Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Convenciones

Configurar

Diagrama de la red

Configuración de Windows 2000 Advanced Server para Microsoft IAS

Configuración de clientes Radius

Configuración de usuarios en IAS

Aplicación de política de acceso remoto al usuario de Windows

Configurar Cliente de Windows 2000 para L2TP

Desactivación de IPSec para el cliente de Windows 2000

Configuración de Cisco IOS para L2TP

Para habilitar el encripción

Comandos debug y show

Tunelización dividida

Troubleshoot

Problema 1: IPSec no inhabilitado

Problema 2: Error 789

Problema 3: Problema con la autenticación de túnel

Información Relacionada

Introducción

Este documento proporciona instrucciones sobre cómo configurar el software Cisco IOS® y los clientes Windows 2000 para el protocolo de túnel de capa 2 (L2TP) mediante el servidor de autenticación de Internet (IAS) de Microsoft.

Consulte Ejemplo de configuración de clave previamente compartida L2TP sobre IPsec entre Windows 2000/XP PC y PIX/ASA 7.2 para obtener más información sobre cómo configurar L2TP sobre seguridad IP (IPSec) desde clientes remotos de Microsoft Windows 2000/2003 y XP a una oficina corporativa de PIX Security Appliance utilizando claves previamente compartidas con Microsoft Windows 200 03 IAS RADIUS Server para la autenticación de usuario.

Refiérase a Configuración de L2TP sobre IPSec desde un Cliente Windows 2000 o XP a un Concentrador Cisco VPN 3000 Series Usando Claves Previamente Compartidas para obtener más información sobre cómo configurar L2TP sobre IPSec desde clientes remotos de Microsoft Windows 2000 y XP a un sitio corporativo usando un método cifrado.

Prerequisites

Requirements

No hay requisitos previos específicos para este documento.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- Componente opcional de Microsoft IAS instalado en un servidor avanzado de Microsoft 2000 con Active Directory

- Un router Cisco 3600

- Versión c3640-io3s56i-mz.121-5.T del software del IOS de Cisco

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Convenciones

Consulte Convenciones de Consejos TécnicosCisco para obtener más información sobre las convenciones del documento.

Configurar

En esta sección encontrará la información para configurar las funciones descritas en este documento.

Nota: Use la Command Lookup Tool (sólo clientes registrados) para obtener más información sobre los comandos utilizados en este documento.

Diagrama de la red

En este documento, se utiliza esta configuración de red:

Este documento utiliza estos grupos IP para clientes de acceso telefónico:

- Router de gateway: 192.168.1.2 ~ 192.168.1.254

- LNS: 172.16.10.1 ~ 172.16.10.1

Configuración de Windows 2000 Advanced Server para Microsoft IAS

Asegúrese de que Microsoft IAS está instalado. Para instalar Microsoft IAS, inicie sesión como administrador y complete estos pasos:

1. En Servicios de red, verifique que todas las casillas de verificación estén desactivadas.

2. Marque la casilla de verificación Internet Authentication Server (IAS) y, a continuación, haga clic en Aceptar.

3. En el Asistente para componentes de Windows, haga clic en Siguiente. Si se le solicita, introduzca el CD de Windows 2000.

4. Cuando se hayan copiado los archivos requeridos, haga clic en Finalizar y, a continuación, cierre todas las ventanas. No es necesario reiniciar.

Configuración de clientes Radius

Complete estos pasos:

1. En Administrative Tools, abra la Internet Authentication Server Console y haga clic en Clients.

2. En el Cuadro de nombre descriptivo, introduzca la dirección IP del servidor de acceso a la red (NAS).

3. Haga clic en Use This IP.

4. En la lista desplegable Cliente-Proveedor, asegúrese de que RADIUS Standard esté seleccionado.

5. En los cuadros Shared Secret y Confirm Shared Secret, ingrese la contraseña y luego haga clic en Finish.

6. En el árbol de la consola, haga clic con el botón derecho del ratón en Internet Authentication Service y luego haga clic en Start.

7. Cierre la consola.

Configuración de usuarios en IAS

A diferencia de CiscoSecure, la base de datos de usuarios del servidor de usuario de acceso telefónico de autenticación remota de Windows 2000 (RADIUS) está estrechamente vinculada a la base de datos de usuarios de Windows.

- Si Active Directory está instalado en el servidor de Windows 2000, cree los nuevos usuarios de acceso telefónico a partir de Usuarios y equipos de Active Directory.

- Si Active Directory no está instalado, puede utilizar Usuarios y Grupos Locales desde Herramientas Administrativas para crear nuevos usuarios.

Configurar los usuarios en el Active Directory

Complete estos pasos para configurar los usuarios con Active Directory:

1. En la consola Usuarios y equipos de Active Directory, expanda su dominio.

2. Haga clic con el botón derecho del ratón en Desplazamiento de usuarios para seleccionar Nuevo usuario.

3. Cree un nuevo usuario llamado tac.

4. Ingrese su contraseña en los cuadros de diálogo Contraseña y Confirmar contraseña.

5. Borre la opción User Must Change Password at Next Logon (El usuario debe cambiar la contraseña al iniciar sesión siguiente) y haga clic en Next.

6. Abra el cuadro Propiedades del usuario tac. Cambie a la pestaña Marcado de entrada.

7. En Remote Access Permission (Marcado de entrada o VPN), haga clic en Allow Access y, a continuación, haga clic en OK.

Configuración de los usuarios cuando no está instalado ningún Active Directory.

Complete estos pasos para configurar los usuarios si no está instalado Active Directory:

1. En Herramientas administrativas, haga clic en Administración de equipos.

2. Expanda la consola Administración de equipos y haga clic en Usuarios y grupos locales.

3. Haga clic con el botón derecho Users Scroll para seleccionar New User.

4. Introduzca una contraseña en los cuadros de diálogo Contraseña y Confirmar contraseña.

5. Borre la opción User Must Change Password at Next Logon (El usuario debe cambiar la contraseña al iniciar sesión siguiente) y haga clic en Next.

6. Abra el cuadro Propiedades del nuevo tac de usuario. Cambie a la pestaña Marcado de entrada.

7. En Remote Access Permission (Marcado de entrada o VPN), haga clic en Allow Access y, a continuación, haga clic en OK.

Aplicación de política de acceso remoto al usuario de Windows

Complete estos pasos para aplicar una política de acceso remoto:

1. En Administrative Tools, abra la consola Internet Authentication Server y haga clic en Remote Access Policies.

2. Haga clic en el botón Agregar en Especificar las condiciones para coincidir y agregar tipo de servicio. Elija el tipo disponible como Framed. Añádalo a los tipos seleccionados y pulse Aceptar.

3. Haga clic en el botón Agregar en Especificar las condiciones para coincidir y agregar protocolo con tramas. Elija el tipo disponible como PPP. Añádalo a los tipos seleccionados y pulse Aceptar.

4. Haga clic en el botón Agregar en Especificar las condiciones que deben coincidir y agregue Windows-Groups para agregar el grupo de Windows al que pertenece el usuario. Elija el grupo y agréguelo a los tipos seleccionados. Pulse Aceptar.

