VPN von LANCOM 1821n zu DLink DFL-1600

[Mike_1303]

Hallo erstmal,
ich hoffe es kann mir jemand helfen.
Ich habe hier einen LANCOM 1821 vor mir stehen und muss mit diesem Gerät ein VPN zu einem DLink DFL-1600 herstellen.
Leider komme ich überhaupt nicht voran.
Kann mir jemand sagen wie ich beide Geräte dazu bringe ein VPN aufzubauen? Hab die DFL-1600 mal nach folgender Anleitung eingerichtet, komme aber mit dem LANCOM nicht drauf:
ftp://files.dlink.com.au/products/DS-60 ... _Guide.pdf
Wär gut wenn jemand wissen würde wie ich den LANCOM konfigurieren muss damit die zwei Geräte zusammenkommen.
Herzlichen Dank schonmal.

[backslash]

Hi Mike_1303

es geht dabei zwar um einen anderen DLink-Router, aber vielleicht hilft es dir ja trotzdem weiter: http://www2.lancom.de/kb.nsf/1275/16475 ... enDocument

Gruß
Backlslash

[Mike_1303]

Hallo nochmal,
ich brings einfach nicht hin. Hab die letzten Tage ohne Unterbrechnung gewerkelt, aber er will nicht.
Hab es nach deiner empfohlenen Anleitung gemacht, klappt aber nicht.
Mit einem Software-Client gehts allerdings. Ich vermute deshalb daß es an der Config des Lancom liegt. Hab hier mal die Config des Software-Clients, hoffe irgendwer kann mir sagen woran es liegen könnte. Bin echt schon am verzweifeln.

[GENERAL]
Export=1
Product=NCP Secure Entry Client
Version=9.20 Build 33
Zeit=13.06.2010 16:05:41
[PROFILE1]
Name=DFL-1600_TFK
ConnMedia=8
UseForAuto=0
UseRAS=0
BootProfile=0
UserName=""
Password="xxxx"
SavePw=0
PhoneNumber=
ScriptFile=
DialerUser=""
DialerPw="xxxx"
DialerPhone=
HttpName=
HttpPw=
HttpSavePw=0
HttpScript=
ComPort=3
Baudrate=57600
RelComPort=1
Modem=LGE Mobile USB Modem
InitStr=AT<cr>ATE0V1&D2&C1S0=0<cr>ATX1<cr>
DialPrefix=
3GApnSrc=1
3GProvider=
3GUser="r'%M(þ7Y"
3GPw="r'%M(þ7Y"
3GPhone=
APN=AT+cgdcont=1,"IP",""
GprsATCmd=AT+CPIN=
GprsPin=
PreAuthEap=0
PreAuthHttp=0
ConnMode=0
Timeout=300
MultiLink=0
MlThreshold=0
IKE-Policy=Pre-shared Key
IPSec-Policy=3DES-SHA1
ExchMode=2
IkeIdType=1
IkeIdStr=
PkiConfig=
EnableNetBIOS=1
PriVoIP=0
ConnType=1
XAUTH-Id=""
XAUTH-Pw=""
Gateway=yyyy
XAUTH-Src=0
UseTunnel=0
UseXAUTH=0
DisDPD=0
UseUdpEnc=500
UseUdpEncTmp=4500
PathFinder=0
IpAddrAssign=2
IPAddress=192.168.2.123
SubnetMask=255.255.255.0
DNS1=192.168.0.2
DNS2=192.168.0.5
WINS1=0.0.0.0
WINS2=0.0.0.0
DomainName=
SubjectCert=
IssuerCert=
FingerPrint=
UseSHA1=0
Firewall=1
OnlyTunnel=0
RasOnlyTunnel=0
UseComp=0
PFS=2
IpsecLTSec=000:08:00:00
IkeLTSec=000:08:00:00
IPSecLTKb=50000
IPSecLTType=1
DNSActiv=1
DNS1Tmp=
DNS2Tmp=
WINS1Tmp=
WINS2Tmp=
Secret="xxxx"
UsePreShKey=1
Network1=192.168.0.0
SubMask1=255.255.255.0
[IKEPOLICY1]
IkeName=Pre-shared Key
IkeCrypt=2
IkeHash=2
IkeAuth=1
IkeDhGroup=2
[IPSECPOLICY1]
IPSecName=3DES-SHA1
IpsecCrypt=2
IpsecAuth=2

