Rasman что это за служба

Исправляем проблемы с VPN подключением в Windows 10 1903

date

02.03.2022

user

itpro

Не появляется запрос пароля для L2TP VPN подключения

Такое ощущение, что в этом диалоге VPN подключения почему-то блокируется вывод окна с запросом данных пользователя. В результате VPN подключение никак не может завершиться

Есть обходное решение этой проблемы. Попробуйте использовать для установления VPN подключения старую-добрую Windows утилиту rasphone.exe, которая все еще присутствует в современных версиях Windows 10 (эта утилита должна быть знакома всем тем, кто пользовался dial-up подключением в Windows).

Запустите утилиту: Win+R -> C:\Windows\System32\rasphone.exe
Выберите ваше VPN подключение и нажмите кнопку “Подключить”;
После этого появится стандартное окно с указанием имени пользователя и пароля для VPN подключения;
VPN туннель должен успешно подняться.

Для удобства пользователей вы можете вынести ярлык на rasphone.exe на рабочий стол. Для автоматического подключения вы можете указать в настройках ярлыка имя вашего VPN подключения так: C:\WINDOWS\system32\rasphone.exe -d «VPN Name» (название VPN подключения можно взять из Control Panel -> Network Adapters и взять его в кавычки, если оно содержит пробелы в имени).

автоматическое vpn подключение rasphone.exe -d

Что интересно, проблема возникает только c L2TP подключением (даже при включенном настроенном параметре реестра AssumeUDPEncapsulationContextOnSendRule = 2). Другое VPN подключение на этом же компьютере, но с протоколом PPTP и типом аутентификации MS-CHAP v2 работает нормально

Ошибка RASMAN для Always on VPN

Другая проблема возникает с VPN подключением к корпоративной сети в режиме Always on VPN (AOVPN). При инициализации такого VPN подключения служба RASMAN (Remote Access Connections Manager) останавливается, а в журнале событий Application появляется событие с Event ID 1000 и текстом:

“Faulting application name: svchost.exe_RasMan…”, “Faulting module name: rasmans.dll”, и “Exception code: 0xc0000005”.

ошибка RASMAN 0xc0000005Faulting application name: svchost.exe_RasMan…”, “Faulting module name: rasmans.dll

Эта проблема признана Microsoft и по последним данным исправлена в октябрьском обновлении для Windows 10 1903 — KB4522355 (https://support.microsoft.com/en-us/help/4522355/windows-10-update-kb4522355). Вы можете скачать и установить данное обновление вручную или через Windows Update/WSUS.

Если обновление не исправило проблему, попробуйте переустановите виртуальные адаптеры WAN miniports в диспетчере устройств.

Запустите Device manager (devmgmt.msc);
Разверните секцию Network Adapters
Последовательно щелкните правой кнопкой по следующим адаптерам и удалите их (Uninstall device): WAN Miniport (IP), WAN Miniport(IPv6) и WAN Miniport (PPTP).
После удаления выберите в меню Action -> Scan for Hardware changes и дождитесь, пока Windows не обнаружит и не установит драйвера для этих виртуальных устройств;
После этого сбросьте сетевые настройки Windows 10 : Settings -> Network & Internet -> Network Reset ->Reset now;
Теперь вам нужно пересоздать ваши VPN подключения (Руководство по VPN для начинающих) и проверить подключение.

Изначально проблема с режимом Always on VPN подключением была связана с тем, что пользователь отключил на компьютере телеметрию (эх, Microsoft). Для корректной работы Always on VPN подключения вам придется временного включить телеметрию на компьютере. Для включения телеметрии вы можете воспользоваться одним из способов, описанных ниже.

Способ 1. Откройте редактор локальных политики (gpedit.msc) и перейдте в секцию Computer Configuration -> Administrative Templates –> Windows Components -> Data Collection and Preview Builds.

политика Allow Telemetry в windows

Найдите и включите политику Allow Telemetry = Enabled. Установите один из следующих режимов: 1 (Basic), 2 (Enhanced) или 3 (Full).

Способ 2. Того же самого эффекта можно добиться, вручную изменив параметр реестра AllowTelemetry (тип REG_DWORD) в ветке HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DataCollection. Здесь также нужно установить одно из трех значение: 1, 2 или 3.

