serveur VPN sur NT4 server, j'ai du mal

vérifie les protocoles d'authentification, les IP alloués pour la connexion
--
Ludovik DOPIERALA
http://www.c2points.com
MCSE, MCT Microsoft
CCEA Citrix Metaframe

Bonjour,

J'ai posé cette question la semaine dernière sur ms.pub.fr.winnt, sans
succès, je tente ici, merci d'éventuellement m'aiguiller vers le bon
forum si je fais fausse route.


Je tente d'installer un serveur VPN (PPTP) sur un NT4Server SP6a, et
j'ai bien du mal.
Je vois arriver la connexion entrante (venant d'un XP Pro, idem avec un
Win98), mais systématiquement la connexion VPN se coupe au bout de 30
sec (environ, entre 28 et 34).
Sur le NT, le status reste un moment à "Connecté, authentification
de...", puis repasse à "en attente...".
Pourtant, dans le journal sécurité, je vois bien un login correct de
l'utilisteur de test, puis un logout qui semble tout aussi correct.
Et je tourne en rond, je ne vois pas ce qui cloche.

Quelqu'un aurait une idée, une piste ?

Merci d'avance

--
Jean Declercq
message rédigé sur un spam 100% recyclé

Ludovik DOPIERALA a écrit sur microsoft.public.fr.windows.server.reseau
le 17/08/2005 dans <8602213C-EE73-4456-9985-69963A3E34AD@microsoft.com>
:

vérifie les protocoles d'authentification, les IP alloués pour la connexion

Je commence tout bêtement avec MS-CHAP (pas sur d'ailleurs qu'autre
chose soit dispo sur le NT4).
Sur le poste client (le XP en l'occurrence), une fois celui-ci
connecté, un clic sur l'icone de connexion me donne bien, dans les
détails, un protocole MS-CHAP et une adresse IP qui est dans la plage
renseignée sur le NT.

Ca me semble bon.

Merci pour ta réponse.

Je tente d'installer un serveur VPN (PPTP) sur un NT4Server SP6a, et
j'ai bien du mal.
Je vois arriver la connexion entrante (venant d'un XP Pro, idem avec un
Win98), mais systématiquement la connexion VPN se coupe au bout de 30
sec (environ, entre 28 et 34).
Sur le NT, le status reste un moment à "Connecté, authentification
de...", puis repasse à "en attente...".
Pourtant, dans le journal sécurité, je vois bien un login correct de
l'utilisteur de test, puis un logout qui semble tout aussi correct.

--
Jean Declercq
message rédigé sur un spam 100% recyclé

Dans le message news:mn.8bdb7d58ca26dd48.14737@wanadoo.fr ,
jean declercq <jde@wanadoo.fr> s'est ainsi exprimé:

Ludovik DOPIERALA a écrit sur
microsoft.public.fr.windows.server.reseau le 17/08/2005 dans
<8602213C-EE73-4456-9985-69963A3E34AD@microsoft.com>

vérifie les protocoles d'authentification, les IP alloués pour la
connexion

Je commence tout bêtement avec MS-CHAP (pas sur d'ailleurs qu'autre
chose soit dispo sur le NT4).

Les protocoles d'authentification autorisés sous NT4 sont :
PAP
Password Authentification Protocol
protocole qui envoie simplement le nom d'utilisateur
et le mot de passe vers le système distant .
L'envoi du mot de passe est en texte clair, et peut donc
être espionné par une tierce partie "écoutant" la connexion.

CHAP
Challenge Handshake Authentification Protocol
est plus sûr car le mot de passe est crypté avant son envoi.

SPAP
Shiva Proprietary Authentication Protocol
version spécifique Shiva de PAP, qui améliore PAP par cryptage
du mot de passe avant envoi.
(pour plus de détails sur SHIVA et ses produits :
http://www.eicon.com/worldwide/products/shiva/shiva.htm)

MS-CHAP
Microsoft Challenge Handshake Authentification Protocol
version de CHAP développée par Microsoft, qui crypte le mot
de passe avec une méthode différente. Il est généralement
réservé aux produits Microsoft.

