목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

표기 규칙

구성

네트워크 다이어그램

Microsoft IAS용 Windows 2000 Advanced Server 구성

RADIUS 클라이언트 구성

IAS에서 사용자 구성

Windows 사용자에게 원격 액세스 정책 적용

L2TP용 Windows 2000 클라이언트 구성

Windows 2000 클라이언트에 대해 IPSec 비활성화

L2TP용 Cisco IOS 구성

암호화 활성화

debug 및 show 명령

스플릿 터널링

문제 해결

문제 1: IPSec 사용 안 함

문제 2: 오류 789

문제 3: 터널 인증 문제

관련 정보

소개

이 문서에서는 Microsoft의 IAS(Internet Authentication Server)를 사용하여 L2TP(Layer 2 Tunnel Protocol)를 위해 Cisco IOS® 소프트웨어 및 Windows 2000 클라이언트를 구성하는 방법에 대한 지침을 제공합니다.

Windows 2000/XP PC와 PIX/ASA 7.2 사전 공유 키 구성 사용 원격 Microsoft Windows 2000/2003 및 XP 클라이언트에서 PIX Security로 L2TP over IP Security(IPSec)를 구성하는 방법에 대한 자세한 내용은 L2TP Over IPsec을 참조하십시오. 사용자 인증을 위해 Microsoft Windows 2003 IAS RADIUS 서버와 사전 공유 키를 사용하는 회사 사무실

원격 Microsoft Windows 2000 및 XP 클라이언트에서 암호화된 방법을 사용하여 기업 사이트로 L2TP over IPSec을 구성하는 방법에 대한 자세한 내용은 Windows 2000 또는 XP 클라이언트에서 Cisco VPN 300 Series Concentrator 사전 공유 키를 사용하여 L2TP over IPSec 구성을 참조하십시오.

사전 요구 사항

요구 사항

이 문서에 대한 특정 요건이 없습니다.

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

- Microsoft IAS 옵션 구성 요소가 Active Directory가 있는 Microsoft 2000 고급 서버에 설치됨

- Cisco 3600 라우터

- Cisco IOS 소프트웨어 릴리스 c3640-io3s56i-mz.121-5.T

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

표기 규칙

문서 규칙에 대한 자세한 내용은 Cisco 기술 팁 표기 규칙을 참고하십시오.

구성

이 섹션에는 이 문서에서 설명하는 기능을 구성하기 위한 정보가 표시됩니다.

참고: 명령 조회 도구(등록된 고객만 해당)를 사용하여 이 문서에 사용된 명령에 대한 자세한 내용을 확인하십시오.

네트워크 다이어그램

이 문서에서는 다음 네트워크 설정을 사용합니다.

이 문서에서는 전화 접속 클라이언트에 다음 IP 풀을 사용합니다.

- 게이트웨이 라우터: 192.168.1.2 ~ 192.168.1.254

- LNS: 172.16.10.1 ~ 172.16.10.1

Microsoft IAS용 Windows 2000 Advanced Server 구성

Microsoft IAS가 설치되어 있는지 확인합니다. Microsoft IAS를 설치하려면 관리자로 로그인하고 다음 단계를 완료하십시오.

1. Network Services(네트워크 서비스)에서 모든 확인란이 선택되었는지 확인합니다.

2. 인터넷 인증 서버(IAS) 확인란을 선택한 다음 확인을 클릭합니다.

3. Windows 구성 요소 마법사에서 다음을 클릭합니다. 메시지가 표시되면 Windows 2000 CD를 넣습니다.

4. 필요한 파일이 복사되면 마침을 클릭하고 모든 창을 닫습니다. 재부팅할 필요가 없습니다.

RADIUS 클라이언트 구성

다음 단계를 완료하십시오.

1. 관리 도구에서 인터넷 인증 서버 콘솔을 열고 클라이언트를 클릭합니다.

2. Friendly Name Box에 NAS(네트워크 액세스 서버)의 IP 주소를 입력합니다.

3. Use This IP(이 IP 사용)를 클릭합니다.

4. Client-Vendor 드롭다운 목록에서 RADIUS Standard가 선택되었는지 확인합니다.

5. Shared Secret 및 Confirm Shared Secret 상자에서 암호를 입력한 다음 Finish를 클릭합니다.

6. 콘솔 트리에서 인터넷 인증 서비스를 마우스 오른쪽 단추로 클릭한 다음 시작을 클릭합니다.

7. 콘솔을 닫습니다.

IAS에서 사용자 구성

CiscoSecure와 달리 Windows 2000 RADIUS(Remote Authentication Dial-In User Server) 사용자 데이터베이스는 Windows 사용자 데이터베이스에 긴밀하게 바인딩되어 있습니다.

- Active Directory가 Windows 2000 서버에 설치되어 있는 경우 Active Directory 사용자 및 컴퓨터에서 새 전화 접속 사용자를 만듭니다.

- Active Directory가 설치되지 않은 경우 관리 도구에서 로컬 사용자 및 그룹을 사용하여 새 사용자를 생성할 수 있습니다.

Active Directory에서 사용자 구성

Active Directory로 사용자를 구성하려면 다음 단계를 완료하십시오.

1. Active Directory 사용자 및 컴퓨터 콘솔에서 도메인을 확장합니다.

2. Users Scroll(사용자 스크롤)을 마우스 오른쪽 버튼으로 클릭하여 New User(새 사용자)를 선택합니다.

3. tac이라는 새 사용자를 생성합니다.

4. Password(비밀번호) 및 Confirm Password(비밀번호 확인) 대화 상자에 비밀번호를 입력합니다.

5. User Must Change Password at Next Logon(다음 로그온 시 사용자가 반드시 비밀번호를 변경해야 함) 옵션의 선택을 취소하고 Next(다음)를 클릭합니다.

6. 사용자 tac의 속성 상자를 엽니다. 전화 접속 탭으로 전환합니다.

7. Remote Access Permission (Dial-in or VPN)(원격 액세스 권한(전화 접속 또는 VPN))에서 Allow Access(액세스 허용)를 클릭한 다음 OK(확인)를 클릭합니다.

Active Directory가 설치되지 않은 경우 사용자 구성

Active Directory가 설치되지 않은 경우 사용자를 구성하려면 다음 단계를 완료합니다.

1. 관리 도구에서 컴퓨터 관리를 클릭합니다.

2. 컴퓨터 관리 콘솔을 확장하고 로컬 사용자 및 그룹을 클릭합니다.

3. Users Scroll(사용자 스크롤)을 마우스 오른쪽 버튼으로 클릭하여 New User(새 사용자)를 선택합니다.

4. Password(비밀번호) 및 Confirm Password(비밀번호 확인) 대화 상자에 비밀번호를 입력합니다.

5. User Must Change Password at Next Logon(다음 로그온 시 사용자가 반드시 비밀번호를 변경해야 함) 옵션의 선택을 취소하고 Next(다음)를 클릭합니다.

6. 새 사용자 tac의 속성 상자를 엽니다. 전화 접속 탭으로 전환합니다.

7. Remote Access Permission (Dial-in or VPN)(원격 액세스 권한(전화 접속 또는 VPN))에서 Allow Access(액세스 허용)를 클릭한 다음 OK(확인)를 클릭합니다.

Windows 사용자에게 원격 액세스 정책 적용

원격 액세스 정책을 적용하려면 다음 단계를 완료하십시오.

1. 관리 도구에서 인터넷 인증 서버 콘솔을 열고 원격 액세스 정책을 클릭합니다.

2. Specify the Conditions to Match and add Service-type(일치시킬 조건 지정 및 추가 서비스 유형의 Add(추가) 버튼을 클릭합니다. 사용 가능한 유형을 프레임으로 선택합니다. 선택한 유형에 추가하고 확인을 누릅니다.

