Настройки для опытных. Настройка соединение L2TP (Beeline) Подключение к VPN-серверу

Приветствуем Вас на нашем портале! Данную инструкцию мы создали для того, что бы помочь нашим читателям настроить VPN-подключение по протоколу L2TP через IPsec для операционной системы Windows 7. Благодаря организации VPN-канала можно защитить надежно информацию, передаваемую через общедоступную сеть, зашифровав ее. Даже если злоумышленникам удастся получить доступ к передаваемым посредством VPN-сессии пакетам, он не сможет воспользоваться информацией, которая в них содержится.

Для настройки VPN-соединения посредством протокола L2TP в ОС Windows 7 Вам понадобится:

Операционная система Windows 7;
Интернет-адрес VPN-сервера, к которому необходимо подключиться;
Логин и пароль.

Если все перечисленное выше у Вас имеется, можем приступать к настройке VPN-соединения по протоколу L2TP.

1. Заходите в меню "Пуск" и выбираете в нем "Панель управления"

2. В правом верхнем углу находите пункт "Просмотр: Мелкие значки" и выбираете его, после чего выбираем меню "Центр управления сетями и общим доступом"

4. Во вновь открывшемся окне "Установка подключения или сети" выбираем пункт "Подключение к рабочему месту", после чего нажимаем кнопку "Далее"

5. В случае, если на Вашем компьютере уже настраивалось ранее VPN-соединение, на экране высветится окно, в котором следует выбрать пункт "Нет, создать новое подключение" и снова нажать кнопку "Далее". В случае, если это первая попытка создать VPN-соединение, следует просто перейти к пункту 6

6. В открывшемся окне "Подключение к рабочему месту" следует выбрать пункт "Использовать мое подключение к Интернету (VPN)"

7. В строку "Интернет-адрес" необходимо ввести адрес вашего VPN-сервера, в строку "Имя местоназначения" вводим имя сервера. Здесь же следует поставить "Галочку" напротив пункта Не подключаться сейчас, только выполнить установку для подключения в будущем", после чего нажимаем кнопку "Далее"

8. В следующем окне необходимо ввести логин пользователя и пароль, зарегистрированные на VPN-сервере. При необходимости, можно отметить пункты "Отображать вводимые значки" и "Запомнить этот пароль" (если Вы не хотите вводить пароль при каждом подключении). Затем нажимаем кнопку "Создать"

9. В новом окне следует выбрать "Подключиться сейчас" и нажать кнопку "Закрыть"

10. Теперь возвращаемся снова в окно "Центр управления сетями и общим доступом", где слева вверху выбираем пункт "Изменение параметров адаптера"

11. В открывшемся окне выбираем созданное подключение и кликаем по нему правой кнопкой мыши, после чего выбираем пункт "Свойства"

12. Далее переходим во вкладку "Безопасность", где в меню "Тип VPN" выбираем "L2TP IPsec VPN", а в меню "Шифрование данных" выбираем пункт "необязательное (подключиться даже без шифрования)", после чего нажимаем кнопку "ОК"

13. Теперь правой кнопкой мыши щелкаем по созданному VPN-соединению и нажимаем "Подключить". Если все сделано верно и операционная система не выдает ошибки, VPN-канал должен заработать.

Выполнив пошагово эту небольшую инструкцию, теперь Вы сможете самостоятельно создать VPN-подключение по протоколу L2TP в операционной системе Windows 7.

Протокол L2TP является более предпочтительным для построения VPN-сетей, нежели PPTP, в основном это касается безопасности и более высокой доступности, благодаря тому, что для для каналов данных и управления используется одна UDP-сессия. Сегодня мы рассмотрим настройку L2TP VPN-сервера на платформе Windows.

