Configurar al Cliente Cisco VPN al concentrador VPN 3000 con la autenticación de dominio del Microsoft Windows NT

Transcripción

1 Configurar al Cliente Cisco VPN al concentrador VPN 3000 con la autenticación de dominio del Microsoft Windows NT Contenido Introducción prerrequisitos Requisitos Componentes Utilizados Convenciones Configurar el concentrador VPN 3000 Tareas realizadas Diagrama de la red Instrucciones Paso a Paso Servidor de autenticación de la configuración en un para cada grupo Verificación Troubleshooting Depuración correcta Concentrador VPN 3000 a NT Depuración inadecuada - Concentrador VPN 3000 a NT Información Relacionada Introducción Este documento demuestra cómo configurar el Cisco VPN 3000 Concentrator para autenticar a los Clientes Cisco VPN a un servidor del dominio externo del Microsoft Windows NT. Si se especifican los servidores del dominio de NT múltiples, el primer servidor enumerado es el servidor primario. El resto es servidores de backup en el evento que el servidor primario es inoperante después de que un número configurable de las recomprobaciones (0-10) y de los segundos (1-30). Configure una relación de confianza en NT, con un servidor del dominio de NT enumerado en el VPN 3000 para tener autenticación a los dominios múltiples de NT. Todas las peticiones van al solo servidor del dominio de NT, que adelante la petición al controlador de dominio primario (PDC) de confianza apropiado en el dominio especificado. prerrequisitos Requisitos No hay requisitos específicos para este documento. Componentes Utilizados La información que contiene este documento se basa en las siguientes versiones de software y hardware. Cisco VPN 3000 Concentrator y posterior Servidor 4.0 del Windows NT Nota: Este ejemplo del laboratorio muestra la autenticación PDC fuera del concentrador VPN. En un entorno de red real, y para la seguridad máxima, los PDC estarían dentro del concentrador VPN. La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando. Convenciones Consulte Convenciones de Consejos Técnicos de Cisco para obtener más información sobre las convenciones sobre documentos. Configurar el concentrador VPN 3000 Tareas realizadas

2 Esta sección describe cómo configurar el concentrador VPN para autenticar a los clientes a un servidor externo del Windows NT Pruebe con la autenticación local. Agregue dominio de Windows NT el servidor al concentrador VPN. Pruebe el concentrador VPN dominio de Windows NT al servidor. Cambie al grupo para señalar dominio de Windows NT al servidor. Pruebe al cliente VPN al concentrador VPN 3000 con el Windows NT. Diagrama de la red Este documento utiliza la configuración de red que se muestra en este diagrama: En este ejemplo: Si ambos servidores del dominio de NT: (nombre, domain=anywhere de ZEKIE=netbios) (nombre, domain=rtp-apps de PDCAPPS=netbios) se enumeran en el concentrador VPN 3000, las peticiones van a (ZEKIE); si es inalcanzable, las peticiones van a (PDCAPPS). Si solamente un servidor del dominio de NT: (nombre, domain=anywhere de ZEKIE=netbios) se enumera en el concentrador VPN 3000, pero una relación de confianza se configura en el Windows NT, las peticiones van a (ZEKIE), que mantiene las peticiones del usuario sí mismo o adelante las pide para otros usuarios a (PDCAPPS). Instrucciones Paso a Paso Complete estos pasos:

3 1. 2. Pruebe para estar seguro que la autenticación y el cifrado de cliente VPN a los trabajos internos de la base de datos VPN 3000 antes de que usted agregue la autenticación dominio de Windows NT a un servidor. Agregue el servidor del dominio de NT a la lista de servidores de autenticación concentradora VPN Para una relación de confianza, usted puede ser que necesite aumentar el descanso (el valor por defecto es un descanso 4-second y dos recomprobaciones). 3. Pruebe la autenticación de servidor del dominio de NT del concentrador VPN Por ejemplo, formamos una relación de confianza de NT entre y con un servidor enumeró. Probamos la autenticación ingresando: (user on ) User Name: vpnuser Password: ******* User Name: ANYWHERE\vpnuser Password: ******* (user on ) User Name: RTP-APPS\appsuser Password: ******* 4. Configure el VPN 3000 grupos para señalar al dominio para autentificación de NT.