3. Specify the Conditions to Match and add Framed Protocol에서 Add(추가) 버튼을 클릭합니다. 사용 가능한 유형을 PPP로 선택합니다. 선택한 유형에 추가하고 확인을 누릅니다.

4. Specify the Conditions to Match and add Windows-Groups(일치시킬 조건 지정에서 추가 버튼을 클릭하여 사용자가 속한 Windows 그룹을 추가합니다. 그룹을 선택하고 선택한 유형에 추가합니다. 확인을 누릅니다.

5. 전화 접속 권한이 사용 가능한 경우 액세스 허용에서 원격 액세스 권한 부여를 선택합니다.

6. 콘솔을 닫습니다.

L2TP용 Windows 2000 클라이언트 구성

L2TP용 Windows 2000 클라이언트를 구성하려면 다음 단계를 완료합니다.

1. 시작 메뉴에서 설정을 선택한 다음 경로 중 하나를 따릅니다.

- 제어판 > 네트워크 및 전화 접속 연결

또는

- 네트워크 및 전화 접속 연결 > 새 연결 만들기

2. 마법사를 사용하여 L2TP라는 연결을 생성합니다. 이 연결은 인터넷을 통해 사설 네트워크에 연결됩니다. 또한 L2TP 터널 게이트웨이의 IP 주소 또는 이름을 지정해야 합니다.

3. 새 연결이 제어판의 네트워크 및 전화 접속 연결 창에 나타납니다. 여기서 마우스 오른쪽 버튼을 클릭하여 속성을 편집합니다.

4. Networking(네트워킹) 탭 아래에서 Type of Server I Am Calling(IP 호출 중인 서버 유형이 L2TP로 설정되어 있는지 확인합니다.

5. 게이트웨이에서 로컬 풀 또는 DHCP를 통해 이 클라이언트에 동적 내부 주소를 할당하려는 경우 TCP/IP 프로토콜을 선택합니다. 클라이언트가 IP 주소를 자동으로 가져오도록 구성되어 있는지 확인합니다. DNS 정보를 자동으로 발급할 수도 있습니다.

- Advanced 버튼을 사용하면 고정 WINS 및 DNS 정보를 정의할 수 있습니다.

- Options 탭을 사용하면 IPSec을 끄거나 연결에 다른 정책을 할당할 수 있습니다.

- 보안 탭 아래에서 PAP, CHAP 또는 MS-CHAP 또는 Windows 도메인 로그온과 같은 사용자 인증 매개변수를 정의할 수 있습니다.

6. 연결이 구성되면 두 번 클릭하여 로그인 화면을 시작한 다음 연결을 시작할 수 있습니다.

Windows 2000 클라이언트에 대해 IPSec 비활성화

1. 방금 생성한 전화 접속 연결 L2TP의 속성을 편집합니다. 새 연결 L2TP를 마우스 오른쪽 버튼으로 클릭하여 L2TP Properties 창을 가져옵니다.

2. Networking(네트워킹) 탭에서 Internet Protocol(TCP/IP) 속성을 클릭합니다. 고급 탭을 두 번 클릭합니다. 옵션 탭으로 이동하여 IP 보안 속성을 클릭하고 Do not use IPSEC(IPSEC 사용 안 함)을 선택한 경우 다시 확인합니다.

참고: Microsoft Windows 2000 클라이언트에는 기본적으로 L2TP 트래픽에 대한 정책을 생성하는 기본 원격 액세스 및 정책 에이전트 서비스가 있습니다. 이 기본 정책은 IPSec 및 암호화 없이 L2TP 트래픽을 허용하지 않습니다. Microsoft 클라이언트 레지스트리 편집기를 편집하여 Microsoft 기본 동작을 비활성화할 수 있습니다. 이 섹션에서는 Windows 레지스트리를 수정하고 L2TP 트래픽에 대해 IPSec의 기본 정책을 비활성화하는 절차를 설명합니다. Windows 레지스트리를 편집하려면 Microsoft 설명서를 참조하십시오.

레지스트리 편집기(Regedt32.exe)를 사용하여 IPSec을 사용하지 않도록 설정하는 새 레지스트리 항목을 추가합니다. 자세한 내용은 Microsoft 설명서 또는 Microsoft 도움말 항목에서 Regedt32.exe를 참조하십시오.

L2TP 및 IPSec 트래픽에 대한 자동 필터가 생성되지 않도록 하려면 L2TP 또는 IPSec 연결의 각 Windows 2000 기반 엔드포인트 컴퓨터에 ProhibitIpSec 레지스트리 값을 추가해야 합니다. ProhibitIpSec 레지스트리 값을 1로 설정하면 Windows 2000 기반 컴퓨터에서 CA 인증을 사용하는 자동 필터를 만들지 않습니다. 대신 로컬 또는 Active Directory IPSec 정책을 확인합니다. Windows 2000 기반 컴퓨터에 ProhibitIpSec 레지스트리 값을 추가하려면 Regedt32.exe를 사용하여 레지스트리에서 이 키를 찾습니다.

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters

이 키에 이 레지스트리 값 추가:

Value Name: ProhibitIpSec

Data Type: REG_DWORD

Value: 1

참고: 변경 사항을 적용하려면 Windows 2000 기반 컴퓨터를 다시 시작해야 합니다. 자세한 내용은 다음 Microsoft 문서를 참조하십시오.

- Q258261 - L2TP에서 사용되는 IPSEC 정책 비활성화

- Q240262 - 사전 공유 키를 사용하여 L2TP/IPSec 연결을 구성하는 방법

L2TP용 Cisco IOS 구성

이러한 컨피그레이션에서는 IPSec이 없는 L2TP에 필요한 명령을 간략하게 설명합니다. 이 기본 컨피그레이션이 작동하면 IPSec도 구성할 수 있습니다.

안젤라

Building configuration...

Current configuration : 1595 bytes

!

version 12.1

no service single-slot-reload-enable

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname angela

!

logging rate-limit console 10 except errors

!--- Enable AAA services here.

aaa new-model

aaa authentication login default group radius local

aaa authentication login console none

aaa authentication ppp default group radius local

aaa authorization network default group radius local

enable password ww

!

memory-size iomem 30

ip subnet-zero

!

!

no ip finger

no ip domain-lookup

ip host rund 172.17.247.195

!

ip audit notify log

ip audit po max-events 100

ip address-pool local

!

!

!--- Enable VPN/VPDN services and define groups and !--- specific variables required for the group.

vpdn enable

no vpdn logging

!

vpdn-group L2TP_Windows 2000Client

!--- Default L2TP VPDN group. !--- Allow the Router to accept incoming requests.

accept-dialin

protocol L2TP

virtual-template 1

no L2TP tunnel authentication

!--- Users are authenticated at the NAS or LNS !--- before the tunnel is established. This is not !--- required for client-initiated tunnels.

!

!

call rsvp-sync

!

!

!

!

!

!

!

controller E1 2/0

!

!

interface Loopback0

ip address 172.16.10.100 255.255.255.0

!

interface Ethernet0/0

ip address 10.200.20.2 255.255.255.0

half-duplex

!

interface Virtual-Template1

ip unnumbered Loopback0

peer default ip address pool default

ppp authentication ms-chap

!

ip local pool default 172.16.10.1 172.16.10.10

ip classless

ip route 0.0.0.0 0.0.0.0 10.200.20.1

ip route 192.168.1.0 255.255.255.0 10.200.20.250

no ip http server

!

radius-server host 10.200.20.245 auth-port 1645 acct-port 1646

radius-server retransmit 3

radius-server key cisco

!

dial-peer cor custom

!