--------------------------------------------------------------

Pour "debugguer" une session RAS /PPP /VPN ... sous NT4, procèder ainsi :


- Sélectionner la clef
HKLMSYSTEMCurrentControlSetServicesRasManPPP
et faire passer la valeur de l'entrée "Logging" de 0 à 1
(c'est un REG_DWORD)
- REDÉMARRER l'ordinateur.
- Lors de la prochaine connexion, un fichier nommé PPP.LOG
va être créé dans le répertoire %systemroot%SYSTEM32RAS.

Remarque : ce fichier est réinitialisé à chaque redémarrage de NT. Il est
donc recommandé d'en faire des copies pour analyse ultérieure. De plus,
étant utilisé en permanence par Windows NT (processus "rasman.exe") , il
n'est accessible qu'en lecture seule au cours d'une session.


Dans le cas d'échec d'authentification, la partie la plus intéressante du
fichier PPP.LOG se trouve dans la section commençant par la phase
d'authentification. Par exemple :

Authenticating phase started

PPP packet received at 10/31/1998 18:44:39:637
Protocol = CHAP, Type = Protocol specific, Length = 0x1f, Id = 0x1, Port =
1

C2 23 01 01 00 1D 10 EA 9E D7 B5 99 66 D7 EA 9B |.#..........f...|
FF 9B 3B 96 59 E6 74 54 53 2D 43 4F 52 31 35 |..;.Y.tTS-COR15 |

<PPP packet sent at 10/31/1998 18:44:39:637
<Protocol = CHAP, Type = Protocol specific, Length = 0x2e, Id = 0x1, Port =
1
<C2 23 02 01 00 2C 10 A7 19 D4 12 90 41 B5 B2 B7 |.#...,......A...|
<7C 05 19 08 67 06 39 66 74 69 2F 4A 65 61 6E 2D ||...g.9fti/Jean-|
<43 6C 61 75 64 65 5F 42 65 6C 6C 61 6D 79 |Claude_Bellamy |
..
FsmThisLayerUp called for protocol = c223, port = 1
..

Dans cette séquence, on constate que l'ordinateur local essaie le protocole
d'authentification CHAP, et que le système distant l'accepte. Dans la
RFC1700 (chapitre "PPP Numbers"), on peut y lire que c223 est le code
identifiant CHAP :

c021 Link Control Protocol
c023 Password Authentication Protocol
c025 Link Quality Report
c027 Shiva Password Authentication Protocol
c029 CallBack Control Protocol (CBCP)
c081 Container Control Protocol
c223 Challenge Handshake Authentication Protocol
c225 RSA Authentication Protocol
c227 Extensible Authentication Protocol
c26f Stampede Bridging Authorization Protocol
c281 Proprietary Authentication Protocol
c283 Proprietary Authentication Protocol
c481 Proprietary Node ID Authentication Protocol
...


L'exemple suivant décrit un échec :

Authenticating phase started

PPP packet received at 11/01/1998 15:35:45:451
Protocol = CHAP, Type = Protocol specific, Length = 0x1f, Id = 0x1, Port =
1

C2 23 01 01 00 1D 10 F0 23 9F B9 4D 9E 9A A0 A3 |.#......#..M....|
6F A5 07 DE AF 3F B6 54 53 2D 43 4F 52 31 34 |o....?.TS-COR14 |

<PPP packet sent at 11/01/1998 15:35:45:451
<Protocol = CHAP, Type = Protocol specific, Length = 0x2e, Id = 0x1, Port =
1
<C2 23 02 01 00 2C 10 36 EA 38 D0 7B 69 C9 1B 36 |.#...,.6.8.{i..6|
<F7 D3 E5 AC AF B8 E3 66 74 69 2F 4A 65 61 6E 2D |.......fti/Jean-|
<43 6C 61 75 64 65 5F 42 65 6C 6C 61 6D 79 |Claude_Bellamy |

PPP packet received at 11/01/1998 15:35:45:701
Protocol = CHAP, Type = Protocol specific, Length = 0x1b, Id = 0x1, Port =
0

C2 23 04 01 00 19 49 6E 76 61 6C 69 64 20 43 48 |.#....Invalid CH|
41 50 20 72 65 73 70 6F 6E 73 65 |AP response |

Auth Protocol c223 terminated with error 7
FsmThisLayerDown called for protocol = c021, port = 0

Les chaînes "Protocol = CHAP" et "Invalid CHAP response" donnent des
indications sur ce qui ne fonctionne pas. D'après la RFC 1700, "c223"
désigne CHAP.