Несмотря на простоту развертывания и подключения самых различных клиентов протокол PPTP имеет ряд существенных недостатков. Самый существенный - это однофакторная аутентификация при помощи пары логин / пароль, а так как логин пользователя чаще всего известен (или не составляет труда его выяснить), то по факту для аутентификации используется только пароль, будучи скомпрометированным он позволяет третьим лицам получить полный доступ к корпоративной сети.

Второй недостаток, вытекающий из первого - невозможность проверить подлинность подключающегося хоста, т.е. администратор не может с уверенностью сказать, что данное подключение выполнено пользователем Иванов со служебного ноутбука, а не злоумышленником, получившим доступ к учетным данным.

И наконец, третий недостаток связан с тем, что PPTP использует для работы два соединения: канал данных и канал управления. Это создает сложности с подключением, так как не все провайдеры, особенно при мобильном или гостевом доступе, обеспечивают нормальное прохождение GRE-пакетов, что делает подключение к VPN-серверу невозможным.

L2TP не имеет указанного недостатка, так как использует только одну UDP-сессию для передачи данных и управления, что облегчает подключение клиентов и администрирование сетевой инфраструктуры.

Вторым достоинством L2TP является двухфакторная аутентификация. Перед установлением соединения узлы проверяют подлинность друг друга на основании сертификата или предварительного ключа и только после этого приступают к соединению. Аутентификация с использованием сертификатов требует развернутой в сети инфраструктуры PKI, при ее отсутствии можно использовать аутентификацию по предварительному ключу. Мы будем рассматривать именно этот вариант.

Аутентификация по предварительному ключу менее надежна, чем по сертификату, но тем не менее позволяет организовать более высокий уровень безопасности VPN-сети нежели с использованием протокола PPTP. Предварительный ключ указывается один раз, при создании VPN-подключения на клиенте и может быть неизвестен пользователю (настройку производит администратор), в этом случае можно быть уверенным в подлинности подключающегося хоста и компрометация пароля в этом случае не позволит подключится к сети предприятия, так как предварительный ключ неизвестен.

Для развертывания VPN L2TP-сервера мы будем использовать Windows Server 2008 R2 SP1, однако все сказанное, с небольшими поправками, будет справедливо и для иных версий Windows Server.

Нам потребуется установленная роль Службы политики сети и доступа , которая должна содержать Службы маршрутизации и удаленного доступа .

Дальнейшая настройка производится через оснастку , доступной в меню Пуск - Администрирование . При первом обращении будет запущен мастер, который поможет вам быстро настроить необходимые службы. Если вы планируете использовать это сервер как роутер, для обеспечения доступа в интернет компьютеров локальной сети, то следует выбрать Доступ к виртуальной частной сети (VPN) и NAT , если вам нужен только VPN-сервер, то Удаленный доступ (VPN или модем) .

Настройку служб NAT мы рассматривать не будем, при необходимости обратитесь к . Также довольно часто встречается ситуация, когда службы NAT уже развернуты, в этом случае нужно включить службы VPN вручную. Для этого в оснастке Маршрутизация и удаленный доступ щелкните правой кнопкой мыши на имени сервера и выберите Свойства . В открывшемся окне на вкладке Общие поставьте переключатель IPv4-маршрутизатор в положение локальной сети и вызова по требованию , а также установите галочку IPv4-сервер удаленного доступа .

На вкладке Безопасность введите предварительный ключ.

Остальные параметры мы подробно рассматривать не будем, так как подробно рассматривали их в посвященной настройке PPTP-сервера. Применяем изменения, перезапускам службу.

Затем переходим в раздел Порты и в свойствах L2TP устанавливаем обе галочки Подключения удаленного доступа и Подключения по требованию , максимальное число портов должно соответствовать или превышать предполагаемое количество клиентов. Неиспользуемые протоколы лучше отключить, убрав с свойствах обе галочки.

В итоге в списке портов должны остаться только L2TP порты в указанном вами количестве.

Настройка L2TP подключения на клиенте производится стандартными методами, на вкладке Безопасность выберите тип VPN как L2TP с IPsec и нажмите кнопку Дополнительные свойства , в открывшемся окне укажите использование предварительного ключа и введите сам ключ.