5. En Allow Access if Dial-in Permission is Enabled Properties, seleccione Grant Remote Access Permission.

6. Cierre la consola.

Configurar Cliente de Windows 2000 para L2TP

Complete estos pasos para configurar el cliente Windows 2000 para L2TP:

1. En el menú Inicio, elija Settings y, a continuación, siga una de estas trayectorias:

- Panel de control > Conexiones de red y acceso telefónico

O

- Conexiones de red y de acceso telefónico > Crear nueva conexión

2. Utilice el asistente para crear una conexión llamada L2TP. Esta conexión se conecta a una red privada a través de Internet. También debe especificar la dirección IP o el nombre del gateway de túnel L2TP.

3. La nueva conexión aparece en la ventana Conexiones de red y acceso telefónico bajo Panel de control. Desde aquí, haga clic en el botón derecho del ratón para editar las propiedades.

4. En la pestaña Networking, asegúrese de que el tipo de servidor al que llamo esté configurado en L2TP.

5. Si planea asignar una dirección interna dinámica a este cliente desde el gateway, ya sea a través de un conjunto local o DHCP, seleccione TCP/IP protocol. Asegúrese de que el cliente esté configurado para obtener una dirección IP automáticamente. También puede emitir información de DNS automáticamente.

- El botón Avanzado permite definir información WINS y DNS estática.

- La ficha Opciones permite desactivar IPSec o asignar una política diferente a la conexión.

- En la ficha Seguridad, puede definir los parámetros de autenticación de usuario, como PAP, CHAP o MS-CHAP, o el inicio de sesión de dominio de Windows.

6. Cuando se configura la conexión, puede hacer doble clic en ella para iniciar la pantalla de inicio de sesión y luego Conectar.

Desactivación de IPSec para el cliente de Windows 2000

1. Edite las propiedades de la conexión de acceso telefónico L2TP que acaba de crear. Haga clic con el botón derecho en la nueva conexión L2TP para obtener la ventana Propiedades L2TP.

2. En la ficha Networking, haga clic en las propiedades del protocolo de Internet (TCP/IP). Haga doble clic en la pestaña Avanzadas. Vaya a la ficha Opciones, haga clic en propiedades de seguridad IP y, si No utilizar IPSEC está seleccionado, márquela doble.

Nota: Los clientes de Microsoft Windows 2000 tienen un acceso remoto predeterminado y servicios de agente de políticas que, de forma predeterminada, crean una política para el tráfico L2TP. Esta política predeterminada no permite el tráfico L2TP sin IPSec y cifrado. Puede inhabilitar el comportamiento predeterminado de Microsoft editando el Editor de registro de cliente de Microsoft. En esta sección se proporciona el procedimiento para editar el registro de Windows y para inhabilitar la política predeterminada de IPSec para el tráfico L2TP. Consulte la documentación de Microsoft para editar el Registro de Windows.

Utilice el Editor del Registro (Regedt32.exe) para agregar la nueva entrada del Registro para deshabilitar IPSec. Consulte la documentación de Microsoft o el tema de ayuda de Microsoft para Regedt32.exe para obtener más información.

Debe agregar el valor de registro ProhibitIpSec a cada equipo terminal basado en Windows 2000 de una conexión L2TP o IPSec para evitar que se cree el filtro automático para el tráfico L2TP e IPSec. Cuando el valor del Registro de ProhibitIpSec se establece en uno, el equipo basado en Windows 2000 no crea el filtro automático que utiliza la autenticación de CA. En su lugar, busca una política IPSec local o de Active Directory. Para agregar el valor del Registro ProhibitIpSec al equipo basado en Windows 2000, utilice Regedt32.exe para buscar esta clave en el Registro:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters

Agregue este valor de registro a esta clave:

Value Name: ProhibitIpSec

Data Type: REG_DWORD

Value: 1

Nota: Debe reiniciar el equipo basado en Windows 2000 para que los cambios surtan efecto. Consulte estos artículos de Microsoft para obtener más información:

- Q258261 - Inhabilitación de la Política IPSEC Utilizada con L2TP

- Q240262- Cómo configurar una conexión L2TP/IPSec mediante una clave previamente compartida

Configuración de Cisco IOS para L2TP

Estas configuraciones describen los comandos requeridos para L2TP sin IPSec. Una vez que esta configuración básica funcione, también puede configurar IPSec.

angela

Building configuration...

Current configuration : 1595 bytes

!

version 12.1

no service single-slot-reload-enable

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname angela

!

logging rate-limit console 10 except errors

!--- Enable AAA services here.

aaa new-model

aaa authentication login default group radius local

aaa authentication login console none

aaa authentication ppp default group radius local

aaa authorization network default group radius local

enable password ww

!

memory-size iomem 30

ip subnet-zero

!

!

no ip finger

no ip domain-lookup

ip host rund 172.17.247.195

!

ip audit notify log

ip audit po max-events 100

ip address-pool local

!

!

!--- Enable VPN/VPDN services and define groups and !--- specific variables required for the group.

vpdn enable

no vpdn logging

!

vpdn-group L2TP_Windows 2000Client

!--- Default L2TP VPDN group. !--- Allow the Router to accept incoming requests.

accept-dialin

protocol L2TP

virtual-template 1

no L2TP tunnel authentication

!--- Users are authenticated at the NAS or LNS !--- before the tunnel is established. This is not !--- required for client-initiated tunnels.

!

!

call rsvp-sync

!

!

!

!

!

!

!

controller E1 2/0

!

!

interface Loopback0

ip address 172.16.10.100 255.255.255.0

!

interface Ethernet0/0

ip address 10.200.20.2 255.255.255.0

half-duplex

!

interface Virtual-Template1

ip unnumbered Loopback0

peer default ip address pool default

ppp authentication ms-chap

!

ip local pool default 172.16.10.1 172.16.10.10

ip classless

ip route 0.0.0.0 0.0.0.0 10.200.20.1

ip route 192.168.1.0 255.255.255.0 10.200.20.250

no ip http server

!

radius-server host 10.200.20.245 auth-port 1645 acct-port 1646

radius-server retransmit 3

radius-server key cisco

!

dial-peer cor custom

!

!

!

!

