L2TP/IPSec-NAT-T-Update für Windows XP und Windows 2000

Zum Anfang

Inhalt

• Neue IPSec-Features/Snap-Ins "IPSec Management" und "IPSec Monitor"
• Interoperabilität und bekannte Probleme
• Windows XP Service Pack-Informationen
• Windows 2000-Update
• Informationsquellen

Zum Anfang

Zum Anfang

Neue IPSec-Features/Snap-Ins "IPSec Management" und "IPSec Monitor"

• Nach der Installation dieses Updates können auch L2TP/IPSec-Clients in Windows 2000 und Windows XP, die sich hinter einem NAT-Gerät befinden, IPSec-Verbindungen herstellen. Die neue IPsec NAT-T-Funktionalität basiert auf IETF RFC 3193 und Version 2 der ursprünglichen IETF IPsec NAT-T Internet Drafts. Windows XP-Clients mit SP2 verfügen ebenfalls über diese erweiterte Verbindungsoption. IPsec NAT-T wird derzeit in den RFCs 3947 und 3948 spezifiziert.
• Das aktualisierte Snap-In "IPSec Monitor" kann Computer überwachen, auf denen Windows XP ausgeführt wird. Dies gilt allerdings nur, wenn auf dem Windows XP-Computer das Service Pack 2 (SP2) installiert ist.
• Das aktualisierte Snap-In "IPSec Monitor" kann auch Computer überwachen, auf denen Microsoft Windows Server 2003 ausgeführt wird. Analog dazu können Windows Server 2003-Computer Windows XP-Computer überwachen, auf denen SP2 installiert ist.
• Computer mit dem Betriebssystem Windows 2000 können mithilfe dieses Snap-Ins nicht überwacht werden.
• Das neue Snap-In "IPSec Management" schaltet in den schreibgeschützten Modus, wenn es Richtlinienobjekte entdeckt, die erweiterte Features enthalten, die mit Windows Server 2003 eingeführt wurden (zum Beispiel DH2048, Zertifikatzuordnung oder dynamische Filter). Dieses Verhalten hat zur Folge, dass Snap-In-Objekte (zum Beispiel Regeln, Filterlisten oder Hauptmodusangebote) nicht mehr bearbeitet werden können, wenn sie Bezüge zu diesen neuen Einstellungen enthalten. Das Snap-In "IPSec Management" wechselt in den schreibgeschützten Modus, damit wichtige erweiterte Features nicht ungewollt überschrieben werden können.
• Die aktualisierten IPSec-Dienste auf Windows XP-Computern bieten ebenfalls die meisten der neuen Features aus der Windows Server 2003-Richtlinie.
  
  Hinweis: Die Zertifikatzuordnung steht nicht zur Verfügung.
• Falls eine frühere Version des Tools "IPSeccmd" auf einem Windows XP-Computer installiert ist (in Windows 2000 ist dieses Tool nicht verfügbar), wird ein aktualisiertes Tool "IPSeccmd" im Ordner "Laufwerk:\Programme\Supporttools" installiert.
  
  Das aktualisierte Tool "IPSeccmd" bietet die folgenden Features:
  • Es schaltet die IKE-Protokollierung (IKE = Internet Key Exchange/Internet-Schlüsselaustausch) dynamisch ein und aus.
  • Es zeigt Informationen zu aktuell zugeordneten Richtlinien an.
  • Es bietet Ihnen die Möglichkeit, eine dauerhaft gültige IPSec-Richtlinie zu erstellen.
  Hinweis: Die frühere Version von "IPSeccmd" funktioniert nicht auf durch das Update aktualisierten Computern, während das aktualisierte Tool "IPSeccmd" nicht auf Computern verwendet werden kann, die nicht aktualisiert wurden.

Zum Anfang

Interoperabilität und bekannte Probleme

IPsec NAT-T- und Firewall-Regeln

• Internet Key Exchange (IKE) ? UDP-Port 500
• IPsec NAT-T ? UDP-Port 4500
• Encapsulating Security Payload (ESP) ? IP-Protokoll 50

Unterstützte Szenarios bei Verwendung von IPsec NAT-T

Diffie-Hellman-Gruppe 2048-Update

1. Klicken Sie auf Start und auf Ausführen, geben Sie regedit ein, und klicken Sie auf OK.
2. Klicken Sie auf den folgenden Unterschlüssel in der Registrierung:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters
3. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie auf DWORD-Wert.
4. Geben Sie NegotiateDH2048 ein, und drücken Sie die [EINGABETASTE].
5. Klicken Sie mit der rechten Maustaste auf NegotiateDH2048, und klicken Sie auf Ändern.
6. Geben Sie im Feld Wert den Wert 1 ein, und klicken Sie auf OK.
7. Klicken Sie im Menü Registrierung auf Beenden.

