TheGreenBow VPN Client

Size: px

Start display at page:

Download "TheGreenBow VPN Client"

燥投董
5 years ago
Views:

卫士通防火墙与 TheGreenBow VPN 客户端软件配置向导 WebSite: Contact: http://www.thegreenbow.

1 卫士通防火墙与 TheGreenBow VPN 客户端软件配置向导 WebSite: Contact: IPSec VPN 配置向导 Property of TheGreenBow Sistech SA - Sistech /13

2 目录 1 介绍手册用途 VPN 网络 WFW-BN210-FE6 VPN 防火墙 WFW-BN210-FE6 VPN Gateway product info WFW-BN210-FE6 VPN 防火墙 VPN 配置 VPN 客户端设置 VPN 客户端第一阶段 (IKE 阶段 ) 设置 VPN 客户端第二阶段 (IPSec 阶段 ) 设置启用 IPSec VPN 隧道故障排除工具一个好的网络分析工具 :Wireshark IPSec VPN 问题分析 «PAYLOAD MALFORMED» 错误 ( 阶段 1 建立错误 ) «INVALID COOKIE» 错误 «no keystate» 错误 «received remote ID other than expected» 错误 «NO PROPOSAL CHOSEN» 错误 «INVALID ID INFORMATION» 错误我点击打开隧道, 但是什么都没出现 VPN 隧道被激活了, 但是我 Ping 不通 Contacts IPSec VPN 配置向导 Property of TheGreenBow Sistech SA - Sistech /13

3 1 介绍 1.1 手册用途这篇设定向导旨在介绍如何使用 TheGreenBow VPN 客户端和卫士通 WFW-BN210-FE6 VPN 防火墙建立 VPN 连接 1.2 VPN 网络在 VPN 连接示例中, 将演示 IPSec VPN 客户端和 WFW-BN210-FE6 VPN 防火墙建立 VPN 连接的过程 VPN 客户端使用 DSL 或者通过局域网上网文中所有 IP 地址仅为示例使用 IPSec VPN 在 LAN 内的客户端 IPSec VPN 远端客户端 Internet WFW BN210-FE WFW-BN210-FE6 VPN 防火墙示例中 WFW-BN210-FE6 VPN 防火墙软件版本为 Release A0 Version WFW-BN210-FE6 VPN Gateway product info It is critical that users find all necessary information about WFW-BN210-FE6 VPN Gateway. All product info, User Guide and knowledge base for the WFW-BN210-FE6 VPN Gateway can be found on the WFW- BN210-FE6 website: IPSec VPN 配置向导 Property of TheGreenBow Sistech SA - Sistech /13

4 2 WFW-BN210-FE6 VPN 防火墙 VPN 配置这章介绍 WFW-BN210-FE6 VPN 防火墙如何建立 VPN 连接一但连接到 VPN 防火墙, 您需要进入 VPN(IPSec) 界面, 点击添加新规则按钮进行设置本地以及远端 VPN 网段地址和子网掩码 ESP 加密使用 3DES, 验证使用 MD5 IPSec VPN 配置向导 Property of TheGreenBow Sistech SA - Sistech /13

5 阶段 1 密钥阶段 1 所使用的认证为 3DES, 认证算法为 MD5 IPSec VPN 配置向导 Property of TheGreenBow Sistech SA - Sistech /13

3 VPN 客户端设置这章介绍如何配置 VPN 客户端和 WFW-BN210-FE6 VPN 防火墙建立 VPN 连接请通过以下链接下载 TheGreenBow IPSec VPN 客户端软件最新版本 : http://www.thegreenbow.com/vpn_down.html 3.

6 3 VPN 客户端设置这章介绍如何配置 VPN 客户端和 WFW-BN210-FE6 VPN 防火墙建立 VPN 连接请通过以下链接下载 TheGreenBow IPSec VPN 客户端软件最新版本 : VPN 客户端第一阶段 (IKE 阶段 ) 设置远端 VPN 网关地址可是一个 IP 地址, 也可以是一个 DNS 域名密码 : 阶段 1 设置 IPSec VPN 配置向导 Property of TheGreenBow Sistech SA - Sistech /13

7 阶段 1 ( 高级设置 ) IPSec VPN 配置向导 Property of TheGreenBow Sistech SA - Sistech /13

保存和提交 " 保存并应用已经在 VPN 客户端做过的设置 2 点 " 打开隧道 " 自动启用一条 IPSec VPN 隧道 3 点 " 连接 " 查看已经启动的 VPN 隧道 4 点 " 控制台 ", 如果您想获得 IPSec VPN