!

line con 0

exec-timeout 0 0

login authentication console

transport input none

line 33 50

modem InOut

line aux 0

line vty 0 4

exec-timeout 0 0

password ww

!

end

angela#

*Mar 12 23:10:54.176: L2TP: I SCCRQ from  RSHANMUG-W2K1.cisco.com tnl 5

*Mar 12 23:10:54.176: Tnl 8663 L2TP: New tunnel created for remote

RSHANMUG-W2K1.cisco.com, address 192.168.1.56

*Mar 12 23:10:54.176: Tnl 8663 L2TP: O SCCRP  to  RSHANMUG-W2K1.cisco.com

tnlid 5

*Mar 12 23:10:54.180: Tnl 8663 L2TP: Tunnel state change from idle to

wait-ctl-reply

*Mar 12 23:10:54.352: Tnl 8663 L2TP: I SCCCN from  RSHANMUG-W2K1.cisco.com

tnl 5

*Mar 12 23:10:54.352: Tnl 8663 L2TP: Tunnel state change from

wait-ctl-reply to established

*Mar 12 23:10:54.352: Tnl 8663 L2TP: SM State established

*Mar 12 23:10:54.356: Tnl 8663 L2TP: I ICRQ from  RSHANMUG-W2K1.cisco.com

tnl 5

*Mar 12 23:10:54.356: Tnl/Cl 8663/44 L2TP: Session FS enabled

*Mar 12 23:10:54.356: Tnl/Cl 8663/44 L2TP: Session state change from idle

to wait-connect

*Mar 12 23:10:54.356: Tnl/Cl 8663/44 L2TP: New session created

*Mar 12 23:10:54.356: Tnl/Cl 8663/44 L2TP: O ICRP to

RSHANMUG-W2K1.cisco.com 5/1

*Mar 12 23:10:54.544: Tnl/Cl 8663/44 L2TP: I ICCN from

RSHANMUG-W2K1.cisco.com tnl 5, cl 1

*Mar 12 23:10:54.544: Tnl/Cl 8663/44 L2TP: Session state change from

wait-connect to established

*Mar 12 23:10:54.544: Vi1 VPDN: Virtual interface created for

*Mar 12 23:10:54.544: Vi1 PPP: Phase is DOWN, Setup [0 sess, 0 load]

*Mar 12 23:10:54.544: Vi1 VPDN: Clone from Vtemplate 1 filterPPP=0 blocking

*Mar 12 23:10:54.620: Tnl/Cl 8663/44 L2TP: Session with no hwidb

*Mar 12 23:10:54.624: %LINK-3-UPDOWN: Interface Virtual-Access1, changed

state to up

*Mar 12 23:10:54.624: Vi1 PPP: Using set call direction

*Mar 12 23:10:54.624: Vi1 PPP: Treating connection as a callin

*Mar 12 23:10:54.624: Vi1 PPP: Phase is ESTABLISHING, Passive Open [0 sess,

0 load]

*Mar 12 23:10:54.624: Vi1 LCP: State is Listen

*Mar 12 23:10:54.624: Vi1 VPDN: Bind interface direction=2

*Mar 12 23:10:56.556: Vi1 LCP: I CONFREQ [Listen] id 1 len 44

*Mar 12 23:10:56.556: Vi1 LCP:   MagicNumber 0x595E7636 (0x0506595E7636)

*Mar 12 23:10:56.556: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:10:56.556: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:10:56.556: Vi1 LCP:   Callback 6  (0x0D0306)

*Mar 12 23:10:56.556: Vi1 LCP:   MRRU 1614 (0x1104064E)

*Mar 12 23:10:56.556: Vi1 LCP:   EndpointDisc 1 Local

*Mar 12 23:10:56.556: Vi1 LCP:    (0x1317012E07E41982EB4EF790F1BF1862)

*Mar 12 23:10:56.556: Vi1 LCP:    (0x10D0AC00000002)

*Mar 12 23:10:56.556: Vi1 AAA/AUTHOR/FSM: (0): LCP succeeds trivially

*Mar 12 23:10:56.556: Vi1 LCP: O CONFREQ [Listen] id 1 len 15

*Mar 12 23:10:56.556: Vi1 LCP:   AuthProto MS-CHAP (0x0305C22380)

*Mar 12 23:10:56.556: Vi1 LCP:   MagicNumber 0x4E1B09B8 (0x05064E1B09B8)

*Mar 12 23:10:56.560: Vi1 LCP: O CONFREJ [Listen] id 1 len 34

*Mar 12 23:10:56.560: Vi1 LCP:   Callback 6  (0x0D0306)

*Mar 12 23:10:56.560: Vi1 LCP:   MRRU 1614 (0x1104064E)

*Mar 12 23:10:56.560: Vi1 LCP:   EndpointDisc 1 Local

*Mar 12 23:10:56.560: Vi1 LCP:    (0x1317012E07E41982EB4EF790F1BF1862)

*Mar 12 23:10:56.560: Vi1 LCP:    (0x10D0AC00000002)

*Mar 12 23:10:56.700: Vi1 LCP: I CONFACK [REQsent] id 1 len 15

*Mar 12 23:10:56.700: Vi1 LCP:   AuthProto MS-CHAP (0x0305C22380)

*Mar 12 23:10:56.704: Vi1 LCP:   MagicNumber 0x4E1B09B8 (0x05064E1B09B8)

*Mar 12 23:10:56.704: Vi1 LCP: I CONFREQ [ACKrcvd] id 2 len 14

*Mar 12 23:10:56.704: Vi1 LCP:   MagicNumber 0x595E7636 (0x0506595E7636)

*Mar 12 23:10:56.704: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:10:56.704: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:10:56.704: Vi1 LCP: O CONFACK [ACKrcvd] id 2 len 14

*Mar 12 23:10:56.708: Vi1 LCP:   MagicNumber 0x595E7636 (0x0506595E7636)

*Mar 12 23:10:56.708: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:10:56.708: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:10:56.708: Vi1 LCP: State is Open

*Mar 12 23:10:56.708: Vi1 PPP: Phase is AUTHENTICATING, by this end [0

sess, 0 load]

*Mar 12 23:10:56.708: Vi1 MS-CHAP: O CHALLENGE id 28 len 21 from angela

*Mar 12 23:10:56.852: Vi1 LCP: I IDENTIFY [Open] id 3 len 18 magic

0x595E7636 MSRASV5.00

*Mar 12 23:10:56.872: Vi1 LCP: I IDENTIFY [Open] id 4 len 27 magic

0x595E7636 MSRAS-1- RSHANMUG-W2K1

*Mar 12 23:10:56.880: Vi1 MS-CHAP: I RESPONSE id 28 len 57 from tac

*Mar 12 23:10:56.880: AAA: parse name=Virtual-Access1 idb type=21 tty=-1

*Mar 12 23:10:56.880: AAA: name=Virtual-Access1 flags=0x11 type=5 shelf=0

slot=0 adapter=0 port=1 channel=0

*Mar 12 23:10:56.884: AAA/MEMORY: create_user (0x6273D024) user='tac'

ruser='' port='Virtual-Access1' rem_addr='' authen_type=MSCHAP service=PPP

priv=1

*Mar 12 23:10:56.884: AAA/AUTHEN/START (3634835145): port='Virtual-Access1'

list='' action=LOGIN service=PPP

*Mar 12 23:10:56.884: AAA/AUTHEN/START (3634835145): using default list

*Mar 12 23:10:56.884: AAA/AUTHEN/START (3634835145): Method=radius (radius)