!

!

!

!

line con 0

exec-timeout 0 0

login authentication console

transport input none

line 33 50

modem InOut

line aux 0

line vty 0 4

exec-timeout 0 0

password ww

!

end

angela#

*Mar 12 23:10:54.176: L2TP: I SCCRQ from  RSHANMUG-W2K1.cisco.com tnl 5

*Mar 12 23:10:54.176: Tnl 8663 L2TP: New tunnel created for remote

RSHANMUG-W2K1.cisco.com, address 192.168.1.56

*Mar 12 23:10:54.176: Tnl 8663 L2TP: O SCCRP  to  RSHANMUG-W2K1.cisco.com

tnlid 5

*Mar 12 23:10:54.180: Tnl 8663 L2TP: Tunnel state change from idle to

wait-ctl-reply

*Mar 12 23:10:54.352: Tnl 8663 L2TP: I SCCCN from  RSHANMUG-W2K1.cisco.com

tnl 5

*Mar 12 23:10:54.352: Tnl 8663 L2TP: Tunnel state change from

wait-ctl-reply to established

*Mar 12 23:10:54.352: Tnl 8663 L2TP: SM State established

*Mar 12 23:10:54.356: Tnl 8663 L2TP: I ICRQ from  RSHANMUG-W2K1.cisco.com

tnl 5

*Mar 12 23:10:54.356: Tnl/Cl 8663/44 L2TP: Session FS enabled

*Mar 12 23:10:54.356: Tnl/Cl 8663/44 L2TP: Session state change from idle

to wait-connect

*Mar 12 23:10:54.356: Tnl/Cl 8663/44 L2TP: New session created

*Mar 12 23:10:54.356: Tnl/Cl 8663/44 L2TP: O ICRP to

RSHANMUG-W2K1.cisco.com 5/1

*Mar 12 23:10:54.544: Tnl/Cl 8663/44 L2TP: I ICCN from

RSHANMUG-W2K1.cisco.com tnl 5, cl 1

*Mar 12 23:10:54.544: Tnl/Cl 8663/44 L2TP: Session state change from

wait-connect to established

*Mar 12 23:10:54.544: Vi1 VPDN: Virtual interface created for

*Mar 12 23:10:54.544: Vi1 PPP: Phase is DOWN, Setup [0 sess, 0 load]

*Mar 12 23:10:54.544: Vi1 VPDN: Clone from Vtemplate 1 filterPPP=0 blocking

*Mar 12 23:10:54.620: Tnl/Cl 8663/44 L2TP: Session with no hwidb

*Mar 12 23:10:54.624: %LINK-3-UPDOWN: Interface Virtual-Access1, changed

state to up

*Mar 12 23:10:54.624: Vi1 PPP: Using set call direction

*Mar 12 23:10:54.624: Vi1 PPP: Treating connection as a callin

*Mar 12 23:10:54.624: Vi1 PPP: Phase is ESTABLISHING, Passive Open [0 sess,

0 load]

*Mar 12 23:10:54.624: Vi1 LCP: State is Listen

*Mar 12 23:10:54.624: Vi1 VPDN: Bind interface direction=2

*Mar 12 23:10:56.556: Vi1 LCP: I CONFREQ [Listen] id 1 len 44

*Mar 12 23:10:56.556: Vi1 LCP:   MagicNumber 0x595E7636 (0x0506595E7636)

*Mar 12 23:10:56.556: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:10:56.556: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:10:56.556: Vi1 LCP:   Callback 6  (0x0D0306)

*Mar 12 23:10:56.556: Vi1 LCP:   MRRU 1614 (0x1104064E)

*Mar 12 23:10:56.556: Vi1 LCP:   EndpointDisc 1 Local

*Mar 12 23:10:56.556: Vi1 LCP:    (0x1317012E07E41982EB4EF790F1BF1862)

*Mar 12 23:10:56.556: Vi1 LCP:    (0x10D0AC00000002)

*Mar 12 23:10:56.556: Vi1 AAA/AUTHOR/FSM: (0): LCP succeeds trivially

*Mar 12 23:10:56.556: Vi1 LCP: O CONFREQ [Listen] id 1 len 15

*Mar 12 23:10:56.556: Vi1 LCP:   AuthProto MS-CHAP (0x0305C22380)

*Mar 12 23:10:56.556: Vi1 LCP:   MagicNumber 0x4E1B09B8 (0x05064E1B09B8)

*Mar 12 23:10:56.560: Vi1 LCP: O CONFREJ [Listen] id 1 len 34

*Mar 12 23:10:56.560: Vi1 LCP:   Callback 6  (0x0D0306)

*Mar 12 23:10:56.560: Vi1 LCP:   MRRU 1614 (0x1104064E)

*Mar 12 23:10:56.560: Vi1 LCP:   EndpointDisc 1 Local

*Mar 12 23:10:56.560: Vi1 LCP:    (0x1317012E07E41982EB4EF790F1BF1862)

*Mar 12 23:10:56.560: Vi1 LCP:    (0x10D0AC00000002)

*Mar 12 23:10:56.700: Vi1 LCP: I CONFACK [REQsent] id 1 len 15

*Mar 12 23:10:56.700: Vi1 LCP:   AuthProto MS-CHAP (0x0305C22380)

*Mar 12 23:10:56.704: Vi1 LCP:   MagicNumber 0x4E1B09B8 (0x05064E1B09B8)

*Mar 12 23:10:56.704: Vi1 LCP: I CONFREQ [ACKrcvd] id 2 len 14

*Mar 12 23:10:56.704: Vi1 LCP:   MagicNumber 0x595E7636 (0x0506595E7636)

*Mar 12 23:10:56.704: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:10:56.704: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:10:56.704: Vi1 LCP: O CONFACK [ACKrcvd] id 2 len 14

*Mar 12 23:10:56.708: Vi1 LCP:   MagicNumber 0x595E7636 (0x0506595E7636)

*Mar 12 23:10:56.708: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:10:56.708: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:10:56.708: Vi1 LCP: State is Open

*Mar 12 23:10:56.708: Vi1 PPP: Phase is AUTHENTICATING, by this end [0

sess, 0 load]

*Mar 12 23:10:56.708: Vi1 MS-CHAP: O CHALLENGE id 28 len 21 from angela

*Mar 12 23:10:56.852: Vi1 LCP: I IDENTIFY [Open] id 3 len 18 magic

0x595E7636 MSRASV5.00

*Mar 12 23:10:56.872: Vi1 LCP: I IDENTIFY [Open] id 4 len 27 magic

0x595E7636 MSRAS-1- RSHANMUG-W2K1

*Mar 12 23:10:56.880: Vi1 MS-CHAP: I RESPONSE id 28 len 57 from tac

*Mar 12 23:10:56.880: AAA: parse name=Virtual-Access1 idb type=21 tty=-1

*Mar 12 23:10:56.880: AAA: name=Virtual-Access1 flags=0x11 type=5 shelf=0

slot=0 adapter=0 port=1 channel=0

*Mar 12 23:10:56.884: AAA/MEMORY: create_user (0x6273D024) user='tac'

ruser='' port='Virtual-Access1' rem_addr='' authen_type=MSCHAP service=PPP

priv=1

*Mar 12 23:10:56.884: AAA/AUTHEN/START (3634835145): port='Virtual-Access1'

list='' action=LOGIN service=PPP

*Mar 12 23:10:56.884: AAA/AUTHEN/START (3634835145): using default list

*Mar 12 23:10:56.884: AAA/AUTHEN/START (3634835145): Method=radius (radius)