Вы можете изменить этот параметр с помощью редактора реестра (regedit.exe) или с помощью PowerShell-командлета New-ItemProperty:

New-ItemProperty -Path ‘HKLM:\SOFTWARE\Policies\Microsoft\Windows\DataCollection\’ -Name AllowTelemetry -PropertyType DWORD -Value 1 –Force

После этого нужно перезапустить службу Remote Access Connection Manager (RasMan) через консоль services.msc или с помощью командлета Restart-Service:

Restart-Service RasMan -PassThru

При одключении от VPN пропадает Интернет

Также в Windows 10 был другой баг, когда после отключения от VPN переставал работать доступ в Интернет. Проблема решалась созданием маршрута по-умолчанию или отключением/включением виртуального адаптера WAN Miniport (IP).

Предыдущая статья Следующая статья

Читайте далее в разделе Windows 10

page

Windows не видит компьютеры в сетевом окружении

Ошибка: не найден сетевой путь в Windows (0x80070035)

Защита RDP от подбора паролей с блокировкой IP правилами Windows Firewall

Теневое подключение к рабочему столу (сеансу) пользователя Windows

Rasman Driver

Posters

76 Сообщений:

Отправлено 10 Октябрь 2009 — 08:33

Здравствуйте. Здравствуйте. Иногда кое-какое приложение пробует загрузить RASMAN драйвер (Outpust сказал). К примеру ДрВеб Updater пробовал загрузить его. Что это? Вирус-троян?
Спасибо.

#2 Алексей.

Posters

680 Сообщений:

Отправлено 10 Октябрь 2009 — 11:37

Здравствуйте. Здравствуйте. Иногда кое-какое приложение пробует загрузить RASMAN драйвер (Outpust сказал). К примеру ДрВеб Updater пробовал загрузить его. Что это? Вирус-троян?
Спасибо.

Вот что нашел в поиске по слову «RASMAN» в инете: RasMan

Читают тему: 0

0 пользователей, 0 гостей, 0 скрытых

Ответить на цитированные сообщения Очистить

Dr.Web forum
→ Русские форумы
→ Свободное общение
Privacy Policy
Terms & Rules ·

Сменить тему
- Doctor Web mobile
- Doctor Web 7.0
- Doctor Web 6.0 (classic)
- Doctor Web 11 (beta)
RU
- EN
- FR
- RU
- DE
Отметить все сообщения форума как прочитанные
- Отметить все как прочитанное
Помощь

Повышение безопасности путем оптимизации сервисов

Сетевой экран (брандмауэр, firewall). Сейчас трудно найти пользователя компьютера, который не знает назначения данного программного девайса. Практически любой скажет, что сетевой экран — это программа, необходимая для безопасной работы в сети. Но не каждый знает, каким образом это достигается. А достигается безопасность путем проведения комплекса мероприятий, куда входит фильтрация трафика, контроль программ, контроль портов и т.д.

Сегодня я бы хотел подробнее остановиться именно на портах. Ведь открытый порт — это отверстие в вашей системе безопасности, через которое, как выражается один мой хороший друг, не только все слышно, но и видно. В детище дяди Билла открытый порт обычно говорит о том, что его юзает какая-то служба. Служб у винды немало, но при этом, думаю, многие со мной согласятся, что большая часть их никак не используется домашним пользователем. Тут возникает справедливый вопрос: а используют ли они ресурсы машины? Ответ: конечно, да! Исходя из вышесказанного, получаем такую картину: служба, совершенно нам не нужная, потребляет драгоценные ресурсы компьютера и при этом еще и держит открытым порт, чтобы всякие «нехорошие дядьки» шарили по нашей машине как по своей. И что делать? А ведь все проще простого: службу надо просто отключить.

Утилиты для работы со службами

Работать со службами можно двумя способами: используя утилиту services.msc или пользуясь командой «net start» в командной строке. Если с первой разберется любой, то по второй, я полагаю, не помешает небольшой комментарий на тему, что да как. Сложного ничего нет. Ввод этой команды без дополнительных параметров спровоцирует вывод на экран всех запущенных служб (см. рис. 1). Синтаксис довольно простой: вводим net start имя_службы. При работе в командной строке можно использовать либо приведенные ниже сокращения, либо полные русские названия служб, взятые в скобки типа «»:

Alerter — оповещатель;
Browser — обозреватель компьютеров;
Nwcworkstation — клиент для сетей NetWare;
Clipsrv — сервер папки обмена;
DHCP — DHCP-клиент;
Evebtlog — журнал событий;
Messenger — служба сообщений;
Netlogon — сетевой вход в систему;
NTLMSSP — поставщик поддержки безопасности NT LM;
RASMAN — диспетчер подключений удаленного доступа;
Remoteaccess — маршрутизация и удаленный доступ;
RPClocator — локатор удаленного вызова процедур RPC;
RPCSS — удаленный вызов процедур RPC;
SCHEDULE — планировщик заданий;
Server — сервер;
Spooler — диспетчер очереди печати;
Lmhosts — поддержка NetBIOS через TCP/IP;
UPS — источник бесперебойного питания;
Workstation — рабочая станция.

