Connexion

Select the product you need help with

Mise � jour�L2TP/IPsec NAT-T pour Windows�XP et Windows�2000

Num�ro d'article: 818043 - Voir les produits auxquels s'applique cet article

Microsoft a publi� un package de mise � jour qui am�liore la fonctionnalit� actuelle du protocole�L2TP (Layer Two Tunneling Protocol) et de la s�curit�IP (IPsec, Internet Protocol Security) sur les ordinateurs Microsoft Windows�2000, Microsoft Windows�XP sans Service Pack et Windows XP Service Pack 1 (SP1). Cette fonctionnalit� est incluse dans Windows�XP Service Pack�2 (SP2). Les ordinateurs qui ex�cutent Windows�XP avec un service pack n'ont pas � installer ce package de mise � jour.

Cette mise � jour am�liore notamment la s�curit�IP pour mieux prendre en charge les clients r�seau priv� virtuel qui se trouvent derri�re des p�riph�riques de traduction d'adresses r�seau (NAT, Network Address Translation). Si vous appliquez cette mise � jour � un ordinateur Windows�XP et que le service�IPsec rencontre une erreur d'ex�cution et ne peut pas d�marrer pour une raison quelconque, le pilote�IPsec fonctionne en mode blocage car il ne peut pas s�curiser le trafic r�seau.

Remarque Le service IPsec est r�pertori� sous le nom ��Services IPsec�� dans la liste des services syst�me.

Pour plus d'informations sur le dernier Service Pack Windows�XP, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft.

322389

(http://support.microsoft.com/kb/322389/ )

Comment faire pour obtenir le dernier service pack Windows XP

Sommaire de l'article

Nouvelles fonctionnalit�s IPsec et composants logiciels enfichables Gestion et Moniteur
Interop�rabilit� et probl�mes connus
Informations sur le service�pack Windows�XP
Mise � jour pour Windows�2000
R�f�rences

Retour au d�but | Envoyer des commentaires

Plus d'informations

Nouvelles fonctionnalit�s IPsec et composants logiciels enfichables Gestion et Moniteur

Une fois cette mise � jour install�e, les clients�L2TP/IPsec Windows�2000 et Windows�XP peuvent cr�er des connexions�IPsec derri�re un p�riph�rique NAT. La nouvelle fonctionnalit� IPsec NAT-T repose sur les RFC (Requests for Comments)�3193 et version 2 des documents ��drafts�� IPsec NAT-T de l'IETF. Les clients Windows�XP �quip�s du SP2 disposent �galement de cette option de connectivit� am�lior�e. IPsec NAT-T est actuellement sp�cifi� dans les RFC�3947 et�3948.
Le composant logiciel enfichable Moniteur IPsec mis � jour peut analyser les ordinateurs Windows�XP, � condition toutefois que le SP2 soit install� sur ceux-ci.
Le composant logiciel enfichable Moniteur IPsec mis � jour peut analyser les ordinateurs Microsoft Windows Server�2003. De m�me, Windows Server�2003 peut analyser les ordinateurs Windows�XP sur lesquels le SP2 est install�.
Ce composant logiciel enfichable ne permet pas toutefois d'analyser les ordinateurs Windows�2000.
Le nouveau composant logiciel enfichable Gestion IPsec passe en mode lecture seule lorsqu'il rencontre des objets de strat�gie qui contiennent des fonctionnalit�s avanc�es cr��es dans Windows Server�2003 (par exemple, DH2048, mappage de certificat ou filtres dynamiques). Il est alors impossible de modifier des objets enfichables (tels que des r�gles, des listes de filtres ou des offres de mode principal) qui contiennent des r�f�rences � ces nouveaux param�tres. Le composant logiciel enfichable Gestion IPsec passe en mode lecture seule pour emp�cher toute suppression accidentelle de fonctionnalit�s avanc�es critiques.
Les services IPsec mis � jour sur les ordinateurs Windows�XP peuvent exposer la plupart des nouvelles fonctionnalit�s qui sont fournies dans une strat�gie Windows Server�2003.

Remarque Le mappage de certificat n'est pas disponible.
Si une version pr�c�dente de l'outil IPseccmd est install�e sur un ordinateur Windows�XP (cet outil n'est pas disponible dans Windows�2000), une version mise � jour de l'outil IPseccmd est install�e dans le dossier lecteur:\Program Files\Support Tools.