Также не забудьте включить использование протокола расширенной проверки подлинности EAP .

В остальном никаких отличий от создания PPTP подключения нет, пользователи могут подключаться к нашему серверу используя свои учетные данные.

Некоторые важные особенности смотрите в конце страницы!

1. Откройте Центр уведомлений в правом нижнем углу экрана:

3. В открывшемся окне Параметры во вкладке VPN нажмите на кнопку Добавление VPN-подключения :

4. В окне Добавить VPN-подключение заполните следующие параметры:

Поставщик услуг VPN: Windows (встроенные)

Имя подключения: VPNki

Имя или адрес подключения: сайт

Тип VPN: Протокол PPTP (либо Протокол L2TP/IPSec )

Тип данных для входа: Имя пользователя и пароль

Имя пользователя и пароль: полученные в системе vpnki (например userXXX)

7. Нажмите правой кнопкой мыши на адаптер VPNki и выберите Свойства :

8. Выберите в списке IP версии 4 (TCP/IPv4) и нажмите кнопку Свойства :

9. Оставьте получение IP-адреса и адреса DNS-сервера автоматически и нажмите кнопку Дополнительно :

10. Во вкладке Параметры IP Снимите галочку с Использовать основной шлюз в удаленные сети и нажмите кнопку OK

Разрешить следующие протоколы и оставьте только Протокол проверки пароля (CHAP)

12. (Только для L2TP) нажмите кнопку Дополнительные параметры и выберите

Для проверки подлинности использовать общий ключ и введите ключ: vpnki

13. На этом настройка завершена, нажмите кнопку Подключиться и при успешном подключении

состояние VPNki должно измениться на Подключено

14. Если вам необходимо иметь подключение к удаленной домашней сети (например 192.168.x.x/x), то необходимо сообщить Windows о том, что адреса вашей удаленной сети следует искать в VPN туннеле.

Это можно сделать двумя способами:

Добавив сети 192.168.x.x/x (ваша удаленная сеть) и 172.16.0.0/16 (сеть VPNKI) в таблицу маршрутов при помощи команды route add

При помощи поступления данных с сервера по протоколу DHCP

Прежде чем сделать выбор вам очень желательно ознакомиться с этой инструкцией и пройти ее до конца.

Особенность 1

Для использования соединения с шифрованием вам необходимо в настройках соединения:
- использовать авторизацию MS-CHAPv2 и указать что будет использоваться шифрование (MPPE)

Для соединения без шифрования вам необходимо:
- использовать авторизацию CHAP и указать, что шифрование использоваться не будет .

Будьте внимательны,
все иные сочетания методов авторизации и шифрования будут приводить к неработоспособности подключения!!!

Особенность 2

Работа протокола PPTP осуществляется с использованием протокола GRE, с которым у некоторых интернет провайдеров России имеются технические сложности. Эти сложности не позволят вам использовать PPTP для построения VPN туннлей. К таким провайдерам относятся МГТС (Московская городская телефонная сеть), Yota, Мегафон. Однако, такая ситуация не во всех частях их сетей.

Для пользователя ситуация будет выглядеть так, что проверка имени пользователя и пароля проходить не будут. Точнее до этого момента даже не дойдет...В пункте меню "События безопасности" вы будете видеть начало успешного подключения и последней будет являться фраза, говорящая о том, что мы готовы проверять имя и пароль, но...

Access granted. No whitelist is set for user. Ready to check username / password.

Отсуствие соединения и дальнейших записей в логе (при том, что вы твердо уверены в том, что логин и пароль верные), скорее всего, говорит о том, что GRE у вашего провайдера не пропускается. Можете погуглить на этот счет.

PS: В целях борьбы с зависшими сессиями мы принудительно отключаем пользовательские туннели с протоколами PPTP, L2TP, L2TP/IPsec через 24 часа после установления соединения. При правильной настройке соединения должны автоматически переустановиться.