Denke es könnte nur ein Kleinigkeit sein. Bekomme von der DLink folgenden Log-Eintrag: "IPSec SA [Responder] negotiation failed"
Wie kann ich den Lancom so konfigurieren daß er genau diese Werte wie in dem oberen Text übernimmt? Also nur die unterschiede zum empfohlenen HowTo?

Danke schonmal

[backslash]

Hi Mike_1303

Wie kann ich den Lancom so konfigurieren daß er genau diese Werte wie in dem oberen Text übernimmt? Also nur die unterschiede zum empfohlenen HowTo?

Das Problem ist, daß ich dort keinen Untrerschied sehe - du hast zur Verschlüsselung 3DES mit SHA1 eingeschaltet und genau das steht in obigem Link auch...

Das einzige, was ggf. ingterressant ist, wäre die Netzbeziehungen. Der Client fordert offenbar 192.168.2.123 <-> 192.168.0.0/255.255.255.0, d.h. seine eigene Adresse ist die 192.168.2.123 und das entfernte Netz ist 192.168.0.0/255.255.255.0.

Im LANCOM brauchst du also zunächst eine Route auf das Netz 192.168.0.0/255.255.255.0, die du an die VCN-Verbindung bindest (ist im Link beschrieben). Nun fehlt noch die "lokale" Adresse. Hier stellt sich die Frage, ob sich das LANCOM genau so wie der Client verhalten soll, d.h. es maskiert sein LAN hinter einer Extranet-Adresse (in diesem Fall die 192.168.2.123) oder soll eine transparente LAN-LAN-Kopplung aufgebaut werden.

Der Fall transparente LAN-LAN-Kopplung ist im Link beschreiben.
Falls das LANCOM maskieren soll, schaltest du in der VPN-Route die Maskierung ein und trägst in der VPN-Verbindungsliste (VPN -> Allgemein -> VPN-Verbidnungsliste) die Adresse, hinter der maskiert werden soll, als "Extranet-Adresse" bei der Gegenstelle ein.

Wenn es immer noch nicht klappt, dann mach doch mal auf dem LANCOM einen VPN-Status-Trace (per Telnet auf das Gerät und trace # vpn-status eingeben) von der Einwahl. Falls es auf dem D-Link auch möglich ist, die VPN-Einwahl mitzutracen, dann mach das doch auch mal.

Gruß
Backslash

[Mike_1303]

Hallo auch wieder,

ich schaffs einfach nicht.
Hier mal das Protokoll des Lancom:

#
| LANCOM 1821n Wireless
| Ver. 7.80.0081Rel / 06.01.2010 / 2.93a/A04.19.21
| SN. 170101800125
| Copyright (c) LANCOM Systems

BI1, Connection No.: 002 (LAN)

Password:

root@BI1:/
> trace # vpn-status
VPN-Status ON

root@BI1:/
>
[VPN-Status] 2010/06/20 10:06:41,950
VPN: connecting to TFK_1 (XX.XXX.XXX.XXX)

[VPN-Status] 2010/06/20 10:06:41,950
VPN: start IKE negotiation for TFK_1 (XX.XXX.XXX.XXX)

[VPN-Status] 2010/06/20 10:06:41,970
IKE info: Phase-1 negotiation started for peer TFK_1 rule isakmp-peer-TFK_1 usin
g MAIN mode


[VPN-Status] 2010/06/20 10:06:42,030
IKE info: The remote server XX.XXX.XXX.XXX:500 peer TFK_1 id <no_id> supports NA
T-T in mode draft
IKE info: The remote server XX.XXX.XXX.XXX:500 peer TFK_1 id <no_id> supports NA
T-T in mode draft