L'outil IPseccmd mis � jour offre les fonctionnalit�s suivantes�:
- activation et d�sactivation dynamique de l'enregistrement dans le journal�IKE (Internet Key Exchange)�;
- affichage des informations sur une strat�gie actuellement assign�e�;
- il vous permet de cr�er une strat�gie IPsec permanente.
Remarque La version pr�c�dente de l'outil IPseccmd ne fonctionne pas sur les ordinateurs mis � jour et l'outil IPSeccmd mis � jour ne fonctionne pas sur les ordinateurs qui n'ont pas �t� mis � jour.

Interop�rabilit� et probl�mes connus

IPsec NAT-T et r�gles de pare-feu

Puisque la nouvelle fonctionnalit� IPsec NAT-T est bas�e sur les documents�RFC�3193 et version 2 des documents ��drafts�� Ipsec NAT-T de l'IETF, vous devez ouvrir les ports et protocoles suivants dans les r�gles de pare-feu pour que ces services puissent s'ex�cuter via un pare-feu�:

IKE (Internet Key Exchange) - UDP (User Datagram Protocol) 500
IPsec NAT-T - UDP�4500
ESP (Encapsulating Security Payload) - Protocole IP (Internet Protocol)�50

Sc�narios pris en charge utilisant IPsec NAT-T

Les sc�narios ci-dessous permettent le bon fonctionnement des connexions�IPsec NAT-T bas�es sur L2TP/IPsec. Dans ces sc�narios, Client est un client qui ex�cute Windows�2000 et dont la mise � jour�818043 est install�e ou est un ordinateur qui ex�cute Windows�XP SP2. Serveur est un serveur�L2TP/IPsec qui ex�cute Windows Server�2003 et qui utilise le service Routage et acc�s distant.

Client----> NAT ----Internet---->Serveur

Le seul sc�nario pris en charge et recommand� est lorsque le Serveur ne se situe pas derri�re un p�riph�rique NAT.
Le serveur�L2TP/IPsec doit �galement constituer une passerelle tierce prenant en charge les connexions NAT-T.

Remarque Si vous appliquez la mise � jour�818043 � un serveur Windows�2000 qui utilise le service Routage et acc�s distant, le serveur ne peut pas fonctionner en tant que serveur�L2TP/IPsec dans ce sc�nario. Il ne permet pas les connexions � partir de clients�L2TP/IPsec qui se trouvent derri�re un ou plusieurs p�riph�riques NAT. Il s'agit d'une mise � jour c�t� client uniquement. La fonctionnalit�IPsec NAT-T c�t� serveur est une nouvelle fonctionnalit� du service Routage et acc�s distant de Windows Server�2003 uniquement. La prise en charge�IPsec NAT-T c�t� serveur ne sera pas ajout�e au service Routage et acc�s distant de Windows�2000.

Mise � jour du groupe Diffie-Hellman�2048

Pour que les clients�L2TP/IPsec puissent n�gocier et utiliser la mise � jour du groupe Diffie-Hellman�2048, le serveur d'acc�s distant contact� doit �galement prendre en charge ce groupe.

Remarque Pour utiliser le groupe Diffie-Hellman�2048 si votre ordinateur ex�cute Windows Server�2003, vous devez cr�er une sous-cl� de Registre. Pour cela, proc�dez comme suit�:

Cliquez sur D�marrer, sur Ex�cuter, tapez regedit, puis cliquez sur OK.
Recherchez la sous-cl� de Registre suivante, puis cliquez dessus�:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters
Dans le menu Edition, pointez sur Nouveau, puis cliquez sur Valeur DWORD.
Tapez NegotiateDH2048, puis appuyez sur ENTR�E.
Cliquez avec le bouton droit sur NegotiateDH2048, puis cliquez sur Modifier.
Dans la zone Donn�es de la valeur, tapez�1, puis cliquez sur OK.
Dans le menu Registre, cliquez sur Quitter.

Autres

Mat�riel de d�chargement IPsec
Les cartes r�seau de d�chargement IPsec ne d�chargent pas les associations de s�curit� cr��es � l'aide de traducteurs�NAT.
Les nouvelles fonctionnalit�s ne s'affichent pas correctement
Les nouvelles fonctionnalit�s qui ont �t� activ�es par le biais d'une strat�gie IPsec Windows Server�2003 peuvent ne pas s'afficher correctement dans le Moniteur IPsec. Le groupe�DH2048 s'affiche notamment sous la forme�268435457 et les noms des filtres dynamiques (tels que WINS ou DHCP) ne s'affichent pas du tout (la colonne est vide).
Le composant�IKE de l'impl�mentation Windows d'IPsec utilise une fonction de l'API Winsock �tendue dont le pointeur de fonction est d�termin� en appelant WSAIoctl(). Si cet appel de fonction ne peut pas franchir un fournisseur de services superpos�s (LSP, Layered Service Provider) install�, IPsec ne peut pas �tre � l'�coute sur le port�IKE. IPsec interpr�te cela comme une d�faillance du composant et agit en cons�quence (le message ��chec du mode s�curis頻 est renvoy�). L'incapacit� du composant�IKE � franchir un fournisseur de services superpos�s peut �tre caus�e par un programme tiers install�.