*Mar 12 23:10:56.884: RADIUS: ustruct sharecount=0

*Mar 12 23:10:56.884: RADIUS: Initial Transmit Virtual-Access1 id 173

10.200.20.245:1645, Access-Request, len 129

*Mar 12 23:10:56.884:       Attribute 4 6 0AC81402

*Mar 12 23:10:56.884:       Attribute 5 6 00000001

*Mar 12 23:10:56.884:       Attribute 61 6 00000001

*Mar 12 23:10:56.884:       Attribute 1 5 7461631A

*Mar 12 23:10:56.884:       Attribute 26 16 000001370B0A0053

*Mar 12 23:10:56.884:       Attribute 26 58 0000013701341C01

*Mar 12 23:10:56.884:       Attribute 6 6 00000002

*Mar 12 23:10:56.884:       Attribute 7 6 00000001

*Mar 12 23:10:56.900: RADIUS: Received from id 173 10.200.20.245:1645,

Access-Accept, len 116

*Mar 12 23:10:56.900:       Attribute 7 6 00000001

*Mar 12 23:10:56.900:       Attribute 6 6 00000002

*Mar 12 23:10:56.900:       Attribute 25 32 502605A6

*Mar 12 23:10:56.900:       Attribute 26 40 000001370C22F6D5

*Mar 12 23:10:56.900:       Attribute 26 12 000001370A061C4E

*Mar 12 23:10:56.900: AAA/AUTHEN (3634835145): status = PASS

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP: Authorize LCP

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP (1995716469):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:10:56.900: AAA/AUTHOR/LCP: Vi1 (1995716469) user='tac'

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP (1995716469): send AV service=ppp

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP (1995716469): send AV protocol=lcp

*Mar 12 23:10:56.900: Vi1 AAA/AUTHOR/LCP (1995716469): found list default

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/LCP (1995716469): Method=radius

(radius)

*Mar 12 23:10:56.904: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR (1995716469): Post authorization

status = PASS_REPL

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/LCP: Processing AV service=ppp

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/LCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:10:56.904: Vi1 MS-CHAP: O SUCCESS id 28 len 4

*Mar 12 23:10:56.904: Vi1 PPP: Phase is UP [0 sess, 0 load]

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM: (0): Can we start IPCP?

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:10:56.904: AAA/AUTHOR/FSM: Vi1 (2094713042) user='tac'

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042): send AV service=ppp

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042): send AV protocol=ip

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042): found list default

*Mar 12 23:10:56.904: Vi1 AAA/AUTHOR/FSM (2094713042): Method=radius

(radius)

*Mar 12 23:10:56.908: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:10:56.908: Vi1 AAA/AUTHOR (2094713042): Post authorization

status = PASS_REPL

*Mar 12 23:10:56.908: Vi1 AAA/AUTHOR/FSM: We can start IPCP

*Mar 12 23:10:56.908: Vi1 IPCP: O CONFREQ [Closed] id 1 len 10

*Mar 12 23:10:56.908: Vi1 IPCP:    Address 172.16.10.100 (0x0306AC100A64)

*Mar 12 23:10:57.040: Vi1 CCP: I CONFREQ [Not negotiated] id 5 len 10

*Mar 12 23:10:57.040: Vi1 CCP:   MS-PPC supported bits 0x01000001

(0x120601000001)

*Mar 12 23:10:57.040: Vi1 LCP: O PROTREJ [Open] id 2 len 16 protocol CCP

(0x80FD0105000A120601000001)

*Mar 12 23:10:57.052: Vi1 IPCP: I CONFREQ [REQsent] id 6 len 34

*Mar 12 23:10:57.052: Vi1 IPCP:    Address 0.0.0.0 (0x030600000000)

*Mar 12 23:10:57.052: Vi1 IPCP:    PrimaryDNS 0.0.0.0 (0x810600000000)

*Mar 12 23:10:57.052: Vi1 IPCP:    PrimaryWINS 0.0.0.0 (0x820600000000)

*Mar 12 23:10:57.052: Vi1 IPCP:    SecondaryDNS 0.0.0.0 (0x830600000000)

*Mar 12 23:10:57.052: Vi1 IPCP:    SecondaryWINS 0.0.0.0 (0x840600000000)

*Mar 12 23:10:57.052: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 0.0.0.0, we

want 0.0.0.0

*Mar 12 23:10:57.056: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:10:57.056: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:10:57.056: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:10:57.056: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 0.0.0.0, we

want 0.0.0.0

*Mar 12 23:10:57.056: Vi1 IPCP: Pool returned 172.16.10.1

*Mar 12 23:10:57.056: Vi1 IPCP: O CONFREJ [REQsent] id 6 len 28

*Mar 12 23:10:57.056: Vi1 IPCP:    PrimaryDNS 0.0.0.0 (0x810600000000)

*Mar 12 23:10:57.056: Vi1 IPCP:    PrimaryWINS 0.0.0.0 (0x820600000000)

*Mar 12 23:10:57.056: Vi1 IPCP:    SecondaryDNS 0.0.0.0 (0x830600000000)

*Mar 12 23:10:57.056: Vi1 IPCP:    SecondaryWINS 0.0.0.0 (0x840600000000)

*Mar 12 23:10:57.060: Vi1 IPCP: I CONFACK [REQsent] id 1 len 10

*Mar 12 23:10:57.060: Vi1 IPCP:    Address 172.16.10.100 (0x0306AC100A64)

*Mar 12 23:10:57.192: Vi1 IPCP: I CONFREQ [ACKrcvd] id 7 len 10

*Mar 12 23:10:57.192: Vi1 IPCP:    Address 0.0.0.0 (0x030600000000)

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 0.0.0.0, we

want 172.16.10.1

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:10:57.192: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 0.0.0.0, we

want 172.16.10.1

*Mar 12 23:10:57.192: Vi1 IPCP: O CONFNAK [ACKrcvd] id 7 len 10

*Mar 12 23:10:57.192: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:10:57.324: Vi1 IPCP: I CONFREQ [ACKrcvd] id 8 len 10

*Mar 12 23:10:57.324: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 172.16.10.1,

we want 172.16.10.1

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:10:57.324: AAA/AUTHOR/IPCP: Vi1 (413757991) user='tac'

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): send AV service=ppp

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): send AV protocol=ip

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): send AV

addr*172.16.10.1

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): found list default

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP (413757991): Method=radius

(radius)

*Mar 12 23:10:57.324: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR (413757991): Post authorization status

= PASS_REPL

*Mar 12 23:10:57.324: Vi1 AAA/AUTHOR/IPCP: Reject 172.16.10.1, using

172.16.10.1

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Processing AV addr*172.16.10.1

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:10:57.328: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 172.16.10.1,

we want 172.16.10.1

*Mar 12 23:10:57.328: Vi1 IPCP: O CONFACK [ACKrcvd] id 8 len 10

*Mar 12 23:10:57.328: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:10:57.328: Vi1 IPCP: State is Open

