VPN Einwahl LANCOM DSL/I-1611 Office nicht möglich

[s13ph4n]

Hallo liebe Leute,

Ich habe heute versucht einen VPN Tunnel zwischen einem PC und einem DSL/I-1611 per Advanced VPN Client einzurichten. Bisher wurde dies mit dem Lancom VPN Client gemacht. Ich habe also im Router einen neuen Zugang bereitgestellt und die entsprechende Konfiguration am Client vorgenommen. Allerdings kann ich keine Verbindung herstellen. Ich erhalte immer folgende Fehlermeldung im Advanced VPN Client:

1.02.2006 11:57:36 IPSDIALCHAN::start building connection
01.02.2006 11:57:36 IPSDIAL::DNSREQ: resolving dnserver over lan: xxxxxxx.dyndns.org
01.02.2006 11:57:40 IPSDIAL->DNSREQ: resolved ipadr: xxx.xxx.xxx.xxx 01.02.2006 11:57:40 NCPIKE-phase1:name(Test) - outgoing connect request - aggressive mode.
01.02.2006 11:57:40 XMIT_MSG1_AGGRESSIVE - Test
01.02.2006 11:58:09 NCPIKE-phase1:name(Test) - error - retry timeout - max retries
01.02.2006 11:58:09 NCPIKE-phase2:name(Test) - error - cleared by phase1
01.02.2006 11:58:09 IPSDIAL - disconnected from Test on channel 1.


Firmwareupdate (5.20) habe ich am Router schon durchgeführt. Advanced VPN Client ist 1.11.
Wenn ich beim Verbindungsaufbau den Lanmonitor offen habe, sehe ich auch keinerlei Aktivität zwecks VPN Einwahl.
Die Einwahl zu einem anderen Lancom VPN Router funktioniert vom Client aus problemlos.

Ich hoffe ihr könnt mir helfen.
Grüße,
Stephan

[LoUiS]

Hi,

mach doch erst mal einen "trace # vpn-st" auf dem LANCOM. Was wird dort angezeigt?



Ciao
LoUiS

[s13ph4n]

ok hier also der trace:

[VPN-Status] 2006/02/01 12:32:05,760
IKE info: Phase-1 negotiation failed: no configuration found for incoming peer
xxx.xxx.xxx.xxx



[VPN-Status] 2006/02/01 12:32:11,280
IKE info: Phase-1 negotiation failed: no configuration found for incoming peer
xxx.xxx.xxx.xxx



[VPN-Status] 2006/02/01 12:32:18,280
IKE info: Phase-1 negotiation failed: no configuration found for incoming peer
xxx.xxx.xxx.xxx



[VPN-Status] 2006/02/01 12:32:26,280
IKE info: Phase-1 negotiation failed: no configuration found for incoming peer
xxx.xxx.xxx.xxx



[VPN-Status] 2006/02/01 12:32:35,270
IKE log: 123235 Default message_recv: invalid message id



[VPN-Status] 2006/02/01 12:32:35,270
IKE log: 123235 Default dropped message from xxx.xxx.xxx.xxx port 500 due to noti
fication type INVALID_MESSAGE_ID



[VPN-Status] 2006/02/01 12:32:35,270
IKE info: dropped message from peer unknown xxx.xxx.xxx.xxx port 500 due to notif
ication type INVALID_MESSAGE_ID

trace # vpn-st
VPN-Status OFF

[LoUiS]

Hi,

hast Du die aktuelle Firmware 5.20 auf dem 1611 drauf? In dem Trace sieht man, dass das LANCOM den Client nicht erkennt. Hast Du die Einwaehl mit dem Assistenten eingerichtet? Auf beiden Seiten?


Ciao
LoUiS

[s13ph4n]

Firmwareupdate ist aktuell (5.20)
Habe die Konfiguration auf beiden Seiten mit dem Assistenten gemacht und auch schon die VPN Verbindungsliste im Router überprüft. Sieht alles normal aus. Was könnte das noch sein? Über den Router arbeiten momentan 6 Personen (gleichzeitig nie mehr als 3), alle mit dem Lancom VPN Client. Der neue Benutzer soll mit dem Advanced VPN Client arbeiten. Kann dies evtl die Probleme verursachen?

[eddia]

Hallo s13ph4n,

[VPN-Status] 2006/02/01 12:32:05,760
IKE info: Phase-1 negotiation failed: no configuration found for incoming peer

da wird offenbar keine Regel für den AVC erzeugt. Sieh mal in der Console mit show vpn nach. Ein Neustart des Lancoms sollte das Problem temporär beseitigen.

Gruß

Mario

[s13ph4n]

Ok hier also die Ausgabe bei show vpn und dem Profil welches die Probleme bereitet:

VPN SPD and IKE configuration:

# of connections = 8

Connection #1 192.168.10.0/255.255.255.0:0 <-> 192.168.28.10/255.255.255.255:0 any

Name: VPNCLIENT10
Unique Id: ipsec-7-VPNCLIENT10-pr0-l0-r0
Flags: aggressive-mode
Local Network: IPV4_ADDR_SUBNET(any:0, 192.168.10.0/255.255.255.0)
Local Gateway: IPV4_ADDR(any:0, xxx.xxx.xxx.xxx)
Remote Gateway: IPV4_ADDR(any:0, 0.0.0.0)
Remote Network: IPV4_ADDR(any:0, 192.168.28.10/255.255.255.255)

Könnt ihr daran etwas erkennen?

[backslash]

Hi s13ph4n

sind die Identitäten im Client und im LANCOM auch gleich?
Das was du im Client unter Identität einträgst muß im LANCOM unter VPN -> IKE-Param -> IKE-Schlüssel für den zur Verbindug gehörenden Schlüssel als "entfernter Identitäts-Typ" und "entfernte Identität" eingetragen werden.

Am sinnvollsten wählst du "Fully Qualified Username" (Advanced Client) bzw "E-Mail-Adresse (FQUN)" (LANCOM) als Identitäts-Typ aus und trägst passend dazu als Identität die E-Mail-Adresse des Users ein.

Der Typ "IP-Adresse" darf übrigends unter keinen Umständen verwendet werden.

Gruß
Backslash

[s13ph4n]

Hallo Backslash,

Die Identitiäten sind im Client und Router auf jeden fall gleich. FQUN habe ich verwendet. Bei dem VPNCLIENT8, 10 und 11 handelt es sich um Advanced VPN Clients. Die anderen sind noch die "alten" VPN Clients.
Hier ein Screenshot vom Router: