Configureren van een VPN L2TP/IPSEC verbinding
Inhoudsopgave 1.
Voorbereiding. ................................................................................................................................. 3
2.
Domain Controller Installeren ......................................................................................................... 4
3.
VPN Configuren ............................................................................................................................... 7
4.
Port forwarding. ............................................................................................................................ 10
5.
Externe Clients verbinding laten maken. ...................................................................................... 11
2 Erik Bakker
1. Voorbereiding. Je kan gebruik maken van een fysieke server of virtuele server. Dit zal voor het configureren niet uit maken. Installeer eerst twee server met Windows Server 2012 Na de installatie de servers activeren en compleet updaten. Installeer eventueel nog extra software die je erop wilt hebben. (zip-7, Notepad++, Enz) Geef de servers een vast IP adres en een duidelijke naam. Zie de tabel hieronder als voorbeeld. Servernaam HomeDC HomeVPN HomeVPN
IP adres 192.168.1.248 192.168.1.247 192.168.1.246
Vul bij DNS het IP adres in van de Server (deze dient ook al DNS) Als tweede DNS kan je de Gateway opgeven. Dit is meestal ook een DNS server. Als de gateway 192.168.1.254 is maak dan gebruik van de bovenstaande tabel. Als de gateway 192.168.1.1 is hoog alles met 1 op. Controleer wel of andere machines geen gebruik maken van dit IP adres. De Domain controller kan over 1 nic beschikken. De VPN server moet er 2 hebben , 1 is er voor het VPN verkeer en 1 voor het andere verkeer. LET OP! Na het installeren van bepaalde rollen kan de server zijn connectie met internet verliezen. De oplossing hiervoor is om van NIC type te veranderen. Hyper-v kan naar Legacy en ESXi kan je uit 3 verschillende kiezen. Probeer een van deze om de connectie te herstellen.
3 Erik Bakker
2. Domain Controller Installeren Login op de Server die als domain controller gaat dienen en open de Server manager. Deze opent meestal standaard mits je dit niet hebt uitgeschakeld. Klik op manage en dan op Add Roles and Features. Klik op next. Zorg dat Role-based or feature-based installation is aangevinkt en klik op next. Zorg dat select a server from the server pool is aangevinkt. De juiste server zal al aangeklikt zijn. Dit komt omdat dit de enige bekende server is. Klik op next. Vink nu Active Directory Domain Services en DNS Server aan. Installeer ook de Features waar de server om vraagt. Klik op next en dan nogmaals op next.
Klik nu steeds op Next en dan install Als de installatie klaar is klik op close. Reboot daarna de server. Na de reboot zal de Server Manager weer openen. Rechts boven zal er bij het vlaggentje een uitroepteken staan. Klik hierop. Klik Daarna op Promote this server to a domain controller.
4 Erik Bakker
Vink add a new forest aan en vul de domain naam in die je wilt gaan gebruiken. Klik daarna op next.
Vul een wachtwoord in en klik op Next. Blijf nu op Next klikken tot je bij de Prerequisites Check bent. Als alles goed is klik op Install Na de installatie zal de server herstarten. Als dit niet het geval is herstart de server dan handmatig. Als de server herstart is open dan het start menu en dan Active Directory Users and Computers. Klap dan je Domain open Klik je Domain aan en maak twee nieuwe Organizational Units aan. Eén genaamd Servers en één VPN Users. Maak in de OU VPN Users ook nog de OU Disabled en VPN groups aan. Disabled wordt nu niet gebruikt maar dit is voor mensen die tijdelijk VPN mogen gebruiken. Zodat je ze niet hoeft te verwijderen alleen uitschakelen en verplaatsen. Maak in de OU VPN Groups de Groep VPN Access aan.
Maak daarna in de OU VPN Users een Gebruiker aan. Maak deze lid van de group VPN access.
5 Erik Bakker
Maak daarna je VPN Server lid van je Domain. Verplaats daarna de server van de OU Computers naar de OU Servers. Dit maakt het makkelijker om in de toekomst Group Policy’s toe te kennen en je hebt een duidelijker overzicht als je Active Directory groeit. Nu is het domain en de domain controller klaar. Er kunnen eventueel nog meer dingen worden geconfigureerd maar dit is niet verplicht.