*Mar 12 23:10:57.332: Vi1 IPCP: Install route to 172.16.10.1

*Mar 12 23:10:57.904: %LINEPROTO-5-UPDOWN: Line protocol on Interface

Virtual-Access1, changed state to up

*Mar 12 23:11:06.324: Vi1 LCP: I ECHOREP [Open] id 1 len 12 magic

0x595E7636

*Mar 12 23:11:06.324: Vi1 LCP: Received id 1, sent id 1, line up

angela#show vpdn

L2TP Tunnel and Session Information Total tunnels 1 sessions 1

LocID RemID Remote Name   State  Remote Address  Port  Sessions

8663  5      RSHANMUG-W2K1.c est    192.168.1.56    1701  1

LocID RemID TunID Intf      Username    State  Last Chg Fastswitch

44    1     8663  Vi1      tac    est   00:00:18 enabled

%No active L2F tunnels

%No active PPTP tunnels

%No active PPPoE tunnels

*Mar 12 23:11:16.332: Vi1 LCP: I ECHOREP [Open] id 2 len 12 magic

0x595E7636

*Mar 12 23:11:16.332: Vi1 LCP: Received id 2, sent id 2, line upsh caller

ip

Line      User IP Address Local Number Remote Number <->

Vi1      tac 172.16.10.1 - - in

angela#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR

P - periodic downloaded static route

Gateway of last resort is 10.200.20.1 to network 0.0.0.0

172.16.0.0/16 is variably subnetted, 2 subnets, 2 masks

C 172.16.10.0/24 is directly connected, Loopback0

C 172.16.10.1/32 is directly connected, Virtual-Access1

10.0.0.0/24 is subnetted, 1 subnets

C 10.200.20.0 is directly connected, Ethernet0/0

S    192.168.1.0/24 [1/0] via 10.200.20.250

S*   0.0.0.0/0 [1/0] via 10.200.20.1

*Mar 12 23:11:26.328: Vi1 LCP: I ECHOREP [Open] id 3 len 12 magic

0x595E7636

*Mar 12 23:11:26.328: Vi1 LCP: Received id 3, sent id 3, line up172.16.10.1

angela#ping 172.16.10.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.10.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 156/160/168 ms

암호화 활성화

interface virtual-template 1 아래에 ppp encrypt mppe 40 명령을 추가합니다. Microsoft 클라이언트에서도 암호화를 선택했는지 확인합니다.

*Mar 12 23:27:36.608: L2TP: I SCCRQ from  RSHANMUG-W2K1.cisco.com tnl 13

*Mar 12 23:27:36.608: Tnl 31311 L2TP: New tunnel created for remote

RSHANMUG-W2K1.cisco.com, address 192.168.1.56

*Mar 12 23:27:36.608: Tnl 31311 L2TP: O SCCRP  to  RSHANMUG-W2K1.cisco.com

tnlid 13

*Mar 12 23:27:36.612: Tnl 31311 L2TP: Tunnel state change from idle to

wait-ctl-reply

*Mar 12 23:27:36.772: Tnl 31311 L2TP: I SCCCN from  RSHANMUG-W2K1.cisco.com

tnl 13

*Mar 12 23:27:36.772: Tnl 31311 L2TP: Tunnel state change from

wait-ctl-reply to established

*Mar 12 23:27:36.776: Tnl 31311 L2TP: SM State established

*Mar 12 23:27:36.780: Tnl 31311 L2TP: I ICRQ from  RSHANMUG-W2K1.cisco.com

tnl 13

*Mar 12 23:27:36.780: Tnl/Cl 31311/52 L2TP: Session FS enabled

*Mar 12 23:27:36.780: Tnl/Cl 31311/52 L2TP: Session state change from idle

to wait-connect

*Mar 12 23:27:36.780: Tnl/Cl 31311/52 L2TP: New session created

*Mar 12 23:27:36.780: Tnl/Cl 31311/52 L2TP: O ICRP to

RSHANMUG-W2K1.cisco.com 13/1

*Mar 12 23:27:36.924: Tnl/Cl 31311/52 L2TP: I ICCN from

RSHANMUG-W2K1.cisco.com tnl 13, cl 1

*Mar 12 23:27:36.928: Tnl/Cl 31311/52 L2TP: Session state change from

wait-connect to established

*Mar 12 23:27:36.928: Vi1 VPDN: Virtual interface created for

*Mar 12 23:27:36.928: Vi1 PPP: Phase is DOWN, Setup [0 sess, 0 load]

*Mar 12 23:27:36.928: Vi1 VPDN: Clone from Vtemplate 1 filterPPP=0 blocking

*Mar 12 23:27:36.972: Tnl/Cl 31311/52 L2TP: Session with no hwidb

*Mar 12 23:27:36.976: %LINK-3-UPDOWN: Interface Virtual-Access1, changed

state to up

*Mar 12 23:27:36.976: Vi1 PPP: Using set call direction

*Mar 12 23:27:36.976: Vi1 PPP: Treating connection as a callin

*Mar 12 23:27:36.976: Vi1 PPP: Phase is ESTABLISHING, Passive Open [0 sess,

0 load]

*Mar 12 23:27:36.976: Vi1 LCP: State is Listen

*Mar 12 23:27:36.976: Vi1 VPDN: Bind interface direction=2

*Mar 12 23:27:38.976: Vi1 LCP: TIMEout: State Listen

*Mar 12 23:27:38.976: Vi1 AAA/AUTHOR/FSM: (0): LCP succeeds trivially

*Mar 12 23:27:38.976: Vi1 LCP: O CONFREQ [Listen] id 1 len 15

*Mar 12 23:27:38.976: Vi1 LCP:   AuthProto MS-CHAP (0x0305C22380)

*Mar 12 23:27:38.976: Vi1 LCP:   MagicNumber 0x4E2A5593 (0x05064E2A5593)

*Mar 12 23:27:38.984: Vi1 LCP: I CONFREQ [REQsent] id 1 len 44

*Mar 12 23:27:38.984: Vi1 LCP:   MagicNumber 0x4B4817ED (0x05064B4817ED)

*Mar 12 23:27:38.984: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:27:38.984: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:27:38.984: Vi1 LCP:   Callback 6  (0x0D0306)

*Mar 12 23:27:38.984: Vi1 LCP:   MRRU 1614 (0x1104064E)

*Mar 12 23:27:38.984: Vi1 LCP:   EndpointDisc 1 Local

*Mar 12 23:27:38.984: Vi1 LCP:    (0x1317012E07E41982EB4EF790F1BF1862)

*Mar 12 23:27:38.984: Vi1 LCP:    (0x10D0AC0000000A)

*Mar 12 23:27:38.984: Vi1 LCP: O CONFREJ [REQsent] id 1 len 34

*Mar 12 23:27:38.984: Vi1 LCP:   Callback 6  (0x0D0306)

*Mar 12 23:27:38.984: Vi1 LCP:   MRRU 1614 (0x1104064E)

*Mar 12 23:27:38.984: Vi1 LCP:   EndpointDisc 1 Local

*Mar 12 23:27:38.988: Vi1 LCP:    (0x1317012E07E41982EB4EF790F1BF1862)

*Mar 12 23:27:38.988: Vi1 LCP:    (0x10D0AC0000000A)

*Mar 12 23:27:39.096: Vi1 LCP: I CONFACK [REQsent] id 1 len 15

*Mar 12 23:27:39.096: Vi1 LCP:   AuthProto MS-CHAP (0x0305C22380)

*Mar 12 23:27:39.096: Vi1 LCP:   MagicNumber 0x4E2A5593 (0x05064E2A5593)

*Mar 12 23:27:39.128: Vi1 LCP: I CONFREQ [ACKrcvd] id 2 len 14

*Mar 12 23:27:39.128: Vi1 LCP:   MagicNumber 0x4B4817ED (0x05064B4817ED)

*Mar 12 23:27:39.128: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:27:39.128: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:27:39.128: Vi1 LCP: O CONFACK [ACKrcvd] id 2 len 14

*Mar 12 23:27:39.128: Vi1 LCP:   MagicNumber 0x4B4817ED (0x05064B4817ED)

*Mar 12 23:27:39.128: Vi1 LCP:   PFC (0x0702)

*Mar 12 23:27:39.128: Vi1 LCP:   ACFC (0x0802)

*Mar 12 23:27:39.128: Vi1 LCP: State is Open

*Mar 12 23:27:39.128: Vi1 PPP: Phase is AUTHENTICATING, by this end [0

sess, 0 load]

