к серверу в Windows 7, 8, 10.

Вы можете создать скрипт для подключения пользователей, тогда достаточно будет запустить полученный файл - все настройки создадутся автоматически.

Для настройки подключения вручную выполните следующие действия:

1. Зайдите в Центр управления сетями и общим доступом -> Создание и настройка нового подключения или сети.

2. Выберите пункт Подключение к рабочему месту.

3. Пункт Использовать моё подключение к Интернету (VPN).

4. Введите адрес сервера (доменное имя или внешний IP-адрес Ideco UTM) и название подключения.

5. Перейдите в свойства данного подключения.

6. На вкладке Безопасность установите следующие параметры:

7. Нажмите кнопку Дополнительные параметры, и введите общий ключ (PSK-ключ).

Если не удалось подключиться, рекомендуем выполнить следующие действия:

1. Откройте редактор реестра.;

2. Перейти в HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent и создать DWORD-параметр с именем AssumeUDPEncapsulationContextOnSendRule и значением 2;

3. Перезагрузить Windows.

Настройка подключения L2TP/IPsec на Ubuntu Linux

1. Для настройки VPN-подключения выполните следующие действия: 1. Подключите репозиторий, в котором находятся необходимые пакеты для создания L2TP VPN-соединения, а затем обновите информацию о репозиториях. Для этого выполните следующие команды:

sudo add-apt-repository ppa:nm-l2tp/network-manager-l2tp
sudo apt update

2. Установите дополнение к стандартному NetworkManager с помощью двух пакетов.

sudo apt install -y network-manager-l2tp network-manager-l2tp-gnome

3. После окончания установки пакетов, в графическом окне создания подключений по VPN выберите пункт Layer 2 Tunneling Protocol (L2TP).

4. В появившемся окне перейдите во вкладку Identity и заполните следующие поля:

• Name: имя подключения.

• Gateway: доменное имя или IP-адрес внутреннего интерфейса UTM.

• Type: Password-аутентификация по пользователю и паролю.

• User name: имя пользователя, которому разрешена авторизация по VPN.

• Password: пароль пользователя. В правой части поля необходимо выбрать вариант хранения для пароля от VPN-соединения.

• NT Domain: оставьте поле пустым.

Пример заполнения параметров продемонстрирован на скриншоте ниже:

5. Настройте дополнительные параметры подключения в подменю IPsec Settings и PPP Settings.

5.1 Включите опцию **Enable IPsec tunnel to L2TP host**, чтобы активировалась возможность настраивать остальные параметры.

5.2. Заполните следующие поля:

* Type: Pre-shared key (PSK) – аутентификация по общему ключу.
* Pre-shared key: ключ, который необходимо скопировать по пути **Пользователи -> Авторизация  -> VPN-авторизация** из поля PSK.
* Remote ID: доменное имя UTM (необязательное поле).
* Phase1 Algorithms: дополнительные параметры, используемые при формировании первой фазы (IKE) (по умолчанию используется Main Mode) (необязательное поле).
* Phase2 Algorithms: дополнительные параметры, используемые при формировании второй фазы (ESP) (по умолчанию используется Quick Mode) (необязательное поле).
* Phase1 Lifetime: время до пересоздания IKE SA, можно оставить по умолчанию.
* Phase2 Lifetime: время до пересоздания IPsec SA, можно оставить по умолчанию.
* Enforce UDP encapsulation: принудительно использовать UDP инкапсуляцию, может помочь, когда файрволл блокирует ESP трафик.
* Use IP compression: сжатие необработанных пакетов перед их шифрованием.
* Use IKEv2 key exchange: использование IKEv2, можно не использовать. 
* Use PFS: выключение алгоритма perfect forward secrecy.

Пример заполнения параметров в подменю IPsec Settings представлен ниже на скриншоте:

6. Далее настройте параметры в подменю PPP Settings.

• PAP: аутентификация с использованием открытого текста (без шифрования).

• CHAP: аутентификация с проверкой подлинности с использованием косвенных сведений о пользователе, выполняется через трехстороннее рукопожатие.

• MSCHAP: аутентификация с проверкой подлинности без передачи пароля клиента, использующий механизм «вызов-ответ», выполняется через трехстороннее рукопожатие.

• MSCHAPv2: улучшенная версия MSCHAP, предоставляет возможность клиенту менять пароль (по истечению срока пароля), для приема и передачи данных используются разные ключи шифрования.

• EAP: используется для выбора метода аутентификации, передачи ключей и обработки этих ключей подключаемыми модулями (методами EAP).

• Use Point-to-Point encryption (MPPE) – используется для шифрования данных в подключениях на базе PPP или в VPN подключениях по PPTP.

• Allow BSD data compression: использование алгоритма BSD-compress.

• Allow Deflate data compression: использование алгоритма Deflate.

• Use TCP header compression: использование метода сжатия заголовков TCP/IP Вана Якобсона.

• Use protocol field compression negotiation: использовать сжатие на поле «Протокол».

• Use Address/Control compression: использовать сжатие полей «Адрес/Управление».

• Send PPP echo packets: использовать LCP-эхо запросы.

• MTU: размер максимального блока передачи данных, можно оставить по умолчанию.

• MRU: размер максимального блока получения данных, можно оставить по умолчанию.

Пример выставленных настроек подменю PPP Settings представлен ниже на рисунке:

7. Сохраните настройки VPN-подключения кнопкой Add.

8. Появится готовое VPN-соединение, которое необходимо активировать. Для этого перетащите ползунок в положение Включено. При успешном подключении по VPN в верхнем-правом углу монитора появится соответствующий значок.