*Mar 12 23:10:56.884: RADIUS: ustruct sharecount=0

*Mar 12 23:10:56.884: RADIUS: Initial Transmit Virtual-Access1 id 173

10.200.20.245:1645, Access-Request, len 129

*Mar 12 23:10:56.884:       Attribute 4 6 0AC81402

*Mar 12 23:10:56.884:       Attribute 5 6 00000001

*Mar 12 23:10:56.884:       Attribute 61 6 00000001

*Mar 12 23:10:56.884:       Attribute 1 5 7461631A

*Mar 12 23:10:56.884:       Attribute 26 16 000001370B0A0053

*Mar 12 23:10:56.884:       Attribute 26 58 0000013701341C01

*Mar 12 23:10:56.884:       Attribute 6 6 00000002

*Mar 12 23:10:56.884:       Attribute 7 6 00000001

*Mar 12 23:10:56.900: RADIUS: Received from id 173 10.200.20.245:1645,

Access-Accept, len 116

*Mar 12 23:10:56.900:       Attribute 7 6 00000001

*Mar 12 23:10:56.900:       Attribute 6 6 00000002

*Mar 12 23:10:56.900:       Attribute 25 32 502605A6

*Mar 12 23:10:56.900:       Attribute 26 40 000001370C22F6D5

*Mar 12 23:10:56.900:       Attribute 26 12 000001370A061C4E

*Mar 12 23:10:56.900: AAA/AUTHEN (3634835145): status = PASS

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP: Authorize LCP

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP (1995716469):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:10:56.900: AAA/AUTHOR/LCP: Vi1 (1995716469) user='tac'

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP (1995716469): send AV service=ppp

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP (1995716469): send AV protocol=lcp

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP (1995716469): found list default

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/LCP (1995716469): Method=radius

(radius)

*Mar 12 23:10:56.904: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR (1995716469): Post authorization

status = PASS_REPL

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/LCP: Processing AV service=ppp

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/LCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:10:56.904: Vi1 MS-CHAP: O SUCCESS id 28 len 4

*Mar 12 23:10:56.904: Vi1 PPP: Phase is UP [0 sess, 0 load]

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM: (0): Can we start IPCP?

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:10:56.904: AAA/AUTHOR/FSM: Vi1 (2094713042) user='tac'

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042): send AV service=ppp

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042): send AV protocol=ip

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042): found list default

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042): Method=radius

(radius)

*Mar 12 23:10:56.908: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:10:56.908: Vi1 AAA/AUTHOR (2094713042): Post authorization

status = PASS_REPL

*Mar 12 23:10:56.908: Vi1 AAA/AUTHOR/FSM: We can start IPCP

*Mar 12 23:10:56.908: Vi1 IPCP: O CONFREQ [Closed] id 1 len 10

*Mar 12 23:10:56.908: Vi1 IPCP:    Address 172.16.10.100 (0x0306AC100A64)

*Mar 12 23:10:57.040: Vi1 CCP: I CONFREQ [Not negotiated] id 5 len 10

*Mar 12 23:10:57.040: Vi1 CCP:   MS-PPC supported bits 0x01000001

(0x120601000001)

*Mar 12 23:10:57.040: Vi1 LCP: O PROTREJ [Open] id 2 len 16 protocol CCP

(0x80FD0105000A120601000001)

*Mar 12 23:10:57.052: Vi1 IPCP: I CONFREQ [REQsent] id 6 len 34

*Mar 12 23:10:57.052: Vi1 IPCP:    Address 0.0.0.0 (0x030600000000)

*Mar 12 23:10:57.052: Vi1 IPCP:    PrimaryDNS 0.0.0.0 (0x810600000000)

*Mar 12 23:10:57.052: Vi1 IPCP:    PrimaryWINS 0.0.0.0 (0x820600000000)

*Mar 12 23:10:57.052: Vi1 IPCP:    SecondaryDNS 0.0.0.0 (0x830600000000)

*Mar 12 23:10:57.052: Vi1 IPCP:    SecondaryWINS 0.0.0.0 (0x840600000000)

*Mar 12 23:10:57.052: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 0.0.0.0, we

want 0.0.0.0

*Mar 12 23:10:57.056: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:10:57.056: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:10:57.056: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:10:57.056: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 0.0.0.0, we

want 0.0.0.0

*Mar 12 23:10:57.056: Vi1 IPCP: Pool returned 172.16.10.1

*Mar 12 23:10:57.056: Vi1 IPCP: O CONFREJ [REQsent] id 6 len 28

*Mar 12 23:10:57.056: Vi1 IPCP:    PrimaryDNS 0.0.0.0 (0x810600000000)

*Mar 12 23:10:57.056: Vi1 IPCP:    PrimaryWINS 0.0.0.0 (0x820600000000)

*Mar 12 23:10:57.056: Vi1 IPCP:    SecondaryDNS 0.0.0.0 (0x830600000000)

*Mar 12 23:10:57.056: Vi1 IPCP:    SecondaryWINS 0.0.0.0 (0x840600000000)

*Mar 12 23:10:57.060: Vi1 IPCP: I CONFACK [REQsent] id 1 len 10

*Mar 12 23:10:57.060: Vi1 IPCP:    Address 172.16.10.100 (0x0306AC100A64)

*Mar 12 23:10:57.192: Vi1 IPCP: I CONFREQ [ACKrcvd] id 7 len 10

*Mar 12 23:10:57.192: Vi1 IPCP:    Address 0.0.0.0 (0x030600000000)

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 0.0.0.0, we

want 172.16.10.1

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 0.0.0.0, we

want 172.16.10.1

*Mar 12 23:10:57.192: Vi1 IPCP: O CONFNAK [ACKrcvd] id 7 len 10

*Mar 12 23:10:57.192: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:10:57.324: Vi1 IPCP: I CONFREQ [ACKrcvd] id 8 len 10

*Mar 12 23:10:57.324: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 172.16.10.1,

we want 172.16.10.1

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:10:57.324: AAA/AUTHOR/IPCP: Vi1 (413757991) user='tac'

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): send AV service=ppp

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): send AV protocol=ip

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): send AV

addr*172.16.10.1

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): found list default

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): Method=radius

(radius)

*Mar 12 23:10:57.324: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR (413757991): Post authorization status

= PASS_REPL

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP: Reject 172.16.10.1, using

172.16.10.1

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Processing AV addr*172.16.10.1

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 172.16.10.1,

we want 172.16.10.1

*Mar 12 23:10:57.328: Vi1 IPCP: O CONFACK [ACKrcvd] id 8 len 10

*Mar 12 23:10:57.328: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:10:57.328: Vi1 IPCP: State is Open