*Mar 12 23:27:39.128: Vi1 MS-CHAP: O CHALLENGE id 32 len 21 from angela

*Mar 12 23:27:39.260: Vi1 LCP: I IDENTIFY [Open] id 3 len 18 magic

0x4B4817ED MSRASV5.00

*Mar 12 23:27:39.288: Vi1 LCP: I IDENTIFY [Open] id 4 len 27 magic

0x4B4817ED MSRAS-1- RSHANMUG-W2K1

*Mar 12 23:27:39.296: Vi1 MS-CHAP: I RESPONSE id 32 len 57 from tac

*Mar 12 23:27:39.296: AAA: parse name=Virtual-Access1 idb type=21 tty=-1

*Mar 12 23:27:39.296: AAA: name=Virtual-Access1 flags=0x11 type=5 shelf=0

slot=0 adapter=0 port=1 channel=0

*Mar 12 23:27:39.296: AAA/MEMORY: create_user (0x6273D528) user='tac'

ruser='' port='Virtual-Access1' rem_addr='' authen_type=MSCHAP service=PPP

priv=1

*Mar 12 23:27:39.296: AAA/AUTHEN/START (2410248116): port='Virtual-Access1'

list='' action=LOGIN service=PPP

*Mar 12 23:27:39.296: AAA/AUTHEN/START (2410248116): using default list

*Mar 12 23:27:39.296: AAA/AUTHEN/START (2410248116): Method=radius (radius)

*Mar 12 23:27:39.296: RADIUS: ustruct sharecount=0

*Mar 12 23:27:39.300: RADIUS: Initial Transmit Virtual-Access1 id 181

10.200.20.245:1645, Access-Request, len 129

*Mar 12 23:27:39.300:       Attribute 4 6 0AC81402

*Mar 12 23:27:39.300:       Attribute 5 6 00000001

*Mar 12 23:27:39.300:       Attribute 61 6 00000001

*Mar 12 23:27:39.300:       Attribute 1 5 7461631A

*Mar 12 23:27:39.300:       Attribute 26 16 000001370B0AFC72

*Mar 12 23:27:39.300:       Attribute 26 58 0000013701342001

*Mar 12 23:27:39.300:       Attribute 6 6 00000002

*Mar 12 23:27:39.300:       Attribute 7 6 00000001

*Mar 12 23:27:39.312: RADIUS: Received from id 181 10.200.20.245:1645,

Access-Accept, len 116

*Mar 12 23:27:39.312:       Attribute 7 6 00000001

*Mar 12 23:27:39.312:       Attribute 6 6 00000002

*Mar 12 23:27:39.312:       Attribute 25 32 502E05AE

*Mar 12 23:27:39.312:       Attribute 26 40 000001370C225042

*Mar 12 23:27:39.312:       Attribute 26 12 000001370A06204E

*Mar 12 23:27:39.312: AAA/AUTHEN (2410248116): status = PASS

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP: Authorize LCP

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:27:39.316: AAA/AUTHOR/LCP: Vi1 (2365724222) user='tac'

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222): send AV service=ppp

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222): send AV protocol=lcp

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222): found list default

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP (2365724222): Method=radius

(radius)

*Mar 12 23:27:39.316: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR (2365724222): Post authorization

status = PASS_REPL

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP: Processing AV service=ppp

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/LCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.316: Vi1 MS-CHAP: O SUCCESS id 32 len 4

*Mar 12 23:27:39.316: Vi1 PPP: Phase is UP [0 sess, 0 load]

*Mar 12 23:27:39.316: Vi1 AAA/AUTHOR/FSM: (0): Can we start IPCP?

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:27:39.320: AAA/AUTHOR/FSM: Vi1 (1499311111) user='tac'

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111): send AV service=ppp

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111): send AV protocol=ip

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111): found list default

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (1499311111): Method=radius

(radius)

*Mar 12 23:27:39.320: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR (1499311111): Post authorization

status = PASS_REPL

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM: We can start IPCP

*Mar 12 23:27:39.320: Vi1 IPCP: O CONFREQ [Closed] id 1 len 10

*Mar 12 23:27:39.320: Vi1 IPCP:    Address 172.16.10.100 (0x0306AC100A64)

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM: (0): Can we start CCP?

*Mar 12 23:27:39.320: Vi1 AAA/AUTHOR/FSM (327346364):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:27:39.324: AAA/AUTHOR/FSM: Vi1 (327346364) user='tac'

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM (327346364): send AV service=ppp

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM (327346364): send AV protocol=ccp

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM (327346364): found list default

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM (327346364): Method=radius

(radius)

*Mar 12 23:27:39.324: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR (327346364): Post authorization status

= PASS_REPL

*Mar 12 23:27:39.324: Vi1 AAA/AUTHOR/FSM: We can start CCP

*Mar 12 23:27:39.324: Vi1 CCP: O CONFREQ [Closed] id 1 len 10

*Mar 12 23:27:39.324: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.460: Vi1 CCP: I CONFREQ [REQsent] id 5 len 10

*Mar 12 23:27:39.460: Vi1 CCP:   MS-PPC supported bits 0x01000001

(0x120601000001)

*Mar 12 23:27:39.460: Vi1 AAA/AUTHOR/FSM: Check for unauthorized mandatory

AV's

*Mar 12 23:27:39.460: Vi1 AAA/AUTHOR/FSM: Processing AV service=ppp

*Mar 12 23:27:39.460: Vi1 AAA/AUTHOR/FSM: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.460: Vi1 AAA/AUTHOR/FSM: Succeeded

*Mar 12 23:27:39.464: Vi1 CCP: O CONFNAK [REQsent] id 5 len 10

*Mar 12 23:27:39.464: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.472: Vi1 IPCP: I CONFREQ [REQsent] id 6 len 34

*Mar 12 23:27:39.472: Vi1 IPCP:    Address 0.0.0.0 (0x030600000000)

*Mar 12 23:27:39.472: Vi1 IPCP:    PrimaryDNS 0.0.0.0 (0x810600000000)

*Mar 12 23:27:39.472: Vi1 IPCP:    PrimaryWINS 0.0.0.0 (0x820600000000)

*Mar 12 23:27:39.472: Vi1 IPCP:    SecondaryDNS 0.0.0.0 (0x830600000000)

*Mar 12 23:27:39.472: Vi1 IPCP:    SecondaryWINS 0.0.0.0 (0x840600000000)

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 0.0.0.0, we

want 0.0.0.0

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:27:39.472: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 0.0.0.0, we

want 0.0.0.0

*Mar 12 23:27:39.472: Vi1 IPCP: Pool returned 172.16.10.1

*Mar 12 23:27:39.476: Vi1 IPCP: O CONFREJ [REQsent] id 6 len 28

*Mar 12 23:27:39.476: Vi1 IPCP:    PrimaryDNS 0.0.0.0 (0x810600000000)

*Mar 12 23:27:39.476: Vi1 IPCP:    PrimaryWINS 0.0.0.0 (0x820600000000)

*Mar 12 23:27:39.476: Vi1 IPCP:    SecondaryDNS 0.0.0.0 (0x830600000000)

*Mar 12 23:27:39.476: Vi1 IPCP:    SecondaryWINS 0.0.0.0 (0x840600000000)

*Mar 12 23:27:39.480: Vi1 IPCP: I CONFACK [REQsent] id 1 len 10

*Mar 12 23:27:39.484: Vi1 IPCP:    Address 172.16.10.100 (0x0306AC100A64)

*Mar 12 23:27:39.488: Vi1 CCP: I CONFACK [REQsent] id 1 len 10

*Mar 12 23:27:39.488: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.596: Vi1 CCP: I CONFREQ [ACKrcvd] id 7 len 10

