Bintec VPN IKEv2 + PSK

[GrayFox]

Hallo,

wir haben hier aktuell einen Bintec-Elmeg 353jwv im Einsatz. Einige Leute nutzen bereits VPN (IKEv1) mithilfe des Bintec VPN Secure Clients (der von NCP).

Allerdings haben wir nun eine Mitarbeitern, die von zuhause aus zugreifen soll - allerdings einen DS-LITE Anschluss (Vodafone) zuhause hat. Der Bintec unterstützt dies zwar auch auf IPv4 Basis - allerdings laut Herstelleraussage nur sofern IKEv2 genutzt wird.

Ich habe alle Bintec-Eigenen Anleitungen sowie diverse andere durch und es klappt einfach nicht. Es kommt beim. Aufbau der Verbindung instant die Meldung "PAP / CHAP Fehler - Benutzername oder Kennwort Falsch"

Im Logbuch taucht folgender Fehler auf:
2110: XAUTH wrong UserId or Password

Ich habe dementsprechend ein passendes XAUTH Profil angelegt - kann es der VPN Verbindung jedoch nicht zuordnen (das Feld fehlt - nur bei der IKEv1 Fassung ist es sichtbar). Trage ich die Daten manuell via Expertenmodus ein, so bleibt das Passwort erhalten - nach Schließen des Dialogs und erneutem Reinschauen fällt jedoch auf, dass der Benutzername nicht mehr drin steht.

Hat jemand eine Idee, was man noch probieren könnte oder hat ein gleiches System bereits zum laufen bekommen?

Danke im voraus!
Liebe Grüße
-- GrayFox

 

[Rache Klos]

Hallo GrayFox,

DS-Lite ist halt immer ein Problem, da man ja ein NAT hat und das ein NAT-Traversal bei IPSec erfordert. Aber auch das geht eigentlich bei der Bintec mit IKEv1, wobei IKEv2 generell auch aufgrund Fragmentierung durch kleinere Paketgrößen (was auch ein Problem von DS-Lite ist, da man keine MTU von 1500 bei IPv4 hat). Die Bintec kann bei IKEv2 schlicht und einfach kein XAUTH auf Basis lokler User, du könntest aber auch einfach einen PSK verwenden. Das geht ja auch pro User, da du ja mehrere Profile erstellen kannst.

 

[up.whatever]

Bzgl. DS-Lite sollte es doch ausreichen, NAT traversal beim Client zu aktivieren (und beim Server erlauben), damit der Traffic in UDP verpackt wird. Beim Server ggf. noch sicherstellen, dass UDP 4500 erreichbar ist.
XAUTH+PSK ist bei mehreren Usern sicherheitstechnisch eine schlechte Idee, da alles den PSK kennen müssen. Warum benutzt du keine Zertifikate?