*Mar 12 23:10:57.332: Vi1 IPCP: Install route to 172.16.10.1

*Mar 12 23:10:57.904: %LINEPROTO-5-UPDOWN: Line protocol on Interface

Virtual-Access1, changed state to up

*Mar 12 23:11:06.324: Vi1 LCP: I ECHOREP [Open] id 1 len 12 magic

0x595E7636

*Mar 12 23:11:06.324: Vi1 LCP: Received id 1, sent id 1, line up

angela#show vpdn

L2TP Tunnel and Session Information Total tunnels 1 sessions 1

LocID RemID Remote Name   State  Remote Address  Port  Sessions

8663  5      RSHANMUG-W2K1.c est    192.168.1.56    1701  1

LocID RemID TunID Intf      Username    State  Last Chg Fastswitch

44    1     8663  Vi1      tac    est   00:00:18 enabled

%No active L2F tunnels

%No active PPTP tunnels

%No active PPPoE tunnels

*Mar 12 23:11:16.332: Vi1 LCP: I ECHOREP [Open] id 2 len 12 magic

0x595E7636

*Mar 12 23:11:16.332: Vi1 LCP: Received id 2, sent id 2, line upsh caller

ip

Line      User IP Address Local Number Remote Number <->

Vi1      tac 172.16.10.1 - - in

angela#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR

P - periodic downloaded static route

Gateway of last resort is 10.200.20.1 to network 0.0.0.0

172.16.0.0/16 is variably subnetted, 2 subnets, 2 masks

C 172.16.10.0/24 is directly connected, Loopback0

C 172.16.10.1/32 is directly connected, Virtual-Access1

10.0.0.0/24 is subnetted, 1 subnets

C 10.200.20.0 is directly connected, Ethernet0/0

S    192.168.1.0/24 [1/0] via 10.200.20.250

S*   0.0.0.0/0 [1/0] via 10.200.20.1

*Mar 12 23:11:26.328: Vi1 LCP: I ECHOREP [Open] id 3 len 12 magic

0x595E7636

*Mar 12 23:11:26.328: Vi1 LCP: Received id 3, sent id 3, line up172.16.10.1

angela#ping 172.16.10.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.10.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 156/160/168 ms

Para habilitar el encripción

Agregue el comando ppp encrypt mppe 40 bajo interface virtual-template 1. Asegúrese de que el cifrado también esté seleccionado en el cliente de Microsoft.

*Mar 12 23:27:36.608: L2TP: I SCCRQ from  RSHANMUG-W2K1.cisco.com tnl 13

*Mar 12 23:27:36.608: Tnl 31311 L2TP: New tunnel created for remote

RSHANMUG-W2K1.cisco.com, address 192.168.1.56

*Mar 12 23:27:36.608: Tnl 31311 L2TP: O SCCRP  to  RSHANMUG-W2K1.cisco.com

tnlid 13

*Mar 12 23:27:36.612: Tnl 31311 L2TP: Tunnel state change from idle to

wait-ctl-reply

*Mar 12 23:27:36.772: Tnl 31311 L2TP: I SCCCN from  RSHANMUG-W2K1.cisco.com

tnl 13

*Mar 12 23:27:36.772: Tnl 31311 L2TP: Tunnel state change from

wait-ctl-reply to established

*Mar 12 23:27:36.776: Tnl 31311 L2TP: SM State established

*Mar 12 23:27:36.780: Tnl 31311 L2TP: I ICRQ from  RSHANMUG-W2K1.cisco.com

tnl 13

*Mar 12 23:27:36.780: Tnl/Cl 31311/52 L2TP: Session FS enabled

*Mar 12 23:27:36.780: Tnl/Cl 31311/52 L2TP: Session state change from idle

to wait-connect

*Mar 12 23:27:36.780: Tnl/Cl 31311/52 L2TP: New session created

*Mar 12 23:27:36.780: Tnl/Cl 31311/52 L2TP: O ICRP to

RSHANMUG-W2K1.cisco.com 13/1

*Mar 12 23:27:36.924: Tnl/Cl 31311/52 L2TP: I ICCN from

RSHANMUG-W2K1.cisco.com tnl 13, cl 1

*Mar 12 23:27:36.928: Tnl/Cl 31311/52 L2TP: Session state change from

wait-connect to established

*Mar 12 23:27:36.928: Vi1 VPDN: Virtual interface created for

*Mar 12 23:27:36.928: Vi1 PPP: Phase is DOWN, Setup [0 sess, 0 load]

*Mar 12 23:27:36.928: Vi1 VPDN: Clone from Vtemplate 1 filterPPP=0 blocking

*Mar 12 23:27:36.972: Tnl/Cl 31311/52 L2TP: Session with no hwidb

*Mar 12 23:27:36.976: %LINK-3-UPDOWN: Interface Virtual-Access1, changed

state to up

*Mar 12 23:27:36.976: Vi1 PPP: Using set call direction

*Mar 12 23:27:36.976: Vi1 PPP: Treating connection as a callin

*Mar 12 23:27:36.976: Vi1 PPP: Phase is ESTABLISHING, Passive Open [0 sess,

0 load]

*Mar 12 23:27:36.976: Vi1 LCP: State is Listen

*Mar 12 23:27:36.976: Vi1 VPDN: Bind interface direction=2

*Mar 12 23:27:38.976: Vi1 LCP: TIMEout: State Listen

*Mar 12 23:27:38.976: Vi1 AAA/AUTHOR/FSM: (0): LCP succeeds trivially

*Mar 12 23:27:38.976: Vi1 LCP: O CONFREQ [Listen] id 1 len 15

*Mar 12 23:27:38.976: Vi1 LCP:   AuthProto MS-CHAP (0x0305C22380)

*Mar 12 23:27:38.976: Vi1 LCP:   MagicNumber 0x4E2A5593 (0x05064E2A5593)

*Mar 12 23:27:38.984: Vi1 LCP: I CONFREQ [REQsent] id 1 len 44

*Mar 12 23:27:38.984: Vi1 LCP:   MagicNumber 0x4B4817ED (0x05064B4817ED)

*Mar 12 23:27:38.984: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:27:38.984: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:27:38.984: Vi1 LCP:   Callback 6  (0x0D0306)

*Mar 12 23:27:38.984: Vi1 LCP:   MRRU 1614 (0x1104064E)

*Mar 12 23:27:38.984: Vi1 LCP:   EndpointDisc 1 Local

*Mar 12 23:27:38.984: Vi1 LCP:    (0x1317012E07E41982EB4EF790F1BF1862)

*Mar 12 23:27:38.984: Vi1 LCP:    (0x10D0AC0000000A)

*Mar 12 23:27:38.984: Vi1 LCP: O CONFREJ [REQsent] id 1 len 34

*Mar 12 23:27:38.984: Vi1 LCP:   Callback 6  (0x0D0306)

*Mar 12 23:27:38.984: Vi1 LCP:   MRRU 1614 (0x1104064E)

*Mar 12 23:27:38.984: Vi1 LCP:   EndpointDisc 1 Local

*Mar 12 23:27:38.988: Vi1 LCP:    (0x1317012E07E41982EB4EF790F1BF1862)

*Mar 12 23:27:38.988: Vi1 LCP:    (0x10D0AC0000000A)

*Mar 12 23:27:39.096: Vi1 LCP: I CONFACK [REQsent] id 1 len 15

*Mar 12 23:27:39.096: Vi1 LCP:   AuthProto MS-CHAP (0x0305C22380)

*Mar 12 23:27:39.096: Vi1 LCP:   MagicNumber 0x4E2A5593 (0x05064E2A5593)

*Mar 12 23:27:39.128: Vi1 LCP: I CONFREQ [ACKrcvd] id 2 len 14

*Mar 12 23:27:39.128: Vi1 LCP:   MagicNumber 0x4B4817ED (0x05064B4817ED)

*Mar 12 23:27:39.128: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:27:39.128: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:27:39.128: Vi1 LCP: O CONFACK [ACKrcvd] id 2 len 14

*Mar 12 23:27:39.128: Vi1 LCP:   MagicNumber 0x4B4817ED (0x05064B4817ED)