[VPN-Status] 2010/06/20 10:06:42,030
IKE info: Phase-1 remote proposal 1 for peer TFK_1 matched with local proposal 1


[VPN-Status] 2010/06/20 10:06:42,260
IKE info: Phase-1 [inititiator] for peer TFK_1 between initiator id 79.239.78.4
6, responder id XX.XXX.XXX.XXX done
IKE info: SA ISAKMP for peer TFK_1 encryption 3des-cbc authentication sha1
IKE info: life time ( 8000 sec/ 0 kb)


[VPN-Status] 2010/06/20 10:06:42,260
IKE info: Phase-1 SA Rekeying Timeout (Soft-Event) for peer TFK_1 set to 6400 se
conds (Initiator)


[VPN-Status] 2010/06/20 10:06:42,260
IKE info: Phase-1 SA Timeout (Hard-Event) for peer TFK_1 set to 8000 seconds (In
itiator)


[VPN-Status] 2010/06/20 10:06:42,330
IKE info: IKE-CFG: Received REQUEST message with id 1 from peer TFK_1
IKE info: IKE-CFG: Attribute XAUTH_USER_NAME len 0 value (none) recei
ved
IKE info: IKE-CFG: Attribute XAUTH_PASSWORD len 0 value (none) recei
ved


[VPN-Status] 2010/06/20 10:06:42,330
IKE info: IKE-CFG: Creating REPLY message with id 1 for peer TFK_1
IKE info: IKE-CFG: Attribute XAUTH_PASSWORD len 0 skipped
IKE info: IKE-CFG: Attribute XAUTH_USER_NAME len 0 skipped
IKE info: IKE-CFG: Sending message


[VPN-Status] 2010/06/20 10:06:42,390
IKE info: NOTIFY received of type NO_PROPOSAL_CHOSEN for peer TFK_1


[VPN-Status] 2010/06/20 10:06:42,390
VPN: Error: IPSEC-I-No-proposal-matched (0x3102) for TFK_1 (XX.XXX.XXX.XXX)

[VPN-Status] 2010/06/20 10:06:49,440
IKE info: NOTIFY received of type NO_PROPOSAL_CHOSEN for peer TFK_1


[VPN-Status] 2010/06/20 10:06:49,440
VPN: Error: IPSEC-I-No-proposal-matched (0x3102) for TFK_1 (XX.XXX.XXX.XXX)

[VPN-Status] 2010/06/20 10:06:58,490
IKE info: NOTIFY received of type NO_PROPOSAL_CHOSEN for peer TFK_1


[VPN-Status] 2010/06/20 10:06:58,490
VPN: Error: IPSEC-I-No-proposal-matched (0x3102) for TFK_1 (XX.XXX.XXX.XXX)

[VPN-Status] 2010/06/20 10:07:09,540
IKE info: NOTIFY received of type NO_PROPOSAL_CHOSEN for peer TFK_1


[VPN-Status] 2010/06/20 10:07:09,540
VPN: Error: IPSEC-I-No-proposal-matched (0x3102) for TFK_1 (XX.XXX.XXX.XXX)

[VPN-Status] 2010/06/20 10:07:11,950
VPN: connection for TFK_1 (XX.XXX.XXX.XXX) timed out: no response

[VPN-Status] 2010/06/20 10:07:11,950
VPN: Error: IFC-I-Connection-timeout-IKE-IPSEC (0x1106) for TFK_1 (80.152.201.22
1)

[VPN-Status] 2010/06/20 10:07:11,950
VPN: disconnecting TFK_1 (XX.XXX.XXX.XXX)

[VPN-Status] 2010/06/20 10:07:11,950
VPN: Error: IPSEC-I-No-proposal-matched (0x3102) for TFK_1 (XX.XXX.XXX.XXX)

[VPN-Status] 2010/06/20 10:07:11,960
IKE info: Delete Notificaton sent for Phase-1 SA to peer TFK_1


[VPN-Status] 2010/06/20 10:07:11,960
IKE info: Phase-1 SA removed: peer TFK_1 rule TFK_1 removed


[VPN-Status] 2010/06/20 10:07:11,970
VPN: TFK_1 (XX.XXX.XXX.XXX) disconnected

[VPN-Status] 2010/06/20 10:07:11,970
VPN: Disconnect info: remote-disconnected (0x4301) for TFK_1 (XX.XXX.XXX.XXX)

[VPN-Status] 2010/06/20 10:07:11,980
selecting next remote gateway using strategy eFirst for TFK_1
=> no remote gateway selected

[VPN-Status] 2010/06/20 10:07:11,980
selecting first remote gateway using strategy eFirst for TFK_1
=> CurrIdx=0, IpStr=>XX.XXX.XXX.XXX<, IpAddr=XX.XXX.XXX.XXX, IpTtl=0s

[VPN-Status] 2010/06/20 10:07:11,980
VPN: installing ruleset for TFK_1 (XX.XXX.XXX.XXX)

[VPN-Status] 2010/06/20 10:07:11,980
VPN: TFK_1 (XX.XXX.XXX.XXX) disconnected

[VPN-Status] 2010/06/20 10:07:11,990
VPN: rulesets installed

[ft2002]

Hallo,

[VPN-Status] 2010/06/20 10:06:42,390
VPN: Error: IPSEC-I-No-proposal-matched (0x3102) for TFK_1 (XX.XXX.XXX.XXX)

Es ist immer das erste Error interresant und hier steht das das Proposal nicht stimmt.
Du solltest die SA`s von beiden Routern überprüfen .

Das PDF von oben, von Dir, ist eine Client-Einwahl und keine LAN-LAN Kopplung, Du musst ein bischen an den Einstellungen drehen.

Ich glaube das passt besser zum Einrichten, musst nur beim Lancom auch das richtige Einstellen....

D-Link Einstellungen :

ftp://87.127.234.136/di/di-804hv/docume ... FL-210.pdf

und passend die Lancom Einstellungen:

http://www2.lancom.de/kb.nsf/1275/16475 ... enDocument

Was hast Du denn bei den Geräten Eingetragen ? Hast Du im Lancom Automatisch oder Manuell die SA`s erzeugt.

Schreib mal was für Netze an welchem Standort sind und wenn es geht, wie Du es eingerichtet hast

[backslash]

Hi Mike_1303

[VPN-Status] 2010/06/20 10:06:42,330
IKE info: IKE-CFG: Received REQUEST message with id 1 from peer TFK_1
IKE info: IKE-CFG: Attribute XAUTH_USER_NAME len 0 value (none) recei
ved
IKE info: IKE-CFG: Attribute XAUTH_PASSWORD len 0 value (none) received


[VPN-Status] 2010/06/20 10:06:42,330
IKE info: IKE-CFG: Creating REPLY message with id 1 for peer TFK_1
IKE info: IKE-CFG: Attribute XAUTH_PASSWORD len 0 skipped
IKE info: IKE-CFG: Attribute XAUTH_USER_NAME len 0 skipped
IKE info: IKE-CFG: Sending message

Du hast nicht gesagt, daß der DLink Config-Mode macht...

In diesem Fall mußt du im LANCOM in der Routing-Tabelle an der VPN-Route die Maskierung einschalten und in der VPN-Verbindungsliste für dei Gegenstelle den Punkt "IKE-CFG" auf "Client" stellen. Die "Extranet-Adresse" muß auf 0.0.0.0 stehen.

Zuätzlich mußt du noch einen Eintrag in der PPP-Liste für die Gegenstelle aufnehmen (Kommunikation -> Protokolle -> PPP-Liste), in dem du Username und Paßwort einträgst, die du auch beim Client eingeben mußtest

Gruß
Backslash