L'étape suivante consiste donc à étudier le système distant que l'on veut
appeler et déterminer pourquoi il n'accepte pas CHAP.

On fait alors appel au moniteur réseau.

Le Moniteur Réseau est normalement utilisé pour capturer le trafic réseau
depuis une interface LAN, telle qu'une carte Ethernet. Il est également
possible de l'utiliser comme "analyseur WAN" en écoutant l'interface série
utilisée par RAS et en capturant les paquets d'une session PPP. Il se montre
le plus utile lors de la négociation initiale entre le client DUN et le
système distant, car c'est au cours de cette phase qu'ont lieu la plupart
des erreurs :
1. Démarrer le Moniteur Réseau.
2. Sélectionnez l'interface dont on veut capturer le trafic.
Depuis le menu Capture-Réseaux, cliquer sur l'interface
Ethernet ayant une adresse permanente remplie de zéros.
3. Configurer le filtre de capture (menu Capture-Filtre)
de telle sorte que RAS soit sélectionné
4. Démarrer la capture (menu Capture-Démarrer)
5. Lancer la connexion DUN à tester
6. Dès que la connexion échoue, retourner au Moniteur
Réseau et cliquer sur "Capture-Arrêter" et "Afficher."
7. Faire défiler chaque paquet et localiser les erreurs,
en particulier en recherchant le mot "Reject" dans la
colonne "Description"



--
May the Force be with You!
La Connaissance s'accroît quand on la partage
----------------------------------------------------------
Jean-Claude BELLAMY [MVP] - http://www.bellamyjc.org
Jean-Claude.Bellamy@wanadoo.fr * JC.Bellamy@free.fr

Jean-Claude BELLAMY a écrit sur
microsoft.public.fr.windows.server.reseau le 17/08/2005 dans
<#KPXpV0oFHA.3760@TK2MSFTNGP15.phx.gbl> :

Dans le message news:mn.8bdb7d58ca26dd48.14737@wanadoo.fr ,
jean declercq <jde@wanadoo.fr> s'est ainsi exprimé:

Je commence tout bêtement avec MS-CHAP (pas sur d'ailleurs qu'autre
chose soit dispo sur le NT4).

Pour "debugguer" une session RAS /PPP /VPN ... sous NT4, procèder ainsi :

Super !

Merci Jean-Claude pour les tuyaux.
Il est un peu tard ce soir pour commencer tout ça, mais demain matin je
zieute tout ça.
Il faut juste que je modifie la clé et reboote ce soir, les
utilisateurs n'aiment pas que je reboote le CPD en journée ;-)

--
Jean Declercq
message rédigé sur un spam 100% recyclé

jean declercq a écrit sur microsoft.public.fr.windows.server.reseau le
17/08/2005 dans <mn.8c4d7d582ac67bc4.14737@wanadoo.fr> :

Jean-Claude BELLAMY a écrit sur microsoft.public.fr.windows.server.reseau le
17/08/2005 dans <#KPXpV0oFHA.3760@TK2MSFTNGP15.phx.gbl> :

Dans le message news:mn.8bdb7d58ca26dd48.14737@wanadoo.fr ,
jean declercq <jde@wanadoo.fr> s'est ainsi exprimé:

Je commence tout bêtement avec MS-CHAP (pas sur d'ailleurs qu'autre
chose soit dispo sur le NT4).

Pour "debugguer" une session RAS /PPP /VPN ... sous NT4, procèder ainsi :

Il est un peu tard ce soir pour commencer tout ça, mais demain matin je

zieute tout ça.