Наша система будет работать с многими типами домашних и офисных маршрутизаторов. Более подробно смотрите в разделе по настройке оборудования, а начать настройку лучше с этого примера .

ДОПОЛНИТЕЛЬНО ПО ТЕМЕ

Немного более подробно про IP адреса можно прочитать на нашем сайте

Про выход в Интернет через VPN и центральный офис можно

Про удалённый доступ к компьютеру можно почитать на нашем сайте

Про VPN и протоколы можно почитать

PPTP

Протокол туннелирования точка-точка (Point-to-Point Tunneling Protocol) – это протокол, изобретенный Microsoft для организации VPN через сети коммутируемого доступа. PPTP является стандартным протоколом для построения VPN уже на протяжении многих лет. Это только VPN-протокол и он опирается на различные методы аутентификации для обеспечения безопасности (наиболее часто используется MS-CHAP v.2). Доступен как стандартный протокол почти во всех операционных системах и устройствах, поддерживающих VPN, что позволяет использовать его без необходимости установки дополнительного программного обеспечения.

Плюсы:

клиент PPTP встроен почти во все операционные системы
очень прост в настройке
работает быстро

Минусы:

небезопасен (уязвимый протокол аутентификации MS-CHAP v.2 все еще много где используется)

L2TP и L2TP/IPsec

Протокол туннелирования 2 уровня (Layer 2 Tunnel Protocol) – это протокол VPN, который сам по себе не обеспечивает шифрование и конфиденциальность трафика, проходящего через него. По этой причине, как правило, используется протокол шифрования IPsec для обеспечения безопасности и конфиденциальности.

Плюсы:

очень безопасен
легко настраивается
доступен в современных операционных системах

Минусы:

работает медленнее, чем OpenVPN
может потребоваться дополнительная настройка роутера

И так вернемся к настройкам, для развертывания VPN L2TP-сервера мы будем использовать Windows Server 2008 R2, однако все сказанное, с небольшими поправками, будет справедливо и для иных версий Windows Server.

Нам потребуется установленная роль , которая должна содержать как это сделать мы подробно описывали в предыдущей статье где мы поднимали PPTP VPN , поэтому описывать этот процесс еще раз не вижу смысла, далее мы будем считать что роль Службы политики сети и доступа у вас уже установлена и содержит Службы маршрутизации и удаленного доступа . Вообще развертывание VPN L2TP-сервера очень похоже на развертывание PPTP VPN , за исключением нескольких настроек о которых мы и поговорим подробно.

Переходим в Диспетчеру сервера: Роли -Маршрутизация и удалённый доступ , щелкаем по этой роли правой кнопкой мыши и выбираем Свойства , на вкладке Общие ставим галочку в полях IPv4-маршрутизатор , выбираем локальной сети и вызова по требованию , и IPv4-сервер удаленного доступа :

Теперь нам необходимо ввести предварительный ключ. Переходим на вкладку Безопасность и в поле Разрешить особые IPSec-политики для L2TP-подключения поставьте галочку и введите Ваш ключ. (По поводу ключа. Вы можете ввести туда произвольную комбинацию букв и цифр главный принцип чем сложнее комбинация -тем безопаснее и еще запомните или запишите эту комбинацию она нам еще понадобиться ) Во вкладке Поставщик службы проверки подлинности выберите Windows - проверка подлинности .