Возможные неполадки

1. Неправильно указан логин или пароль пользователя. Часто при повторном соединении предлагается указать домен. Старайтесь создавать цифро-буквенные пароли, желательно на латинице для ваших учетных записей. Если есть сомнения в этом пункте, то временно установите логин и пароль пользователю «user» и «123456».

2. Если подключение осуществляется с ОС Windows, то для того, чтобы пакеты пошли через него надо убедиться, что в настройках этого подключения стоит чекбокс Использовать основной шлюз в удалённой сети в разделе Свойства подключения VPN -> Вкладка «Сеть» -> Свойства опции «Протокол Интернета версии 4 (TCP/IPv4)» -> Дополнительно. Если же маршрутизировать все пакеты в этот интерфейс не обязательно, то маршрут надо писать вручную.

3. Подключение происходит через DNAT, т.е. внешний интерфейс Ideco UTM не имеет «белого» IP-адреса, а необходимые для работы порты (500 и 4500) «проброшены» на внешний интерфейс устройства, расположенного перед Ideco UTM и имеющего «белый» IP-адрес. В данном случае VPN-подключение либо вообще не будет устанавливаться, либо будут периодические обрывы. Решение - исключить устройство перед Ideco UTM и указать на внешнем интерфейсе Ideco UTM «белый» IP-адрес, к которому в итоге и будут осуществляться L2TP/IPsec-подключения. Либо используйте протокол SSTP, потому что его проще опубликовать с помощью проброса портов.

4. Если в OC Windows 10 повторно подключиться по L2TP, но при этом использовать невалидный ключ PSK (введя его в дополнительных параметрах (скриншот ниже)), подключение все равно будет установлено успешно. Это связано с особенностями работы ОС.

Для того чтобы поменять общий PSK ключ, перейдите в Настройки параметров адаптера -> Выберите подключение по L2TP -> Свойства -> Безопасность -> Дополнительные параметры и введите новый ключ PSK.

Убедитесь, что локальная сеть (или адрес на сетевой карте) на удалённой машине не пересекается с локальной сетью вашей организации, а если пересекается, то доступа к сети вашей организации не будет (трафик по таблице маршрутизации пойдёт в физический интерфейс, а не в VPN). Адресацию необходимо менять.

Скрипт автоматического создания пользовательских подключений по L2TP/IPSec

Вы можете запустить следующий скрипт PowerShell для автоматического создания подключения на компьютерах пользователей с Windows 8.1 и 10. Для этого скачайте готовые скрипты подключения вашего сервера из раздела Пользователи -> Авторизация -> VPN-авторизация.

Подключение будет создано со следующими параметрами:

1. Протокол L2TP/IPsec с использованием PSK-ключа.

2. Параметр Использовать основной шлюз в удаленной сети выключен.

   Доступ к локальным сетям того же класса, что были получены для VPN-подключения по умолчанию в Windows 7 и 10 будет осуществляться через VPN-подключение, поэтому дополнительных маршрутов создавать не нужно (если вы не используете разные классы сетей в локальной сети офиса).

Создайте файл с именем ideco_utm_l2tp.ps1 (в Блокноте или редакторе Windows PowerShell ISE) и скопируйте в него следующий текст:

### Ideco UTM L2TP/IPsec connection ###
param([switch]$Elevated)
$currentUser = New-Object Security.Principal.WindowsPrincipal $([Security.Principal.WindowsIdentity]::GetCurrent())
if (!$currentUser.IsInRole([Security.Principal.WindowsBuiltinRole]::Administrator))  {
  if (!$elevated) {
    Start-Process `
            powershell.exe `
            -Verb RunAs `
            -ArgumentList ('-noprofile -noexit -file "{0}" -elevated' -f ( $myinvocation.MyCommand.Definition ))
  }
  exit
}
Enable-NetFirewallRule -Group "@FirewallAPI.dll,-28502"
Add-VpnConnection `
    -Force `
    -Name "Ideco UTM L2TP VPN" `
    -TunnelType L2TP `
    -ServerAddress my.domain.com `
    -L2tpPsk "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX" `
    -EncryptionLevel "Required" `
    -AuthenticationMethod MSChapV2 `
    -SplitTunneling $False `
    -DnsSuffix activedirectory.domain `
    -RememberCredential

Поменяйте в нем необходимые параметры на соответствующие вашим настройкам:

• Ideco UTM L2TP VPN - имя подключения в системе (может быть произвольным).

• my.domain.com - домен или IP-адрес основного внешнего интерфейса Ideco UTM.

• XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX - PSK-ключ вашего сервера.

• activedirectory.domain - ваш домен Active Directory (если есть, если нет нужно удалить эту строчку из скрипта).

Запустить скрипт на компьютере пользователя можно из контекстного меню файла «Выполнить с помощью PowerShell». Нажмите «Ок» в диалоге повышения прав (они требуются для разрешения доступа к общим файлам и принтерам).

После этого подключение в системе будет создано, а также включен общий доступ к файлам и принтерам для всех сетей (иначе доступ к файловым ресурсам в локальной сети может быть невозможен).

Пользователю при первой авторизации необходимо ввести свой логин/пароль.

Возможные ошибки при выполнении скрипта

• При появлении ошибки «Выполнение сценариев отключено в этой системе», нужно включить выполнение сценарием, выполнив команду в PowerShell: Set-ExecutionPolicy Unrestricted.

Если VPN-соединение установлено, но не получается получить доступ к ресурсам локальной сети

Выполните рекомендации статьи Особенности маршрутизации и организации доступа.