Добрый день.
Возникла необходимость пускать людей в сеть через VPN который решили поднять на Cisco, при этом, что бы канал шифровался. На cisco.com написано что бы все заработало надо чтобы Radius сервер которым как я понимаю в Windows является IAS отдавал Framed-Protocol = PPP MS-CHAP-MPPE-Keys Service-Type = Framed вот в чем проблема не могу найти в IAS MS-CHAP-MPPE-Keys и вообще возможно ли сделать VPN на Cisco с авторизацией на IAS и шифрованием mppe 128. Если делать без IAS то есть локальная база имен паролей на Cisco то проблем с шифрацией нет.
Заранее благодарю за любую помощь.
думаю если IAS неумеет отдать этот атрибут - значит ничего не получиться
воспользуйьесб другим radius serervom
>думаю если IAS неумеет отдать этот атрибут - значит ничего не получиться
>
> воспользуйьесб другим radius serervomне можете ли вы подсказать альтернативный RADIUS server который может отдавать этот параметр
Поставил Steel-Belted Radius там есть такой параметр но все равно не работает. Может секрет есть какой.
>Добрый день.
>Возникла необходимость пускать людей в сеть через VPN который решили поднять на
>Cisco, при этом, что бы канал шифровался. На cisco.com написано что
>бы все заработало надо чтобы Radius сервер которым как я понимаю
>в Windows является IAS отдавал Framed-Protocol = PPP MS-CHAP-MPPE-Keys Service-Type =
>Framed вот в чем проблема не могу найти в IAS MS-CHAP-MPPE-KeysВообще-то, должен быть.
"MPPE Encryption Keys
Encryption settings are configured on the Encryption tab of a remote access policy profile. Based on the settings, IAS returns the MS-MPPE-Encryption-Policy (RFC 2548, section 2.4.4) and MS-MPPE-Encryption-Types (RFC 2548, section 2.4.5) attributes. The access server should verify the values of the MS-MPPE-Encryption-Policy and MS-MPPE-Encryption-Types attributes with the settings of the configured encryption policy.
If the authentication protocol is MS-CHAP, the MS-CHAP-MPPE-Keys (RFC 2548, section 2.4.1) attribute is returned. The contents of the NT-Key sub-field of the MS-CHAP-MPPE-Keys attribute is incorrectly described in RFC 2548. Instead of the NtPasswordHash() function, use the HashNtPasswordHash() function to calculate the contents of the NT-Key sub-field. Both the NtPasswordHash() and HashNtPasswordHash() functions are described in RFC 2759. The MS-CHAP-MPPE-Keys attribute is encrypted using the same mechanism that is used to protect the User-Password attribute (RFC 2865)."
http://download.microsoft.com/download/a/4/6/a46193b8-4c6f-4...
Добрый день.
Насколько я понял если Cisco работает по RFC 2548 то "sub-field of the MS-CHAP-MPPE-Keys attribute is incorrectly described in RFC 2548". Или я что то не правильно понял.
>Добрый день.
>Насколько я понял если Cisco работает по RFC 2548 то "sub-field of
>the MS-CHAP-MPPE-Keys attribute is incorrectly described in RFC 2548". Или я
>что то не правильно понял.Нет, все правильно, но это же документ для программистов. И, во всяком случае, явно следует что такой атрибут там, по крайней мере, есть.
А вообще да, меня это тоже позабавило. RFC идет не в ногу с Майкрософт, значит тем хуже для RFC :)
Критично что с шифрованием mppe 128 ?
VPN-клиент обязательно от MS?
Cisco VPN-клиент/IPSec + IAS. Авторизация аккаунтов в домене.
>Критично что с шифрованием mppe 128 ?
В принципе нет, так как 40 или 56 лучше чем ничего
>VPN-клиент обязательно от MS?
Не обязательно но желательно
>Cisco VPN-клиент/IPSec + IAS. Авторизация аккаунтов в домене.
Вот IPSec не хотелось бы
Вот еще что в логах Cisco выловил12w2d: Vi3 CCP: MPPC Option asks for neither compression nor encryption
12w2d: Vi3 MPPE: Required encryption not negotiatedЕсли это чем то поможет
Посмотрите здесь:
http://www.cisco.com/en/US/tech/tk801/tk703/technologies_con...
>Посмотрите здесь:
>http://www.cisco.com/en/US/tech/tk801/tk703/technologies_con...У меня все так же и настоенно если только надо обязательно чтобы записи на Cisco совпадали с записями на RADIUS
В примере
ppp encrypt mppe 40
ppp authentication ms-chapКак у Вас настроено?
Так работало когда база пользователей была локально сейчас так же
ppp encrypt mppe 128 required
ppp authentication ms-chap-v2Пробовал менять как в примере тоже самое
про Steel-Belted radius и про другие тоже,
нужно в Return-list прописать: MS-CHAP-MPPE Keys и MS-CHAP-MPPE-Types=128Bit
>про Steel-Belted radius и про другие тоже,
>нужно в Return-list прописать: MS-CHAP-MPPE Keys и MS-CHAP-MPPE-Types=128Bit
а можно подробнее? Вылез тот же трабл. В Cisco-AV-Pair писать?