8 3.2 VPN 客户端第二阶段 (IPSec 阶段 ) 设置在这里定义一个虚拟的静态 IP 地址填入远端 LAN 的 IP 网段和子网掩码 3.3 启用 IPSec VPN 隧道阶段 2 设置当 WFW-BN210-FE6 VPN 防火墙和 IPSec VPN 客户端都设置好以后, 准备启用 VPN 隧道首先, 确保防火墙允许 IPSec 数据流通过 1 点 " 保存和提交 " 保存并应用已经在 VPN 客户端做过的设置 2 点 " 打开隧道 " 自动启用一条 IPSec VPN 隧道 3 点 " 连接 " 查看已经启动的 VPN 隧道 4 点 " 控制台 ", 如果您想获得 IPSec VPN 日志, 获取 IPSec VPN 的信息, 使用此功能下面的图显示了 IPSec VPN 客户端和 WFW-BN210-FE6 VPN 防火墙成功连接 IPSec VPN 的封包流程 IPSec VPN 配置向导 Property of TheGreenBow Sistech SA - Sistech /13

9 4 故障排除工具配置一条 IPSec VPN 隧道可能是一项很难的工作一个疏忽的参数设置就能阻碍 VPN 建立一些工具可以在 VPN 建立过程中找到产生问题的原因所在 4.1 一个好的网络分析工具 :Wireshark Wireshark 是可以分析数据包和包流程的免费软件它显示在网卡上收到的 IP 和 TCP 数据包这个工具可以在这个链接找到它可以用在两个设备之间搜集协议交换流程该软件的详细安装和使用细节, 请参看它的说明 ( IPSec VPN 配置向导 Property of TheGreenBow Sistech SA - Sistech /13

10 5 IPSec VPN 问题分析 5.1 «PAYLOAD MALFORMED» 错误 ( 阶段 1 建立错误 ) Default (SA CNXVPN1-P1) SEND phase 1 Main Mode [SA][VID] Default (SA CNXVPN1-P1) RECV phase 1 Main Mode [NOTIFY] Default exchange_run: exchange_validate failed Default dropped message from port 500 due to notification type PAYLOAD_MALFORMED Default SEND Informational [NOTIFY] with PAYLOAD_MALFORMED error 如果遇到 «PAYLOAD MALFORMED» 错误, 有可能是您输入了错误的第一阶段 [SA], 检查一下是否 VPN 隧道两端都采用了相同的加密算法 5.2 «INVALID COOKIE» 错误 Default message_recv: invalid cookie(s) 5918ca0c f 7364e3e486e Default dropped message from port 500 due to notification type INVALID_COOKIE Default SEND Informational [NOTIFY] with INVALID_COOKIE error 如果遇到 «INVALID COOKIE» 错误, 表示两个 VPN 端中其中有一个端点正在使用 SA 不能再被使用重新建立两个端点的 VPN 连接 5.3 «no keystate» 错误 Default (SA CNXVPN1-P1) SEND phase 1 Main Mode [SA][VID] Default (SA CNXVPN1-P1) RECV phase 1 Main Mode [SA][VID] Default (SA CNXVPN1-P1) SEND phase 1 Main Mode [KEY][NONCE] Default (SA CNXVPN1-P1) RECV phase 1 Main Mode [KEY][NONCE] Default (SA CNXVPN1-P1) SEND phase 1 Main Mode [ID][HASH][NOTIFY] Default ipsec_get_keystate: no keystate in ISAKMP SA 00B57C50 检查 "preshared key" 是否正确或者检查 "local ID" 是否正确, 你应该能够从远端的 VPN 端点的日志上获取更多的信息 5.4 «received remote ID other than expected» 错误 Default (SA CNXVPN1-P1) SEND phase 1 Main Mode [SA][VID] Default (SA CNXVPN1-P1) RECV phase 1 Main Mode [SA][VID] Default (SA CNXVPN1-P1) SEND phase 1 Main Mode [KEY][NONCE] Default (SA CNXVPN1-P1) RECV phase 1 Main Mode [KEY][NONCE] Default (SA CNXVPN1-P1) SEND phase 1 Main Mode [ID][HASH][NOTIFY] Default (SA CNXVPN1-P1) RECV phase 1 Main Mode [ID][HASH][NOTIFY] Default ike_phase_1_recv_id: received remote ID other than expected support@thegreenbow.fr 两端的 " Remote ID " 不匹配 IPSec VPN 配置向导 Property of TheGreenBow Sistech SA - Sistech /13