4 5. Pruebe al cliente VPN al concentrador VPN El cliente VPN debe poder conectar con el concentrador VPN 3000 en este momento. Si hay problemas, vea el troubleshooting y el debugging la sección de configuración. Configure el servidor de autenticación en un para cada grupo En el 3.0 de las versiones del Cisco VPN 3000 Concentrator y posterior, es posible definir el servidor de autenticación en un para cada grupo (en vez de definirlo en las bases globales para el concentrador VPN entero). Seleccione el Configuration (Configuración)>User Management (Administración del usuario) >Groups (Grupos) y el tecleo agrega al grupo. Verificación Actualmente no hay un procedimiento de verificación disponible para este documento. Troubleshooting En esta sección encontrará información que puede utilizar para solucionar problemas de la configuración. 1. Seleccione el Configuration (Configuración) > System (Sistema) > Event (Eventos) > Classes (Clases) > Add (Agregar) para girar el debugging concentrador VPN Incluya el AUTH, AUTHDBG, AUTHDECODE con estas configuraciones.

5 Gravedad para registrar = 1-9 Gravedad en la consola = En el Windows NT, habilite los recursos de auditoría Monitoring (Monitoreo) > Event Log (Registro de evento) selecto para examinar el debug concentrador VPN Visión acertada y intentos fallidos para el Windows NT. Nota: Sea consciente de uno de los errores comunes para la falla de autenticación para los usuarios de VPN. La causa del error puede ser debido a la NON-sincronización del reloj entre el concentrador VPN y el servidor AD. Sincronice la época para que la autenticación trabaje. Depuración correcta Concentrador VPN 3000 a NT 1 10/12/ :32: SEV=8 AUTHDBG/1 RPT=20 AUTH_Open() returns /12/ :32: SEV=7 AUTH/12 RPT=20 Authentication session opened: handle = /12/ :32: SEV=8 AUTHDBG/3 RPT=29 AUTH_PutAttrTable(62, 5b6a3c) 4 10/12/ :32: SEV=8 AUTHDBG/5 RPT=14

6 AUTH_Authenticate(62, 5007b5c, 47540c) 5 10/12/ :32: SEV=8 AUTHDBG/59 RPT=29 AUTH_BindServer(71e3004, 0, 0) 6 10/12/ :32: SEV=9 AUTHDBG/69 RPT=29 Auth Server 649ab4 has been bound to ACB 71e3004, sessions = /12/ :32: SEV=8 AUTHDBG/65 RPT=29 AUTH_CreateTimer(71e3004, 0, 0) 8 10/12/ :32: SEV=9 AUTHDBG/72 RPT=29 Reply timer created: handle = AC /12/ :32: SEV=8 AUTHDBG/61 RPT=29 AUTH_BuildMsg(71e3004, 0, 0) 10 10/12/ :32: SEV=8 AUTHDBG/39 RPT=14 Smb_Build(71e3004) 11 10/12/ :32: SEV=8 AUTHDBG/77 RPT= SMB_Connect_Server(71e3004) 12 10/12/ :32: SEV=8 AUTHDBG/91 RPT=14 RFCNB_Call(649ab4, ZEKIE, VPN 3000) 13 10/12/ :32: SEV=7 AUTH/16 RPT=14 TCP session established: socket = 12, server = /12/ :32: SEV=8 AUTHDBG/92 RPT=14 RFCNB_Session_Req(649ab4, 2e7ea54, ZEKIE, VPN 3000) 15 10/12/ :32: SEV=8 AUTHDBG/93 RPT=46 RFCNB_Put_Pkt(2e7ea54, 2e79fb8, 72) 16 10/12/ :32: SEV=8 AUTHDBG/94 RPT=33 RFCNB_Get_Pkt(2e7ea54, fe36a0, 16) 17 10/12/ :32: SEV=8 AUTHDBG/89 RPT=14 SMB_Negotiate(71e3004) 18 10/12/ :32: SEV=8 AUTHDBG/93 RPT=47 RFCNB_Put_Pkt(2e7ea54, 2e7e414, 51) 19 10/12/ :32: SEV=8 AUTHDBG/94 RPT=34 RFCNB_Get_Pkt(2e7ea54, 2e7e414, 260) 20 10/12/ :32: SEV=8 AUTHDBG/79 RPT= SMB_Build_Request(71e3004) 21 10/12/ :32: SEV=8 AUTHDBG/64 RPT=29 AUTH_StartTimer(71e3004, 0, 0) 22 10/12/ :32: SEV=9 AUTHDBG/73 RPT=29 Reply timer started: handle = AC0012, timestamp = , timeout = /12/ :32: SEV=8 AUTHDBG/62 RPT=29 AUTH_SndRequest(71e3004, 0, 0) 24 10/12/ :32: SEV=8 AUTHDBG/43 RPT=27 Smb_Decode(2e79fb8, 0) 25 10/12/ :32: SEV=8 AUTHDBG/40 RPT= Smb_Xmt(71e3004) 26 10/12/ :32: SEV=8 AUTHDBG/80 RPT= SMB_Send_Request(71e3004) 27 10/12/ :32: SEV=8 AUTHDBG/93 RPT=48 RFCNB_Put_Pkt(2e7ea54, 2e7e414, 166) 28 10/12/ :32: SEV=9 AUTHDBG/71 RPT=29 xmit_cnt = /12/ :32: SEV=8 AUTHDBG/63 RPT=29 AUTH_RcvReply(71e3004, 0, 0) 30 10/12/ :32: SEV=8 AUTHDBG/43 RPT=28 Smb_Decode(50076e0, 128) 31 10/12/ :32: SEV=8 AUTHDBG/41 RPT= Smb_Rcv(71e3004)