Wow !
C'est un peu ardu pour moi ton truc.
Alors :
depuis le reboot d'hier soir, je me fais jeter dès la tentative de
connexion.
Voici un bout de ppp.log

Line up event occurred on port 0
FsmInit called for protocol = c021, port = 0
FsmReset called for protocol = c021, port = 0
FsmThisLayerStarted called for protocol = c021, port = 0
<PPP packet sent at 08/18/2005 11:34:24:717
<Protocol = LCP, Type = Configure-Req, Length = 0x22, Id = 0x0, Port =
0
<C0 21 01 00 00 20 03 05 C2 23 80 05 06 00 00 21 |.!... ...#.....!|
<B3 07 02 08 02 11 04 06 4E 13 09 03 00 05 5D 0C |........N.....].|
<02 18 |.. |

PPP packet received at 08/18/2005 11:34:24:717
Protocol = LCP, Type = Configure-Req, Length = 0x17, Id = 0x0, Port = 0
C0 21 01 00 00 15 01 04 05 78 05 06 47 BC 1E DD |.!.......x..G...|
07 02 08 02 0D 03 06 |....... |

<PPP packet sent at 08/18/2005 11:34:24:717
<Protocol = LCP, Type = Configure-Nak, Length = 0xa, Id = 0x0, Port = 0
<C0 21 03 00 00 08 01 04 05 DC |.!........ |

PPP packet received at 08/18/2005 11:34:24:727
Protocol = LCP, Type = Configure-Reject, Length = 0x13, Id = 0x0, Port = 0
C0 21 04 00 00 11 11 04 06 4E 13 09 03 00 05 5D |.!.......N.....]|
0C 02 18 |... |

<PPP packet sent at 08/18/2005 11:34:24:727
<Protocol = LCP, Type = Configure-Req, Length = 0x15, Id = 0x1, Port =
0
<C0 21 01 01 00 13 03 05 C2 23 80 05 06 00 00 21 |.!.......#.....!|
<B3 07 02 08 02 |..... |

PPP packet received at 08/18/2005 11:34:24:727
Protocol = LCP, Type = Configure-Req, Length = 0x17, Id = 0x1, Port = 0
C0 21 01 01 00 15 01 04 05 78 05 06 47 BC 1E DD |.!.......x..G...|
07 02 08 02 0D 03 06 |....... |

<PPP packet sent at 08/18/2005 11:34:24:727
<Protocol = LCP, Type = Configure-Nak, Length = 0xa, Id = 0x1, Port = 0
<C0 21 03 01 00 08 01 04 05 DC |.!........ |

PPP packet received at 08/18/2005 11:34:24:727
Protocol = LCP, Type = Configure-Ack, Length = 0x15, Id = 0x1, Port = 0
C0 21 02 01 00 13 03 05 C2 23 80 05 06 00 00 21 |.!.......#.....!|
B3 07 02 08 02 |..... |

PPP packet received at 08/18/2005 11:34:24:727
Protocol = LCP, Type = Configure-Req, Length = 0x17, Id = 0x2, Port = 0
C0 21 01 02 00 15 01 04 05 DC 05 06 47 BC 1E DD |.!..........G...|
07 02 08 02 0D 03 06 |....... |

<PPP packet sent at 08/18/2005 11:34:24:727
<Protocol = LCP, Type = Configure-Ack, Length = 0x17, Id = 0x2, Port =
0
<C0 21 02 02 00 15 01 04 05 DC 05 06 47 BC 1E DD |.!..........G...|
<07 02 08 02 0D 03 06 |....... |

FsmThisLayerUp called for protocol = c021, port = 0
LCP Local Options-------------
MRU00,ACCM=0,AuthÂ23,MagicNumber†27,PFC=ON,ACFC=ON
Recv Framing = PPP,SSHF=OFF,MRRU00
LCP Remote Options-------------
MRU00,ACCM=0,Auth=0,MagicNumber03511005,PFC=ON,ACFC=ON
Send Framing = PPP,SSHF=OFF,MRRU00
LCP Configured successfully
Authenticating phase started
<PPP packet sent at 08/18/2005 11:34:24:727
<Protocol = CHAP, Type = Protocol specific, Length = 0xf, Id = 0x5,
Port = 0
<C2 23 01 05 00 0D 08 71 0D BF F5 5B EE 8B 69 |.#.....q...[..i |

PPP packet received at 08/18/2005 11:34:24:727
Protocol = LCP, Type = Identification, Length = 0x14, Id = 0x3, Port = 0
C0 21 0C 03 00 12 47 BC 1E DD 4D 53 52 41 53 56 |.!....G...MSRASV|
35 2E 31 30 |5.10 |