Sonstiges

• IPSec-Abladehardware
  IPSec-Abladenetzwerkadapter laden mithilfe von NATs erstellte Sicherheitszuordnungen nicht ab.
• Neue Features werden nicht korrekt angezeigt
  Neue Features, die unter Verwendung einer Windows Server 2003-IPSec-Richtlinie aktiviert wurden, werden im Snap-In "IPSec Monitor" eventuell nicht korrekt angezeigt. Beispielsweise wird die Gruppe DH2048 als 268435457 angezeigt, und Namen dynamischer Filter (wie WINS oder DHCP) werden gar nicht angezeigt (die entsprechende Spalte bleibt leer).
• Die IKE-Komponente der Windows-Implementierung von IPSec verwendet eine erweiterte Winsock API-Funktion, deren Funktionszeiger durch das Aufrufen von WSAIoctl() bestimmt wird. Kann dieser Funktionsaufruf einen möglicherweise installierten Layered Service Provider (LSP) nicht passieren, kann IPSec den IKE-Port nicht abhören. IPSec interpretiert dies als Fehlfunktion der Komponente und reagiert entsprechend (das heißt, dass die Meldung "Fail to a Secure Mode" zurückgegeben wird). Ein installiertes Fremdanbieterprogramm kann die Ursache dafür sein, dass die IKE-Komponente einen LSP nicht passieren kann.

1. Klicken Sie auf Start und auf Ausführen, geben Sie regedit ein, und klicken Sie auf OK.
2. Klicken Sie auf den folgenden Unterschlüssel in der Registrierung:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPsec
3. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie auf DWORD-Wert.
4. Geben Sie in das Feld Neuer Wert #1 den Namen AssumeUDPEncapsulationContextOnSendRule ein, und drücken Sie die [EINGABETASTE].
5. Klicken Sie mit der rechten Maustaste auf AssumeUDPEncapsulationContextOnSendRule, und klicken Sie auf Ändern.
6. Geben Sie in das Feld Wert einen der folgenden Werte ein:
   • 0 (Standard)
     Mit dem Wert 0 (Null) wird Windows so konfiguriert, dass keine Sicherheitszuordnungen mit Servern eingerichtet werden können, die sich hinter NATs befinden.
   • 1
     Mit dem Wert 1 wird Windows so konfiguriert, dass Sicherheitszuordnungen mit Servern eingerichtet werden können, die sich hinter NATs befinden.
   • 2
     Mit dem Wert 2 wird Windows so konfiguriert, dass Sicherheitszuordnungen eingerichtet werden können, wenn sich sowohl der Server als auch der Windows XP SP2-Clientcomputer hinter NATs befinden.
7. Klicken Sie auf OK, und beenden Sie den Registrierungseditor.
8. Starten Sie den Computer neu.

Zum Anfang

Windows XP Service Pack-Informationen

Zum Anfang

Windows 2000-Update

1. Klicken Sie auf der Microsoft Windows Update-Website auf Microsoft Windows-Updates suchen.
2. Wählen Sie Ihr Betriebssystem und Ihre Sprache aus, und klicken Sie auf Erweiterte Suchoptionen.
   
   Hinweis: Sie müssen entweder Windows 2000 Professional Service Pack 3 oder Windows 2000 Professional Service Pack 4 auswählen. Wenn Sie ein anderes Betriebssystem auswählen, wird das Update in der Suche nicht zurückgegeben.
3. Geben Sie im Feld Enthält folgende Wörter die Ziffern 818043 ein, und klicken Sie auf Suchen.

Voraussetzungen

Neustart

Ersetzte Updates

Dateiinformationen

   Date         Time   Version        Size     File name
   ----------------------------------------------------------------
   18-Sep-2000  19:01  5.0.2195.1569   33,616  Fips.sys
   21-Apr-2003  15:19  5.0.2195.6738   80,848  Ipsec.sys
   21-Apr-2003  15:19  5.0.2195.6738   29,456  Ipsecmon.exe     
   21-Apr-2003  15:21  5.0.2195.6738  390,928  Netdiag.exe      
   01-May-2003  21:39  5.0.2195.6738  417,552  Oakley.dll       
   01-May-2003  21:39  5.0.2195.6738   96,528  Polagent.dll     
   01-May-2003  21:39  5.0.2195.6738  137,488  Polstore.dll     
   01-May-2003  21:39  5.0.2195.6738   58,128  Rasman.dll       
   01-May-2003  21:39  5.0.2195.6738  153,360  Rasmans.dll      
   01-May-2003  21:39  5.0.2195.6738   54,032  Rastapi.dll      
   21-Apr-2003  15:19  5.0.2195.6738   80,848  Ipsec.sys  (56-bit)

Zum Anfang