7 32 10/12/ :32: SEV=8 AUTHDBG/81 RPT= SMB_Receive_Reply(71e3004) 33 10/12/ :32: SEV=8 AUTHDBG/90 RPT=7 SMB_Logoff(71e3004, 4096) 34 10/12/ :32: SEV=8 AUTHDBG/93 RPT=49 RFCNB_Put_Pkt(2e7ea54, 2e7e9f0, 43) 35 10/12/ :32: SEV=8 AUTHDBG/94 RPT=35 RFCNB_Get_Pkt(2e7ea54, 2e7e9f0, 43) 36 10/12/ :32: SEV=8 AUTHDBG/78 RPT= SMB_Disconnect_Server(71e3004) 37 10/12/ :32: SEV=8 AUTHDBG/66 RPT=29 AUTH_DeleteTimer(71e3004, 0, 0) 38 10/12/ :32: SEV=9 AUTHDBG/74 RPT=29 Reply timer stopped: handle = AC0012, timestamp = /12/ :32: SEV=8 AUTHDBG/58 RPT=29 AUTH_Callback(71e3004, 0, 0) 40 10/12/ :32: SEV=6 AUTH/4 RPT= Authentication successful: handle = 62, server = , user = vpnuser 41 10/12/ :32: SEV=8 AUTHDBG/3 RPT=30 AUTH_PutAttrTable(62, fe3764) 42 10/12/ :32: SEV=8 AUTHDBG/60 RPT=29 AUTH_UnbindServer(71e3004, 0, 0) 43 10/12/ :32: SEV=9 AUTHDBG/70 RPT=29 Auth Server 649ab4 has been unbound from ACB 71e3004, sessions = /12/ :32: SEV=8 AUTHDBG/59 RPT=30 AUTH_BindServer(71e3004, 0, 0) 45 10/12/ :32: SEV=9 AUTHDBG/69 RPT=30 Auth Server 6498bc has been bound to ACB 71e3004, sessions = /12/ :32: SEV=8 AUTHDBG/65 RPT=30 AUTH_CreateTimer(71e3004, 0, 0) 47 10/12/ :32: SEV=9 AUTHDBG/72 RPT=30 Reply timer created: handle = AD /12/ :32: SEV=8 AUTHDBG/61 RPT=30 AUTH_BuildMsg(71e3004, 0, 0) 49 10/12/ :32: SEV=8 AUTHDBG/64 RPT=30 AUTH_StartTimer(71e3004, 0, 0) 50 10/12/ :32: SEV=9 AUTHDBG/73 RPT=30 Reply timer started: handle = AD0012, timestamp = , timeout = /12/ :32: SEV=8 AUTHDBG/62 RPT=30 AUTH_SndRequest(71e3004, 0, 0) 52 10/12/ :32: SEV=8 AUTHDBG/50 RPT=31 IntDB_Decode(2e79fb8, 41) 53 10/12/ :32: SEV=8 AUTHDBG/47 RPT=31 IntDB_Xmt(71e3004) 54 10/12/ :32: SEV=9 AUTHDBG/71 RPT=30 xmit_cnt = /12/ :32: SEV=8 AUTHDBG/47 RPT=32 IntDB_Xmt(71e3004) 56 10/12/ :32: SEV=8 AUTHDBG/49 RPT=16 IntDB_Match(71e3004, 50076e0) 57 10/12/ :32: SEV=8 AUTHDBG/63 RPT=30 AUTH_RcvReply(71e3004, 0, 0) 58 10/12/ :32: SEV=8 AUTHDBG/50 RPT=32 IntDB_Decode(50076e0, 98) 59 10/12/ :32: SEV=8 AUTHDBG/48 RPT=16 IntDB_Rcv(71e3004)