Avertissement Des probl�mes s�rieux peuvent se produire si vous modifiez le Registre de fa�on incorrecte � l'aide de l'�diteur du Registre ou toute autre m�thode. Ces probl�mes peuvent vous obliger � r�installer votre syst�me d'exploitation. Microsoft ne peut pas garantir que ces probl�mes puissent �tre r�solus. Vous assumez l'ensemble des risques li�s � la modification du Registre. Pour modifier le comportement IPsec NAT-T d'un ordinateur Windows�XP�SP2, vous devez cr�er la valeur de Registre AssumeUDPEncapsulationContextOnSendRule.

Par d�faut, Windows�XP�SP2 ne prend plus en charge les associations de s�curit� IPsec NAT-T sur des serveurs qui se situent derri�re un traducteur d'adresses r�seau. Par cons�quent, si le serveur de votre r�seau priv� virtuel se trouve derri�re un traducteur d'adresses r�seau, par d�faut, un client VPN Windows�XP�SP2 ne peut pas �tablir une connexion L2TP/IPsec sur le serveur VPN. Ce sc�nario inclut un serveur VPN qui ex�cute Microsoft Windows Server�2003.

Ce comportement par d�faut peut �galement emp�cher les ordinateurs Windows�XP�SP2 d'�tablir des connexions Bureau � distance avec L2TP/IPsec lorsque l'ordinateur de destination se situe derri�re un traducteur d'adresses r�seau.

�tant donn� la fa�on dont les traducteurs d'adresses r�seau traduisent le trafic r�seau, vous pouvez constater des r�sultats inattendus lorsque vous placez un serveur derri�re un traducteur d'adresses r�seau et que vous utilisez ensuite IPsec NAT-T. Par cons�quent, si vous avez besoin de la s�curit� IP pour une communication, nous vous recommandons d'utiliser des adresses IP publiques pour tous les serveurs auxquels vous pouvez vous connecter directement � partir d'Internet.

Pour cr�er et configurer la valeur de Registre AssumeUDPEncapsulationContextOnSendRule, proc�dez comme suit�:

Cliquez sur D�marrer, sur Ex�cuter, tapez regedit, puis cliquez sur OK.
Recherchez la sous-cl� de Registre suivante, puis cliquez dessus�:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPsec
Dans le menu Edition, pointez sur Nouveau, puis cliquez sur Valeur DWORD.
Dans la zone Nouvelle valeur n�1, tapez AssumeUDPEncapsulationContextOnSendRule, puis appuyez sur ENTR�E.
Cliquez avec le bouton droit sur AssumeUDPEncapsulationContextOnSendRule, puis cliquez sur Modifier.
Dans la zone Donn�es de la valeur, tapez l'une des valeurs suivantes�:
- 0 (par d�faut)
  Une valeur de�0 (z�ro) configure Windows de sorte qu'il ne puisse pas �tablir d'associations de s�curit� avec des serveurs qui se situent derri�re des traducteurs d'adresses r�seau.
- 1
  Une valeur de�1 configure Windows de sorte qu'il puisse �tablir des associations de s�curit� avec des serveurs qui se situent derri�re des traducteurs d'adresses r�seau.
- 2
  Une valeur de�2 configure Windows de sorte qu'il puisse �tablir des associations de s�curit� lorsque le serveur et l'ordinateur client Windows�XP�SP2 se situent derri�re des traducteurs d'adresses r�seau.
Cliquez sur OK, puis quittez l'�diteur du Registre.
Red�marrez l'ordinateur.

Informations sur le service pack Windows�XP

Cette fonctionnalit� est disponible dans le dernier service pack pour Windows XP (SP2). Pour plus d'informations, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft.

322389

(http://support.microsoft.com/kb/322389/ )

Comment faire pour obtenir le dernier Service�Pack Windows�XP

Mise � jour de Windows�2000

Pour t�l�charger cette mise � jour de Windows�2000 et utiliser le Catalogue Microsoft Windows Update, reportez-vous au site Web de Microsoft � l'adresse suivante�:

http://v4.update.microsoft.com/catalog

(http://v4.update.microsoft.com/catalog)

Recherchez le num�ro d'identification de cet article � l'aide des Options de recherche avanc�e dans le Catalogue Windows Update. Pour cela, proc�dez comme suit�:

Sur le site Web Microsoft Windows Update, cliquez sur Rechercher des mises � jour pour les syst�mes d'exploitation Microsoft Windows.
S�lectionnez votre syst�me d'exploitation et votre langue, puis cliquez sur Recherche avanc�e.