*Mar 12 23:27:39.128: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:27:39.128: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:27:39.128: Vi1 LCP: State is Open

*Mar 12 23:27:39.128: Vi1 PPP: Phase is AUTHENTICATING, by this end [0

sess, 0 load]

*Mar 12 23:27:39.128: Vi1 MS-CHAP: O CHALLENGE id 32 len 21 from angela

*Mar 12 23:27:39.260: Vi1 LCP: I IDENTIFY [Open] id 3 len 18 magic

0x4B4817ED MSRASV5.00

*Mar 12 23:27:39.288: Vi1 LCP: I IDENTIFY [Open] id 4 len 27 magic

0x4B4817ED MSRAS-1- RSHANMUG-W2K1

*Mar 12 23:27:39.296: Vi1 MS-CHAP: I RESPONSE id 32 len 57 from tac

*Mar 12 23:27:39.296: AAA: parse name=Virtual-Access1 idb type=21 tty=-1

*Mar 12 23:27:39.296: AAA: name=Virtual-Access1 flags=0x11 type=5 shelf=0

slot=0 adapter=0 port=1 channel=0

*Mar 12 23:27:39.296: AAA/MEMORY: create_user (0x6273D528) user='tac'

ruser='' port='Virtual-Access1' rem_addr='' authen_type=MSCHAP service=PPP

priv=1

*Mar 12 23:27:39.296: AAA/AUTHEN/START (2410248116): port='Virtual-Access1'

list='' action=LOGIN service=PPP

*Mar 12 23:27:39.296: AAA/AUTHEN/START (2410248116): using default list

*Mar 12 23:27:39.296: AAA/AUTHEN/START (2410248116): Method=radius (radius)

*Mar 12 23:27:39.296: RADIUS: ustruct sharecount=0

*Mar 12 23:27:39.300: RADIUS: Initial Transmit Virtual-Access1 id 181

10.200.20.245:1645, Access-Request, len 129

*Mar 12 23:27:39.300:       Attribute 4 6 0AC81402

*Mar 12 23:27:39.300:       Attribute 5 6 00000001

*Mar 12 23:27:39.300:       Attribute 61 6 00000001

*Mar 12 23:27:39.300:       Attribute 1 5 7461631A

*Mar 12 23:27:39.300:       Attribute 26 16 000001370B0AFC72

*Mar 12 23:27:39.300:       Attribute 26 58 0000013701342001

*Mar 12 23:27:39.300:       Attribute 6 6 00000002

*Mar 12 23:27:39.300:       Attribute 7 6 00000001

*Mar 12 23:27:39.312: RADIUS: Received from id 181 10.200.20.245:1645,

Access-Accept, len 116

*Mar 12 23:27:39.312:       Attribute 7 6 00000001

*Mar 12 23:27:39.312:       Attribute 6 6 00000002

*Mar 12 23:27:39.312:       Attribute 25 32 502E05AE

*Mar 12 23:27:39.312:       Attribute 26 40 000001370C225042

*Mar 12 23:27:39.312:       Attribute 26 12 000001370A06204E

*Mar 12 23:27:39.312: AAA/AUTHEN (2410248116): status = PASS

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP: Authorize LCP

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:27:39.316: AAA/AUTHOR/LCP: Vi1 (2365724222) user='tac'

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222): send AV service=ppp

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222): send AV protocol=lcp

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222): found list default

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222): Method=radius

(radius)

*Mar 12 23:27:39.316: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR (2365724222): Post authorization

status = PASS_REPL

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP: Processing AV service=ppp

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.316: Vi1 MS-CHAP: O SUCCESS id 32 len 4

*Mar 12 23:27:39.316: Vi1 PPP: Phase is UP [0 sess, 0 load]

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/FSM: (0): Can we start IPCP?

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:27:39.320: AAA/AUTHOR/FSM: Vi1 (1499311111) user='tac'

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111): send AV service=ppp

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111): send AV protocol=ip

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111): found list default

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111): Method=radius

(radius)

*Mar 12 23:27:39.320: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR (1499311111): Post authorization

status = PASS_REPL

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM: We can start IPCP

*Mar 12 23:27:39.320: Vi1 IPCP: O CONFREQ [Closed] id 1 len 10

*Mar 12 23:27:39.320: Vi1 IPCP:    Address 172.16.10.100 (0x0306AC100A64)

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM: (0): Can we start CCP?

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (327346364):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:27:39.324: AAA/AUTHOR/FSM: Vi1 (327346364) user='tac'

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM (327346364): send AV service=ppp

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM (327346364): send AV protocol=ccp

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM (327346364): found list default

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM (327346364): Method=radius

(radius)

*Mar 12 23:27:39.324: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR (327346364): Post authorization status

= PASS_REPL

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM: We can start CCP

*Mar 12 23:27:39.324: Vi1 CCP: O CONFREQ [Closed] id 1 len 10

*Mar 12 23:27:39.324: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.460: Vi1 CCP: I CONFREQ [REQsent] id 5 len 10

*Mar 12 23:27:39.460: Vi1 CCP:   MS-PPC supported bits 0x01000001

(0x120601000001)

*Mar 12 23:27:39.460: Vi1 AAA/AUTHOR/FSM: Check for unauthorized mandatory

AV's

*Mar 12 23:27:39.460: Vi1 AAA/AUTHOR/FSM: Processing AV service=ppp

*Mar 12 23:27:39.460: Vi1 AAA/AUTHOR/FSM: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.460: Vi1 AAA/AUTHOR/FSM: Succeeded

*Mar 12 23:27:39.464: Vi1 CCP: O CONFNAK [REQsent] id 5 len 10

*Mar 12 23:27:39.464: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.472: Vi1 IPCP: I CONFREQ [REQsent] id 6 len 34

*Mar 12 23:27:39.472: Vi1 IPCP:    Address 0.0.0.0 (0x030600000000)

*Mar 12 23:27:39.472: Vi1 IPCP:    PrimaryDNS 0.0.0.0 (0x810600000000)

*Mar 12 23:27:39.472: Vi1 IPCP:    PrimaryWINS 0.0.0.0 (0x820600000000)

*Mar 12 23:27:39.472: Vi1 IPCP:    SecondaryDNS 0.0.0.0 (0x830600000000)

*Mar 12 23:27:39.472: Vi1 IPCP:    SecondaryWINS 0.0.0.0 (0x840600000000)

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 0.0.0.0, we

want 0.0.0.0

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 0.0.0.0, we

want 0.0.0.0

*Mar 12 23:27:39.472: Vi1 IPCP: Pool returned 172.16.10.1

*Mar 12 23:27:39.476: Vi1 IPCP: O CONFREJ [REQsent] id 6 len 28

*Mar 12 23:27:39.476: Vi1 IPCP:    PrimaryDNS 0.0.0.0 (0x810600000000)

*Mar 12 23:27:39.476: Vi1 IPCP:    PrimaryWINS 0.0.0.0 (0x820600000000)

*Mar 12 23:27:39.476: Vi1 IPCP:    SecondaryDNS 0.0.0.0 (0x830600000000)

*Mar 12 23:27:39.476: Vi1 IPCP:    SecondaryWINS 0.0.0.0 (0x840600000000)