6 Erik Bakker
3. VPN Configuren Als de VPN server in het domein hangt log hier dan op in en installeer Remote Access en Network Policy and Access Services role. Doe na de installatie de server herstarten. Ga naar het herstarten naar start en typ in routing. Hierna zal Routing en Remote access verschijnen klik hier op. Klik daarna met je rechtermuisknop op je server en klik dan op Configure and Enable…
Nu opent een scherm. Klik op next. Vink dan Remote access (dial-up or VPN) aan. Klik op next. Vink daarna VPN aan. Klik op Next. Je krijgt nu de nic’s te zien. De nic die voor de internet verbinding moet dienen en klik nu op next.
Selecteer daarna de nic die voor de VPN verbinding moet zorgen. Klik daarna op next. Vink in het volgende scherm From a Specified range of addresses aan. Klik Next Klik nu op New en geef aan welke adressen je wilt gebruiken. Klik op ok en dan next.
7 Erik Bakker
Klik Next en dan Finish Doe rechtermuisknop op de server en klik op Properties. Ga naar het tabje Security. Vink Allow Custom IPsec Policy for L2TP Connection aan. Vul hierna een Preshared key in. Klik daarna op OK.
Je krijg nu een melding dat je de services moet herstarten. Doe dit door rechtermuisknop op Routing and Remote Access, all tasks en dan restart. Ga daarna naar NPS, deze kan je vinden als je in het start menu NPS intypt. Klik op Policies en dan Network Policies.
Er staan standaard al twee Policies. Deze moeten gedisabled worden. Klik daarna rechts op New. 8 Erik Bakker
Geef de Policy de naam L2TP en zorg dat bij Type of network access server, Unspecified staat. Klik hierna op next. Hierna kom je bij Specify Conditions. Hier moeten vier conditions worden toegevoegd. Dit doe je doormiddel van Add… Voeg eerst User Groups toe. Nu opent een scherm. Klik op add groups en voeg de groep VPN Access toe. Voeg als tweede Authentication Type toe. Vink MS-CHAP v2 en MS-CHAP v2 CPW aan. Voeg als derde Tunnel Type toe. Vink in de bovenste box Layer two Tunneling Protocol (L2TP) aan. In de onderste box moet dit ook maar hier doet die dat zelf. Voeg als laatst MS-RAS Vendor toe. Vul in deze balk ^311$ toe.
Klik hierna op next. Zorg dat Access granted is aangevinkt en klik op next. Kin het volgende scherm op Add en selecteer Microsoft: Secured Password (EAP-MSCHAP v2). Klik op OK en dan next. Zet de Idle time op 15 en klik next. Klik nu Links op Ip Filters. Klik bij IPv4 op Input filters. Vink Permit only packets listed below aan. Klik op New… en klik op OK. Klik nog een keer OK aan. Doe het zelfde bij Output Filters. Klik next. Nu krijg je een samenvatting te zien van wat je hebt ingesteld. Controleer en klik op Finish
Test indien mogelijk of je verbinding kan maken met een client naar de VPN server. Deze moet lokaal in je netwerk staan. Als dit mogelijk is, is de server goed geconfigureerd.
9 Erik Bakker
4. Port forwarding. Om te zorgen dat van buitenaf verbinding kan worden gemaakt met de VPN server moeten de volgende poorten worden open gezet: Port: 1701 Protocol: UDP Onderdeel: L2TP Port: 500 Protocol: UDP Onderdeel: IPSec Port: 4500 Protocol: UDP Onderdeel: NAT-T Deze moeten verwijzen naar het IP adres waar het VPN verkeer overheen moet.
10 Erik Bakker
5. Externe Clients verbinding laten maken. Omdat deze VPN manier geen standaard manier is moet er op de cliënt een Register key worden aangemaakt. In Windows XP: HKLM\System\CurrentControlSet\services\IPSec Maak DWORD met de naam AssumeUDPEncapsulationContextOnSendRule en geef het de waarde 2. Herstart de cliënt. In Windows Vista/7/8: HKLM\System\CurrentControlSet\services\PolicyAgent Maak DWORD met de naam AssumeUDPEncapsulationContextOnSendRule en geef het de waarde 2. Herstart de cliënt. Mobiele telefoons kunnen wel verbinding maken zonder extra instellingen. Het kan handig zijn om ook een IIS server in te richten en deze ook te portforwarden. Als je van de Register key een export maakt. Kan je deze op de IIS server zetten zodat je je altijd makkelijk en snel deze key kan toevoegen. Standaard ondersteunt IIS geen .Reg bestanden. Daarom kan je deze inpakken in een .Zip bestand. Deze worden wel ondersteund door IIS
11 Erik Bakker