Remarque Vous devez s�lectionner Windows�2000 Professionnel Service�Pack�3 ou Windows�2000 Professionnel Service�Pack�4. Si vous s�lectionnez un autre syst�me d'exploitation, la mise � jour n'appara�t pas dans les r�sultats de la recherche.
Dans la zone Contient ces termes, tapez 818043, puis cliquez sur Rechercher.

Pour plus d'informations sur la fa�on de t�l�charger des mises � jour � partir du Catalogue Windows�Update, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft.

323166

(http://support.microsoft.com/kb/323166/ )

Comment faire pour t�l�charger des mises � jour Windows et des pilotes � partir du Catalogue Windows Update

Conditions pr�alables

Ce package de mise � jour est con�u pour �tre install� sur des ordinateurs Windows�2000 Service Pack�3 (SP3) ou versions ult�rieures.

N�cessit� d'un red�marrage

Vous devez red�marrer votre ordinateur pour activer les nouvelles fonctionnalit�s IPsec.

Informations sur le remplacement de mise � jour

Cette mise � jour n'en remplace pas d'autre.

Informations sur les fichiers

La version anglaise de ce correctif logiciel poss�de les attributs de fichier indiqu�s dans le tableau suivant ou ceux d'une version ult�rieure. Les date et heure de cr�ation de ces fichiers sont exprim�es en temps universel coordonn� (UTC). Lorsque vous affichez les informations des fichiers, elles sont converties en date et heure locales. Pour conna�tre le d�calage entre l'heure UTC et l'heure locale, utilisez l'onglet Fuseau horaire de l'outil Date et heure du Panneau de configuration.

   Date        Heure  Version        Taille   Nom de fichier
   ----------------------------------------------------------------
   18/09/00  19:01  5.0.2195.1569   33�616  Fips.sys
   21/04/03  15:19  5.0.2195.6738   80�848  Ipsec.sys
   21/04/03  15:19  5.0.2195.6738   29�456  Ipsecmon.exe     
   21/04/03  15:21  5.0.2195.6738  390�928  Netdiag.exe      
   01/05/03  21:39  5.0.2195.6738  417�552  Oakley.dll       
   01/05/03  21:39  5.0.2195.6738   96�528  Polagent.dll     
   01/05/03  21:39  5.0.2195.6738  137�488  Polstore.dll     
   01/05/03  21:39  5.0.2195.6738   58�128  Rasman.dll       
   01/05/03  21:39  5.0.2195.6738  153�360  Rasmans.dll      
   01/05/03  21:39  5.0.2195.6738   54�032  Rastapi.dll      
   21/04/03  15:19  5.0.2195.6738   80�848  Ipsec.sys  (56�bits)

Retour au d�but | Envoyer des commentaires

R�f�rences

Pour plus d'informations, cliquez sur les num�ros ci-dessous pour afficher les articles correspondants dans la Base de connaissances Microsoft.

314067

(http://support.microsoft.com/kb/314067/ )

Comment faire pour r�soudre les probl�mes de connectivit� TCP/IP dans Windows�XP

257225

(http://support.microsoft.com/kb/257225/ )

R�solution �l�mentaire des probl�mes li�s � IPSec sous Windows�2000�Server

816915

(http://support.microsoft.com/kb/816915/ )

Nouveau mod�le d'affectation de noms pour les packages de correctifs logiciels Microsoft Windows

Retour au d�but | Envoyer des commentaires

Propri�t�s

Num�ro d'article: 818043 - Derni�re mise � jour: mercredi 18 mai 2011 - Version: 19.0

Les informations contenues dans cet article s'appliquent au(x) produit(s) suivant(s):

Microsoft Windows XP Professional
Microsoft Windows XP �dition familiale
Microsoft Windows 2000 Professionnel

atdownload kbwinxpsp2fix kbdownload kbenv kbwinxppresp2fix kbbug kbfix kbqfe kbwin2000presp5fix KB818043

L'INFORMATION CONTENUE DANS CE DOCUMENT EST FOURNIE PAR MICROSOFT SANS GARANTIE D'AUCUNE SORTE, EXPLICITE OU IMPLICITE. L'UTILISATEUR ASSUME LE RISQUE DE L'UTILISATION DU CONTENU DE CE DOCUMENT. CE DOCUMENT NE PEUT ETRE REVENDU OU CEDE EN ECHANGE D'UN QUELCONQUE PROFIT.

Retour au d�but | Envoyer des commentaires