Теперь нам необходимо настроить Безопасность подключений . Для этого перейдем на вкладку Безопасность и выберем Методы проверки подлинности , поставьте галочки на Протокол EAP и Шифрованная проверка (Microsoft, версия 2, MS-CHAP v2) :

Далее перейдем на вкладку IPv4 , там укажем какой интерфейс будет принимать подключения VPN а так же настроим пул выдаваемых адресов клиентам L2TP VPN на вкладке IPv4 (Интерфейсом выставьте Разрешить RAS выбирать адаптер ):

Теперь перейдем на появившуюся вкладку Порты , нажмем правой кнопкой мыши и Свойства , выберем подключение L2TP и нажмем Настроить , в новом окне выставим Подключение удаленного доступа (только входящие) и Подключение по требованию (входящие и исходящие) и выставим максимальное количество портов, число портов должно соответствовать или превышать предполагаемое количество клиентов. Неиспользуемые протоколы лучше отключить, убрав в их свойствах обе галочки.

В итоге у вас в списке портов должны остаться только нужные вам порты в указанном вами количестве.

На этом настройка сервера закончена. Осталось только разрешить пользователям подключатся к серверу. Перейдите в Диспетчере сервера: Конфигурация - Локальные пользователи и группы - Пользователи -Выберите пользователя и нажмите правой кнопкой мыши - Свойства . На вкладке Входящие звонки - Права доступа к сети выставьте Разрешить доступ . (Если Ваш сервер работает под управлением Active Directory, то настройки необходимо вводить в соответствующей оснастке )

И не забудьте на Вашем маршрутизаторе перекинуть порты, а так же открыть из в Вашем Firewall:

IKE - UDP порт 500 (Прием\Отправка)

L2TP - UDP порт 1701 (Прием\Отправка)

IPSec ESP - UDP порт 50 (Прием\Отправка)

IPSec NAT-T - UDP порт 4500 (Прием\Отправка)

Это техническое руководство поможет вам подключить роутер к интернету с типом wan-подключения L2TP (например Билайн). Модель роутера не имеет значения. Отличия заключается лишь в разных производителей роутеров, в компоновке функций настроек и названий пунктов меню в административном режиме устройтва. Руководство подходит для всех провайдеров использующих L2TP-подключение!

Настройка роутера

1. На роутере находим порт WAN (как правило синий цвет порта). В него вставляем витую пару от интернет-провайдера, который до этого мог быть подключенным напрямую к компьютеру, если ранее вы не пользовались роутером. После там же находим несколько желтых портов LAN. В любой из них вставляем сетевой кабель который шел в комплекте с роутером, а другой конец в сетевую плату на компьютере.

2. На ПК или ноутбуке работающем на OS Windows 7 открываем раздел сетевые настройки: Пуск — Панель Управления — Сеть и Интернет — Центр управления сетями и общим доступом — Управление сетевыми подключениями — Изменения параметров адаптера.

Правой кнопкой мыши по пункту «Подключение по локальной сети» заходим в «Свойства» далее в раздел Протокол Интернета «TCP/IPv4» и выбираем следующие пункты «IP автоматически» и «DNS сервера автоматически»

Жмем «ОК».

3. На роутера ищем IP адрес, который используется для входа в настройки роутера (по умолчанию — 192.168.0.1), и логин с паролем (зачастую login:admin, password: admin)

4. Потом в браузере пишем в адресной строке 192.168.0.1 (если он такой же на роутере), и забиваем - login и password которые мы видели на роутере.

6. В графе «WAN Connection Type» (тип интернет подключения) выбираем «L2TP/Russia L2TP»/ Логин и пароль указываем из договорас провайдером. Имя сервера указываем: tp.internet.beeline.ru (или иное, так же смотрим в договоре). Сохраняем настройки.

7. Открываем в меню раздел «Беспроводная сеть» и пишем для пунктов свои значения:

SSID - имя wifi сети.

Защита сети - WPA2-Personal
Шифрование - AES или TKIP
Секретный ключ - пароль для Wi-Fi, не менее 8 символов.

8. Применяем настройки. Заходим с устройство, которое должно принимать интернет (у него должен быть Wi-Fi модуль). Кликаем на иконку беспроводных соединения (в правом нижнем углу иконок Windows, рядом с часами). Находим в списке нашу сеть и подключаемся, вводим пароль(тот, который содержит не менее 8 символов).