11 5.5 «NO PROPOSAL CHOSEN» 错误 Default (SA CNXVPN1-P1) SEND phase 1 Main Mode [SA][VID] Default (SA CNXVPN1-P1) RECV phase 1 Main Mode [SA][VID] Default (SA CNXVPN1-P1) SEND phase 1 Main Mode [KEY][NONCE] Default (SA CNXVPN1-P1) RECV phase 1 Main Mode [KEY][NONCE] Default (SA CNXVPN1-P1) SEND phase 1 Main Mode [ID][HASH][NOTIFY] Default (SA CNXVPN1-P1) RECV phase 1 Main Mode [ID][HASH][NOTIFY] Default phase 1 done: initiator id c364cd70: , responder id c364cd72: , src: dst: Default (SA CNXVPN1-CNXVPN1-P2) SEND phase 2 Quick Mode [SA][KEY][ID][HASH][NONCE] Default RECV Informational [HASH][NOTIFY] with NO_PROPOSAL_CHOSEN error Default RECV Informational [HASH][DEL] Default CNXVPN1-P1 deleted 出现 «NO PROPOSAL CHOSEN» 错误时, 检查两端阶段 2 加密方式和密码是否相同如果相同, 再检查阶段 1 的认证方式是否相同 Default (SA CNXVPN1-P1) SEND phase 1 Main Mode [SA][VID] Default RECV Informational [NOTIFY] with NO_PROPOSAL_CHOSEN error 5.6 «INVALID ID INFORMATION» 错误 Default (SA CNXVPN1-P1) SEND phase 1 Main Mode [SA][VID] Default (SA CNXVPN1-P1) RECV phase 1 Main Mode [SA][VID] Default (SA CNXVPN1-P1) SEND phase 1 Main Mode [KEY][NONCE] Default (SA CNXVPN1-P1) RECV phase 1 Main Mode [KEY][NONCE] Default (SA CNXVPN1-P1) SEND phase 1 Main Mode [ID][HASH][NOTIFY] Default (SA CNXVPN1-P1) RECV phase 1 Main Mode [ID][HASH][NOTIFY] Default phase 1 done: initiator id c364cd70: , responder id c364cd72: , src: dst: Default (SA CNXVPN1-CNXVPN1-P2) SEND phase 2 Quick Mode [SA][KEY][ID][HASH][NONCE] Default RECV Informational [HASH][NOTIFY] with INVALID_ID_INFORMATION error Default RECV Informational [HASH][DEL] Default CNXVPN1-P1 deleted 出现 «INVALID ID INFORMATION» 错误时, 检查阶段 2 的 ID ( 本地 IP 地址和网络地址 ) 是否正确并且和远端相对应, 同样, 还要检查 ID 类型 ( 子网掩码和地址范围 ) 5.7 我点击打开隧道, 但是什么都没出现查看 VPN 两端的日志,IKE 请求可能被防火墙阻挡掉了所有的 IPSec 客户端使用 UDP 500 的端口,ESP 协议 5.8 VPN 隧道被激活了, 但是我 Ping 不通如果 VPN 隧道已经被激活了, 但是你仍然 ping 不通对方的网关, 请看下面的几点建议 : 检查阶段 2 的设置 :VPN 客户端地址和远端 LAN 地址通常,VPN 客户端 IP 地址不应该和远端相同如果 VPN 隧道被激活了, 数据包都会以 ESP 协议形式发送 ESP 可能会被防火墙阻挡掉, 检查并确认在 VPN 客户端和服务器之间的设备都允许 ESP 协议通过检查 VPN 服务器上的日志,VPN 数据包有可能被它的防火墙规则阻挡掉了确认您的 ISP 支持 ESP 如果您还是 ping 不通, 抓取 VPN 服务器和 LAN 发出 ping 命令的电脑之间的数据包 ( 例 IPSec VPN 配置向导 Property of TheGreenBow Sistech SA - Sistech /13

12 如使用 Ethereal), 您会在这上面发现一些信息检查 VPN 服务器 LAN 内的默认网关, 远端 LAN 内的一台计算机可能收到了您发出的 ping 请求, 但是并没有设置回应您不能通过计算机名访问到远端 LAN 的计算机, 您必须指定它们在 LAN 内的 IP 地址我们建议您在目标计算机上安装 Wireshark ( 您可以检查 ping 命令是否到达了这台计算机 IPSec VPN 配置向导 Property of TheGreenBow Sistech SA - Sistech /13

13 6 Contacts News and updates on TheGreenBow web site: Technical support by at Sales contacts by at IPSec VPN 配置向导 Property of TheGreenBow Sistech SA - Sistech /13

TheGreenBow VPN Client

TheGreenBow VPN Client TheGreenBow VPN 客户端软件与 FortiGate 系列防火墙配置手册 WebSite: Contact: http://www.thegreenbow.com/zh support@thegreenbow.com IPSec VPN 客户端配置向导版权归 TheGreenBow Sistech SA - 所有 2001-2010 1/14 目录 1 介绍... 3 1.1 手册用途...