*Mar 12 23:27:39.596: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.596: Vi1 AAA/AUTHOR/FSM: Check for unauthorized mandatory

AV's

*Mar 12 23:27:39.596: Vi1 AAA/AUTHOR/FSM: Processing AV service=ppp

*Mar 12 23:27:39.596: Vi1 AAA/AUTHOR/FSM: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.596: Vi1 AAA/AUTHOR/FSM: Succeeded

*Mar 12 23:27:39.596: Vi1 CCP: O CONFACK [ACKrcvd] id 7 len 10

*Mar 12 23:27:39.596: Vi1 CCP:   MS-PPC supported bits 0x01000020

(0x120601000020)

*Mar 12 23:27:39.596: Vi1 CCP: State is Open

*Mar 12 23:27:39.600: Vi1 MPPE: Generate keys using RADIUS data

*Mar 12 23:27:39.600: Vi1 MPPE: Initialize keys

*Mar 12 23:27:39.600: Vi1 MPPE: [40 bit encryption]  [stateless mode]

*Mar 12 23:27:39.620: Vi1 IPCP: I CONFREQ [ACKrcvd] id 8 len 10

*Mar 12 23:27:39.620: Vi1 IPCP:    Address 0.0.0.0 (0x030600000000)

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 0.0.0.0, we

want 172.16.10.1

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:27:39.620: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 0.0.0.0, we

want 172.16.10.1

*Mar 12 23:27:39.624: Vi1 IPCP: O CONFNAK [ACKrcvd] id 8 len 10

*Mar 12 23:27:39.624: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:27:39.756: Vi1 IPCP: I CONFREQ [ACKrcvd] id 9 len 10

*Mar 12 23:27:39.756: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP: Start.  Her address 172.16.10.1,

we want 172.16.10.1

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706):

Port='Virtual-Access1' list='' service=NET

*Mar 12 23:27:39.756: AAA/AUTHOR/IPCP: Vi1 (2840659706) user='tac'

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): send AV service=ppp

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): send AV protocol=ip

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): send AV

addr*172.16.10.1

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): found list

default

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP (2840659706): Method=radius

(radius)

*Mar 12 23:27:39.756: RADIUS: unrecognized Microsoft VSA type 10

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR (2840659706): Post authorization

status = PASS_REPL

*Mar 12 23:27:39.756: Vi1 AAA/AUTHOR/IPCP: Reject 172.16.10.1, using

172.16.10.1

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Processing AV service=ppp

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Processing AV

mschap_mppe_keys*1p1T11=1v1O1~11a1W11151\1V1M1#11Z1`1k1}111

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Processing AV addr*172.16.10.1

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Authorization succeeded

*Mar 12 23:27:39.760: Vi1 AAA/AUTHOR/IPCP: Done.  Her address 172.16.10.1,

we want 172.16.10.1

*Mar 12 23:27:39.760: Vi1 IPCP: O CONFACK [ACKrcvd] id 9 len 10

*Mar 12 23:27:39.760: Vi1 IPCP:    Address 172.16.10.1 (0x0306AC100A01)

*Mar 12 23:27:39.760: Vi1 IPCP: State is Open

*Mar 12 23:27:39.764: Vi1 IPCP: Install route to 172.16.10.1

*Mar 12 23:27:40.316: %LINEPROTO-5-UPDOWN: Line protocol on Interface

Virtual-Access1, changed state to up

*Mar 12 23:27:46.628: Vi1 LCP: I ECHOREP [Open] id 1 len 12 magic

0x4B4817ED

*Mar 12 23:27:46.628: Vi1 LCP: Received id 1, sent id 1, line up

*Mar 12 23:27:56.636: Vi1 LCP: I ECHOREP [Open] id 2 len 12 magic

0x4B4817ED

*Mar 12 23:27:56.636: Vi1 LCP: Received id 2, sent id 2, line upcaller ip

Line      User IP Address Local Number Remote Number <->

Vi1      tac 172.16.10.1 - - in

angela#show ppp mppe virtual-Access 1

Interface Virtual-Access1 (current connection)

Software encryption, 40 bit encryption, Stateless mode

packets encrypted = 0      packets decrypted = 16

sent CCP resets   = 0      receive CCP resets = 0

next tx coherency = 0      next rx coherency = 16

tx key changes   = 0      rx key changes = 16

rx pkt dropped   = 0      rx out of order pkt= 0

rx missed packets = 0

*Mar 12 23:28:06.604: Vi1 LCP: I ECHOREP [Open] id 3 len 12 magic

0x4B4817ED

*Mar 12 23:28:06.604: Vi1 LCP: Received id 3, sent id 3, line up

angela#ping 172.16.10.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.10.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 188/196/204 ms

angela#show ppp mppe virtual-Access 1

Interface Virtual-Access1 (current connection)

Software encryption, 40 bit encryption, Stateless mode

packets encrypted = 5      packets decrypted = 22

sent CCP resets   = 0      receive CCP resets = 0

next tx coherency = 5      next rx coherency = 22

tx key changes   = 5      rx key changes = 22

rx pkt dropped   = 0      rx out of order pkt= 0

rx missed packets = 0

angela#ping 172.16.10.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.10.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 184/200/232 ms

angela#ping 172.16.10.1sh ppp mppe virtual-Access 1

Interface Virtual-Access1 (current connection)

Software encryption, 40 bit encryption, Stateless mode

packets encrypted = 10      packets decrypted = 28

sent CCP resets   = 0      receive CCP resets = 0

next tx coherency = 10      next rx coherency = 28

tx key changes   = 10      rx key changes = 28

rx pkt dropped   = 0      rx out of order pkt= 0

rx missed packets = 0

angela#

debug 및 show 명령

debug 명령을 사용하기 전에 디버그 명령에 대한 중요 정보를 참조하십시오.

Output Interpreter 도구(등록된 고객만 해당)(OIT)는 특정 show 명령을 지원합니다. OIT를 사용하여 show 명령 출력의 분석을 봅니다.

문제가 해결되지 않으면 최소 debug는 다음 명령을 포함합니다.

- debug aaa authentication - AAA/TACACS+ 인증에 대한 정보를 표시합니다.

- debug aaa authorization - AAA/TACACS+ 권한 부여에 대한 정보를 표시합니다.

- debug ppp negotiation - PPP 시작 중에 전송된 PPP 패킷을 표시합니다. 여기서 PPP 옵션은 협상됩니다.

- debug ppp authentication—CHAP(Challenge Authentication Protocol) 패킷 교환 및 PAP(Password Authentication Protocol) 교환을 포함하는 인증 프로토콜 메시지를 표시합니다.

- debug radius - RADIUS와 관련된 자세한 디버깅 정보를 표시합니다.

인증이 작동하지만 Microsoft MPPE(Point-to-Point Encryption) 암호화에 문제가 있는 경우 다음 명령 중 하나를 사용합니다.

- debug ppp mppe packet - 모든 수신 발신 MPPE 트래픽을 표시합니다.

- debug ppp mppe event - 키 MPPE 발생을 표시합니다.

- debug ppp mppe detailed - 자세한 MPPE 정보를 표시합니다.

- debug vpdn l2x-packets - L2F(Level 2 Forwarding) 프로토콜 헤더 및 상태에 대한 메시지를 표시합니다.

- debug vpdn events - 일반 터널 설정 또는 종료의 일부인 이벤트에 대한 메시지를 표시합니다.

- debug vpdn errors - 터널이 설정되지 않도록 하는 오류 또는 설정된 터널을 닫도록 하는 오류를 표시합니다.

- debug vpdn packets - 교환된 각 프로토콜 패킷을 표시합니다. 이 옵션을 사용하면 디버그 메시지가 많이 발생할 수 있으며 일반적으로 단일 활성 세션이 있는 디버그 섀시에서만 사용해야 합니다.