PPP packet received at 08/18/2005 11:34:24:727
Protocol = LCP, Type = Identification, Length = 0x17, Id = 0x4, Port = 0
C0 21 0C 04 00 15 47 BC 1E DD 4D 53 52 41 53 2D |.!....G...MSRAS-|
30 2D 4A 44 45 58 50 |0-JDEXP |

PPP packet received at 08/18/2005 11:34:24:727
Protocol = CHAP, Type = Protocol specific, Length = 0x43, Id = 0x5, Port = 0
C2 23 02 05 00 41 31 00 00 00 00 00 00 00 00 00 |.#...A1.........|
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 E9 |................|
6E ED 81 C5 CE 92 64 5D 00 AF 89 1F 7B CA EB 12 |n.....d]....{...|
38 D8 46 E8 57 A7 BB 01 44 4F 4D 41 49 4E 45 5C |8.F.W...DOMAINE|
4A 44 45 |JDE |

<PPP packet sent at 08/18/2005 11:34:24:777
<Protocol = CHAP, Type = Protocol specific, Length = 0x6, Id = 0x5,
Port = 0
<C2 23 03 05 00 04 |.#.... |

FsmThisLayerUp called for protocol = c223, port = 0
Callback phase started
<PPP packet sent at 08/18/2005 11:34:24:777
<Protocol = CBCP, Type = Protocol specific, Length = 0x8, Id = 0x1,
Port = 0
<C0 29 01 01 00 06 01 02 |.)...... |

PPP packet received at 08/18/2005 11:34:24:777
Protocol = CBCP, Type = Protocol specific, Length = 0x8, Id = 0x1, Port = 0
C0 29 02 01 00 06 01 02 |.)...... |

<PPP packet sent at 08/18/2005 11:34:24:777
<Protocol = CBCP, Type = Protocol specific, Length = 0x8, Id = 0x1,
Port = 0
<C0 29 03 01 00 06 01 02 |.)...... |

FsmThisLayerUp called for protocol = c029, port = 0
FsmInit called for protocol = 80fd, port = 0
FsmInit for protocol = 80fd failed with error 741
FsmThisLayerFinished called for protocol = 80fd, port = 0

PPP packet received at 08/18/2005 11:34:24:787
Protocol = CCP, Type = Configure-Req, Length = 0xc, Id = 0x5, Port = 0
80 FD 01 05 00 0A 12 06 01 00 00 01 |............ |

Non-LCP packet received when LCP is not opened
Packet being silently discarded

PPP packet received at 08/18/2005 11:34:24:787
Protocol = IPCP, Type = Configure-Req, Length = 0x24, Id = 0x6, Port = 0
80 21 01 06 00 22 03 06 00 00 00 00 81 06 00 00 |.!..."..........|
00 00 82 06 00 00 00 00 83 06 00 00 00 00 84 06 |................|
00 00 00 00 |.... |

Non-LCP packet received when LCP is not opened
Packet being silently discarded
Line down event occurred on port 0
FsmThisLayerDown called for protocol = c021, port = 0
FsmReset called for protocol = c021, port = 0

Il y a deux ou trois trucs qui m'interpellent là-dedans :
- le protocole CHAP:
à priori l'authentification se passe bien, ce qui serait confirmé par
l'observateur d'évenements, où je vois bien une ouverture et une
fermeture de session
- le protocole CBCP:
à aucun moment, je n'ai paramétré un rappel quelconque, ou alors j'ai
loupé un truc.
- l'erreur 741 sur le 80fd, protocole CCP de compression si j'ai bien
lu :
je n'ai trouvé à aucun moment un paramétrage quelconque de compression.
Est-ce automatique/systématique ?
- les 2 lignes "Non LCP packets received..." qui ne me disent pas
grand-chose, je dois bien l'avouer.

En ce qui concerne le moniteur réseau, il n'était pas installé sur la
machine, c'est fait mais je ne le trouve nulle part, j'imagine qu'il
faut que je reboote encore une fois.

A ce propos, suite à l'ajout du service d'accès distant et de ce
moniteur, il ne faudrait pas que je repasse un coup de Service Pack ?

Merci d'avance pour vos lumières.


--
Jean Declercq
message rédigé sur un spam 100% recyclé