8 60 10/12/ :32: SEV=8 AUTHDBG/66 RPT=30 AUTH_DeleteTimer(71e3004, 0, 0) 61 10/12/ :32: SEV=9 AUTHDBG/74 RPT=30 Reply timer stopped: handle = AD0012, timestamp = /12/ :32: SEV=8 AUTHDBG/58 RPT=30 AUTH_Callback(71e3004, 0, 0) 63 10/12/ :32: SEV=6 AUTH/4 RPT= Authentication successful: handle = 62, server = Internal, user = vpn /12/ :32: SEV=8 AUTHDBG/4 RPT=16 AUTH_GetAttrTable(62, 5b6a84) 65 10/12/ :32: SEV=8 AUTHDBG/2 RPT=19 AUTH_Close(62) 66 10/12/ :32: SEV=4 IKE/52 RPT= User (ANYWHERE\vpnuser) authenticated /12/ :32: SEV=8 AUTHDBG/60 RPT=30 AUTH_UnbindServer(71e3004, 0, 0) 68 10/12/ :32: SEV=9 AUTHDBG/70 RPT=30 Auth Server 6498bc has been unbound from ACB 71e3004, sessions = /12/ :32: SEV=8 AUTHDBG/10 RPT=19 AUTH_Int_FreeAuthCB(71e3004) 70 10/12/ :32: SEV=9 AUTHDBG/19 RPT=19 instance = 63, clone_instance = /12/ :32: SEV=7 AUTH/13 RPT=19 Authentication session closed: handle = /12/ :32: SEV=4 AUTH/21 RPT=18 User ANYWHERE\vpnuser connected 73 10/12/ :32: SEV=5 IKE/25 RPT= Received remote Proxy Host data in ID Payload: Address , Protocol 0, Port /12/ :32: SEV=5 IKE/24 RPT= Received local Proxy Host data in ID Payload: Address , Protocol 0, Port /12/ :32: SEV=5 IKE/66 RPT= IKE Remote Peer configured for SA: ESP-3DES-MD /12/ :32: SEV=4 IKE/49 RPT= Security negotiation complete for User (ANYWHERE\vpnuser) Responder, Inbound SPI = 0x00686e15, Outbound SPI = 0x0a6587d9 Depuración inadecuada - Concentrador VPN 3000 a NT Ingrese un nombre de usuario incorrecto 73 10/12/ :33: SEV=3 AUTH/5 RPT= Authentication rejected: Reason = Unspecified handle = 64, server = , user = baduser Desconecte el PDC de la red 44 10/12/ :35: SEV=2 AUTH/17 RPT=1 Unable to establish connection: server = /12/ :35: SEV=4 AUTH/9 RPT= Authentication failed: Reason = No active server found handle = 66, server = , user = vpnuser Información Relacionada Ejemplos de Configuración y Lista de Notas Técnicas

9 Cisco Systems Inc. Todos los Derechos Reservados. Fecha de Generación del PDF: 25 Diciembre