*Mar 12 23:27:39.480: Vi1 IPCP: I CONFACK [REQsent] id 1 len 10

*Mar 12 23:27:39.484: Vi1 IPCP:    Address 172.16.10.100 (0x0306AC100A64)

*Mar 12 23:27:39.488: Vi1 CCP: I CONFACK [REQsent] id 1 len 10

*Mar 12 23:27:39.488: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.596: Vi1 CCP: I CONFREQ [ACKrcvd] id 7 len 10

*Mar 12 23:27:39.596: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.596: Vi1 AAA/AUTHOR/FSM: Check for unauthorized mandatory

AV's

*Mar 12 23:27:39.596: Vi1 AAA/AUTHOR/FSM: Processing AV service=ppp

*Mar 12 23:27:39.596: Vi1 AAA/AUTHOR/FSM: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.596: Vi1 AAA/AUTHOR/FSM: Succeeded

*Mar 12 23:27:39.596: Vi1 CCP: O CONFACK [ACKrcvd] id 7 len 10

*Mar 12 23:27:39.596: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.596: Vi1 CCP: State is Open

*Mar 12 23:27:39.600: Vi1 MPPE: Generate keys using RADIUS data

*Mar 12 23:27:39.600: Vi1 MPPE: Initialize keys

*Mar 12 23:27:39.600: Vi1 MPPE: [40 bit encryption]  [stateless mode]

*Mar 12 23:27:39.620: Vi1 IPCP: I CONFREQ [ACKrcvd] id 8 len 10

*Mar 12 23:27:39.620: Vi1 IPCP:    Address 0.0.0.0 (0x030600000000)

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 0.0.0.0, we

want 172.16.10.1

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 0.0.0.0, we

want 172.16.10.1

*Mar 12 23:27:39.624: Vi1 IPCP: O CONFNAK [ACKrcvd] id 8 len 10

*Mar 12 23:27:39.624: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:27:39.756: Vi1 IPCP: I CONFREQ [ACKrcvd] id 9 len 10

*Mar 12 23:27:39.756: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 172.16.10.1,

we want 172.16.10.1

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:27:39.756: AAA/AUTHOR/IPCP: Vi1 (2840659706) user='tac'

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): send AV service=ppp

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): send AV protocol=ip

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): send AV

addr*172.16.10.1

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): found list

default

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): Method=radius

(radius)

*Mar 12 23:27:39.756: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR (2840659706): Post authorization

status = PASS_REPL

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP: Reject 172.16.10.1, using

172.16.10.1

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Processing AV addr*172.16.10.1

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 172.16.10.1,

we want 172.16.10.1

*Mar 12 23:27:39.760: Vi1 IPCP: O CONFACK [ACKrcvd] id 9 len 10

*Mar 12 23:27:39.760: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:27:39.760: Vi1 IPCP: State is Open

*Mar 12 23:27:39.764: Vi1 IPCP: Install route to 172.16.10.1

*Mar 12 23:27:40.316: %LINEPROTO-5-UPDOWN: Line protocol on Interface

Virtual-Access1, changed state to up

*Mar 12 23:27:46.628: Vi1 LCP: I ECHOREP [Open] id 1 len 12 magic

0x4B4817ED

*Mar 12 23:27:46.628: Vi1 LCP: Received id 1, sent id 1, line up

*Mar 12 23:27:56.636: Vi1 LCP: I ECHOREP [Open] id 2 len 12 magic

0x4B4817ED

*Mar 12 23:27:56.636: Vi1 LCP: Received id 2, sent id 2, line upcaller ip

Line      User IP Address Local Number Remote Number <->

Vi1      tac 172.16.10.1 - - in

angela#show ppp mppe virtual-Access 1

Interface Virtual-Access1 (current connection)

Software encryption, 40 bit encryption, Stateless mode

packets encrypted = 0      packets decrypted = 16

sent CCP resets   = 0      receive CCP resets = 0

next tx coherency = 0      next rx coherency = 16

tx key changes   = 0      rx key changes = 16

rx pkt dropped   = 0      rx out of order pkt= 0

rx missed packets = 0

*Mar 12 23:28:06.604: Vi1 LCP: I ECHOREP [Open] id 3 len 12 magic

0x4B4817ED

*Mar 12 23:28:06.604: Vi1 LCP: Received id 3, sent id 3, line up

angela#ping 172.16.10.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.10.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 188/196/204 ms

angela#show ppp mppe virtual-Access 1

Interface Virtual-Access1 (current connection)

Software encryption, 40 bit encryption, Stateless mode

packets encrypted = 5      packets decrypted = 22

sent CCP resets   = 0      receive CCP resets = 0

next tx coherency = 5      next rx coherency = 22

tx key changes   = 5      rx key changes = 22

rx pkt dropped   = 0      rx out of order pkt= 0

rx missed packets = 0

angela#ping 172.16.10.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.10.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 184/200/232 ms

angela#ping 172.16.10.1sh ppp mppe virtual-Access 1

Interface Virtual-Access1 (current connection)

Software encryption, 40 bit encryption, Stateless mode

packets encrypted = 10      packets decrypted = 28

sent CCP resets   = 0      receive CCP resets = 0

next tx coherency = 10      next rx coherency = 28

tx key changes   = 10      rx key changes = 28

rx pkt dropped   = 0      rx out of order pkt= 0

rx missed packets = 0

angela#

Comandos debug y show

Consulte Información Importante sobre Comandos de Debug antes de usar un comando debug.

La herramienta Output Interpreter Tool (clientes registrados solamente) (OIT) soporta ciertos comandos show. Utilice la OIT para ver un análisis del resultado del comando show.

Si las cosas no funcionan, debug mínimo incluye estos comandos:

- debug aaa authentication — Muestra información sobre autenticación de AAA/TACACS+.

- debug aaa authorization—Muestra información sobre la autorización AAA/TACACS+.

- debug ppp negotiation — Muestra los paquetes PPP transmitidos durante el inicio PPP, durante el cual se negocian las opciones PPP.

- debug ppp authentication: muestra los mensajes del protocolo de autenticación, que incluyen intercambios de paquetes del protocolo de autenticación por desafío mutuo (CHAP) e intercambios del protocolo de autenticación por contraseña (PAP).

- debug radius: muestra información detallada de depuración asociada con el RADIUS.

Si la autenticación funciona, pero hay problemas con el cifrado de Microsoft Point-to-Point Encryption (MPPE), utilice uno de estos comandos:

- debug ppp mppe packet—Muestra todo el tráfico MPPE saliente entrante.

- debug ppp mppe event—Muestra las ocurrencias clave de MPPE.

- debug ppp mppe detailed—Muestra información detallada de MPPE.

- debug vpdn l2x-packets: muestra mensajes sobre los encabezados y el estado del protocolo de reenvío de nivel 2 (L2F).

- debug vpdn events: muestra mensajes sobre eventos que forman parte del establecimiento o cierre normal del túnel.

- debug vpdn errors — Muestra errores que evitan que se establezca un túnel o errores que provocan que un túnel establecido se cierre.