- show vpdn - VPDN(Virtual Private Dialup Network)의 활성 L2F 프로토콜 터널 및 메시지 식별자에 대한 정보를 표시합니다.

show vpdn을 사용할 수도 있습니다. 명령을 사용하여 다른 vpdn 관련 show 명령을 확인합니다.

스플릿 터널링

게이트웨이 라우터가 ISP(인터넷 서비스 공급자) 라우터라고 가정합니다. PC에서 PPTP(Point-to-Point Tunneling Protocol) 터널이 작동하면 PPTP 경로가 이전 기본값보다 높은 메트릭으로 설치되므로 인터넷 연결이 끊어집니다. 이를 해결하려면 Microsoft 라우팅을 수정하여 기본값을 삭제하고 기본 경로를 다시 설치합니다(PPTP 클라이언트가 할당된 IP 주소를 알고 있어야 함). 현재 예에서는 172.16.10.1입니다.

route delete 0.0.0.0

route add 0.0.0.0 mask 0.0.0.0 192.168.1.47 metric 1

route add 172.16.10.1 mask 255.255.255.0 192.168.1.47 metric 1

문제 해결

이 섹션에서는 컨피그레이션 문제를 해결하는 데 사용할 수 있는 정보를 제공합니다.

문제 1: IPSec 사용 안 함

증상

PC 사용자에게 다음 메시지가 표시됩니다.

Error connecting to L2TP:

Error 781: The encryption attempt failed because

no valid certificate was found.

솔루션

Virtual Private Connection(가상 사설망) 창의 Properties(속성) 섹션으로 이동하여 Security(보안) 탭을 클릭합니다. Require Data Encryption 옵션을 비활성화합니다.

문제 2: 오류 789

증상

보안 레이어에서 원격 컴퓨터와의 초기 협상 중에 처리 오류가 발생하여 L2TP 연결 시도가 실패합니다.

L2TP는 암호화를 제공하지 않으므로 Microsoft 원격 액세스 및 정책 에이전트 서비스는 L2TP 트래픽에 사용되는 정책을 생성합니다. 이는 Microsoft Windows 2000 Advanced Server, Microsoft Windows 2000 Server 및 Microsoft Windows 2000 Professional에 적용됩니다.

솔루션

레지스트리 편집기(Regedt32.exe)를 사용하여 IPSec을 사용하지 않도록 설정하는 새 레지스트리 항목을 추가합니다. Regedt32.exe는 Microsoft 설명서 또는 Microsoft 도움말 항목을 참조하십시오.

L2TP 및 IPSec 트래픽에 대한 자동 필터가 생성되지 않도록 하려면 L2TP 또는 IPSec 연결의 각 Windows 2000 기반 엔드포인트 컴퓨터에 ProhibitIpSec 레지스트리 값을 추가해야 합니다. ProhibitIpSec 레지스트리 값을 1로 설정하면 Windows 2000 기반 컴퓨터에서 CA 인증을 사용하는 자동 필터를 만들지 않습니다. 대신 로컬 또는 Active Directory IPSec 정책을 확인합니다. Windows 2000 기반 컴퓨터에 ProhibitIpSec 레지스트리 값을 추가하려면 Regedt32.exe를 사용하여 레지스트리에서 이 키를 찾습니다.

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters

이 키에 이 레지스트리 값 추가:

Value Name: ProhibitIpSec

Data Type: REG_DWORD

Value: 1

참고: 변경 사항을 적용하려면 Windows 2000 기반 컴퓨터를 다시 시작해야 합니다.

문제 3: 터널 인증 문제

사용자는 터널을 설정하기 전에 NAS 또는 LNS에서 인증됩니다. 이는 Microsoft 클라이언트에서 L2TP와 같은 클라이언트가 시작한 터널에 필요하지 않습니다.

PC 사용자에게 다음 메시지가 표시됩니다.

Connecting to 10.200.20.2..

Error 651: The modem(or other connecting device) has reported an error.

Router debugs:

*Mar 12 23:03:47.124: L2TP: I SCCRQ from  RSHANMUG-W2K1.cisco.com tnl 1

*Mar 12 23:03:47.124: Tnl 30107 L2TP: New tunnel created for remote

RSHANMUG-W2K1.cisco.com, address 192.168.1.56

*Mar 12 23:03:47.124: Tnl 30107 L2TP: O SCCRP  to  RSHANMUG-W2K1.cisco.com

tnlid 1

*Mar 12 23:03:47.124: Tnl 30107 L2TP: Tunnel state change from idle to

wait-ctl-reply

*Mar 12 23:03:47.308: Tnl 30107 L2TP: I SCCCN from  RSHANMUG-W2K1.cisco.com

tnl 1

*Mar 12 23:03:47.308: Tnl 30107 L2TP: Got a Challenge Response in SCCCN

from  RSHANMUG-W2K1.cisco.com

*Mar 12 23:03:47.308: AAA: parse name= idb type=-1 tty=-1

*Mar 12 23:03:47.308: AAA/MEMORY: create_user (0x6273D528) user='angela'

ruser='' port='' rem_addr='' authen_type=CHAP service=PPP priv=1

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): port='' list='default'

action=SENDAUTH service=PPP

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): found list default

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): Method=radius (radius)

*Mar 12 23:03:47.308: AAA/AUTHEN/SENDAUTH (4077585132): no authenstruct

hwidb

*Mar 12 23:03:47.308: AAA/AUTHEN/SENDAUTH (4077585132): Failed sendauthen

for angela

*Mar 12 23:03:47.308: AAA/AUTHEN (4077585132): status = FAIL

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): Method=LOCAL

*Mar 12 23:03:47.308: AAA/AUTHEN (4077585132): SENDAUTH no password for

angela

*Mar 12 23:03:47.308: AAA/AUTHEN (4077585132): status = ERROR

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): no methods left to try

*Mar 12 23:03:47.308: AAA/AUTHEN (4077585132): status = ERROR

*Mar 12 23:03:47.308: AAA/AUTHEN/START (4077585132): failed to authenticate

*Mar 12 23:03:47.308: VPDN: authentication failed, couldn't find user

information for angela

*Mar 12 23:03:47.308: AAA/MEMORY: free_user (0x6273D528) user='angela'

ruser='' port='' rem_addr='' authen_type=CHAP service=PPP priv=1

*Mar 12 23:03:47.312: Tnl 30107 L2TP: O StopCCN  to

RSHANMUG-W2K1.cisco.com tnlid 1

*Mar 12 23:03:47.312: Tnl 30107 L2TP: Tunnel state change from

wait-ctl-reply to shutting-down

*Mar 12 23:03:47.320: Tnl 30107 L2TP: Shutdown tunnel

*Mar 12 23:03:47.320: Tnl 30107 L2TP: Tunnel state change from

shutting-down to idle

*Mar 12 23:03:47.324: L2TP: Could not find tunnel for tnl 30107, discarding

ICRQ ns 3 nr 1

*Mar 12 23:03:47.448: L2TP: Could not find tunnel for tnl 30107, discarding

ICRQ ns 3 nr 2

관련 정보

- 레이어 2 터널링 프로토콜(L2TP)

- 디지털 인증서를 사용하는 Windows 2000과 VPN 3000 Concentrator 간 L2TP Over IPsec 구성 예

- 인증서를 사용하여 PIX 방화벽과 Windows 2000 PC 간에 L2TP Over IPSec 구성

- 레이어 2 터널 프로토콜

- 가상 사설 네트워크 구성

- RADIUS를 사용하여 레이어 2 터널 프로토콜 인증 구성

- 기술 지원 및 문서 − Cisco Systems