- debug vpdn packets—Muestra cada paquete de protocolo intercambiado. Esta opción puede resultar en un gran número de mensajes de depuración y, generalmente, debería utilizarse sólo con un chasis de depuración con una sola sesión activa.

- show vpdn: muestra información sobre el túnel de protocolo L2F activo y los identificadores de mensaje en una red de marcación privada virtual (VPDN).

También puede utilizar el comando show vpdn ? para ver otros comandos show específicos de vpdn.

Tunelización dividida

Suponga que el router de gateway es un router del proveedor de servicios de Internet (ISP). Cuando se activa el túnel PPTP (Point-to-Point Tunneling Protocol) en el PC, la ruta PPTP se instala con una métrica más alta que la predeterminada anterior, por lo que perdemos la conectividad a Internet. Para remediar esto, modifique el ruteo de Microsoft para eliminar el valor predeterminado y reinstale la ruta predeterminada (esto requiere conocer la dirección IP que se asignó al cliente PPTP; para el ejemplo actual, éste es 172.16.10.1):

route delete 0.0.0.0

route add 0.0.0.0 mask 0.0.0.0 192.168.1.47 metric 1

route add 172.16.10.1 mask 255.255.255.0 192.168.1.47 metric 1

Troubleshoot

En esta sección encontrará información que puede utilizar para solucionar problemas de configuración.

Problema 1: IPSec no inhabilitado

Síntoma

El usuario del PC ve este mensaje:

Error connecting to L2TP:

Error 781: The encryption attempt failed because

no valid certificate was found.

Solución

Vaya a la sección Propiedades de la ventana Conexión privada virtual y haga clic en la pestaña Seguridad. Desactive la opción Require Data Encryption.

Problema 2: Error 789

Síntoma

El intento de conexión L2TP falla porque la capa de seguridad encontró un error de procesamiento durante las negociaciones iniciales con el equipo remoto.

Los servicios de Microsoft Remote Access y Policy Agent crean una política que se utiliza para el tráfico L2TP porque L2TP no proporciona cifrado. Esto se aplica a Microsoft Windows 2000 Advanced Server, Microsoft Windows 2000 Server y Microsoft Windows 2000 Professional.

Solución

Utilice el Editor del Registro (Regedt32.exe) para agregar la nueva entrada del Registro para deshabilitar IPSec. Consulte la documentación de Microsoft o el tema de ayuda de Microsoft para Regedt32.exe.

Debe agregar el valor de registro ProhibitIpSec a cada equipo terminal basado en Windows 2000 de una conexión L2TP o IPSec para evitar que se cree el filtro automático para el tráfico L2TP e IPSec. Cuando el valor del Registro de ProhibitIpSec se establece en uno, el equipo basado en Windows 2000 no crea el filtro automático que utiliza la autenticación de CA. En su lugar, busca una política IPSec local o de Active Directory. Para agregar el valor del Registro ProhibitIpSec al equipo basado en Windows 2000, utilice Regedt32.exe para buscar esta clave en el Registro:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters

Agregue este valor de registro a esta clave:

Value Name: ProhibitIpSec

Data Type: REG_DWORD

Value: 1

Nota: Debe reiniciar el equipo basado en Windows 2000 para que los cambios surtan efecto.

Problema 3: Problema con la autenticación de túnel

Los usuarios se autentican en el NAS o LNS antes de que se establezca el túnel. Esto no es necesario para los túneles iniciados por el cliente como L2TP de un cliente de Microsoft.

El usuario del PC ve este mensaje:

Connecting to 10.200.20.2..

Error 651: The modem(or other connecting device) has reported an error.

Router debugs:

*Mar 12 23:03:47.124: L2TP: I SCCRQ from  RSHANMUG-W2K1.cisco.com tnl 1

*Mar 12 23:03:47.124: Tnl 30107 L2TP: New tunnel created for remote

RSHANMUG-W2K1.cisco.com, address 192.168.1.56

*Mar 12 23:03:47.124: Tnl 30107 L2TP: O SCCRP  to  RSHANMUG-W2K1.cisco.com

tnlid 1

*Mar 12 23:03:47.124: Tnl 30107 L2TP: Tunnel state change from idle to

wait-ctl-reply

*Mar 12 23:03:47.308: Tnl 30107 L2TP: I SCCCN from  RSHANMUG-W2K1.cisco.com

tnl 1

*Mar 12 23:03:47.308: Tnl 30107 L2TP: Got a Challenge Response in SCCCN

from  RSHANMUG-W2K1.cisco.com

*Mar 12 23:03:47.308: AAA: parse name= idb type=-1 tty=-1

*Mar 12 23:03:47.308: AAA/MEMORY: create_user (0x6273D528) user='angela'

ruser='' port='' rem_addr='' authen_type=CHAP service=PPP priv=1

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): port='' list='default'

action=SENDAUTH service=PPP

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): found list default

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): Method=radius (radius)

*Mar 12 23:03:47.308: AAA/AUTHEN/SENDAUTH (4077585132): no authenstruct

hwidb

*Mar 12 23:03:47.308: AAA/AUTHEN/SENDAUTH (4077585132): Failed sendauthen

for angela

*Mar 12 23:03:47.308: AAA/AUTHEN (4077585132): status = FAIL

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): Method=LOCAL

*Mar 12 23:03:47.308: AAA/AUTHEN (4077585132): SENDAUTH no password for

angela

*Mar 12 23:03:47.308: AAA/AUTHEN (4077585132): status = ERROR

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): no methods left to try

*Mar 12 23:03:47.308: AAA/AUTHEN (4077585132): status = ERROR

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): failed to authenticate

*Mar 12 23:03:47.308: VPDN: authentication failed, couldn't find user

information for angela

*Mar 12 23:03:47.308: AAA/MEMORY: free_user (0x6273D528) user='angela'

ruser='' port='' rem_addr='' authen_type=CHAP service=PPP priv=1

*Mar 12 23:03:47.312: Tnl 30107 L2TP: O StopCCN  to

RSHANMUG-W2K1.cisco.com tnlid 1

*Mar 12 23:03:47.312: Tnl 30107 L2TP: Tunnel state change from

wait-ctl-reply to shutting-down

*Mar 12 23:03:47.320: Tnl 30107 L2TP: Shutdown tunnel

*Mar 12 23:03:47.320: Tnl 30107 L2TP: Tunnel state change from

shutting-down to idle

*Mar 12 23:03:47.324: L2TP: Could not find tunnel for tnl 30107, discarding

ICRQ ns 3 nr 1

*Mar 12 23:03:47.448: L2TP: Could not find tunnel for tnl 30107, discarding

ICRQ ns 3 nr 2

Información Relacionada

- Protocolo de túnel de capa dos (L2TP)

- Ejemplo de Configuración de L2TP a través de IPSec entre el Concentrador de Windows 2000 y VPN 3000 Usando Certificados Digitales

- Configuración de L2TP sobre IPSec entre PIX Firewall y Windows 2000 PC con certificados

- Protocolo de túnel de capa 2

- Configuración de Redes Privadas Virtuales

- Configuración de Capa 2 de autenticación de protocolo de túnel mediante servidor RADIUS

- Soporte Técnico y Documentación - Cisco Systems