Итак, как видим, пользуясь командной строкой, вы можете остановить и запустить службы или просмотреть, какие из них работают на вашей машине. Но для более детальной работы со службами вам необходима утилита services.msc (см. рис. 2).

Кого казнить, а кого помиловать?

Итак, теперь стоит вполне справедливый вопрос: какие службы отключить, а какие — нет? Ну, тут надо смотреть, исходя из потребностей каждого конкретного пользователя. И имейте в виду, что некоторым службам для нормального функционирования необходимы дополнительные службы во включенном состоянии. Поэтому внимательно читайте выскакивающие уведомления;). Начнем.

Adobe LM Service — по умолчанию служба отключена. Тип запуска поставлен на ручной. Ничего менять не будем.

Anti Hotkey Poller — служба по умолчанию работает. Функция отключения в контекстном меню отсутствует.

ATI Smart — по умолчанию отключена. Трогать не будем.

Bluetooth Service — эта вещь работает. Тут думать нечего: если часто пользуетесь «зубами», то, дабы не создавать себе лишних осложнений, не отключайте.

DHCP-клиент — данная служба управляет конфигурацией сети посредством регистрации и обновления IP-адресов и DNS-имен. Пусть работает, т.к. у нас достаточно много нужд, удовлетворяемых посредством работы с IP-адресами.

DNS-клиент — данная служба разрешает DNS-имена для этого компьютера. Мне она нужна, да и вам, думаю, не помешает.

MS Software Shadow Copy Provider — управление теневыми копиями тома. По умолчанию отключена. Пусть так и остается.

MSCSPTISRV — по умолчанию.

NetMeeting Remote Desktop Sharing — эта служба разрешает проверенным пользователям посредством программы NetMeeting получать удаленный доступ к рабочему столу Windows. Если кому-то это необходимо, в чем я сомневаюсь, то пусть включит. Мы же оставим ее в значении по дефолту, т.е. отключенной.

PACSPTISVR — оставляем по дефолту.

Plug and Play — думаю, комментарии излишни. Конечно, включена.

Portable Media Serial Number Service — из названия видно, что она нам ни к чему.

QoS RSVP — обеспечивает рассылку оповещений в сети и управление локальным трафиком для QoS-программ и управляющих программ. Обычному пользователю она не нужна; значение — выключена.

Telnet — служба, позволяющая удаленному пользователю входить в систему и запускать программы. Нужна немногим, но тем, кому необходима, я бы советовал включать по мере надобности.

Windows Audio — управление звуковыми устройствами для Windows-программ. По умолчанию работает. А без звука туговато будет. Оставляем… Windows Installer — думаю, всем понятно, что это такое. Я бы советовал включать только при необходимости.

Автоматическое обновление — пожалуй, самый «вредный» сервис, хотя… с какой стороны посмотреть. В общем, тут сами решение принимайте; я отключу.

Адаптер производительности WMI — не работает, ну и пусть.

Беспроводная настройка — автоматическая настройка 802.11-адаптеров. Тут все зависит от того, есть у вас вышеописанный адаптер или же нет. Брандмауэр Windows/Общий доступ к Интернету (ICS) — обеспечивает поддержку служб трансляции адресов, адресации и размещения имен или предотвращает вторжение служб в домашней сети или сети небольшого офиса.

Веб-клиент — сервис, использующийся программами для изменения документов, хранящихся в сети Интернет. Веб-мастерам очень необходима, но другим ни к чему.

Вторичный вход в систему — вот эта вещь нам понадобится. Я думаю, что многие, работая от пользователя, запускали отдельные приложения путем нажатия правой кнопки мыши и выбора пункта Запуск от имени…

Диспетчер автоподключений удаленного доступа — создает подключения к удаленной сети, когда программа обращается к удаленному DNS- или NetBIOS- имени или адресу. Оставляем по дефолту.

Диспетчер логических дисков — обнаружение и наблюдение за новыми жесткими дисками и передача информации службе диспетчера логических дисков. По дефолту включена. Ресурсы потребляет, а польза от нее только при подключении нового винчестера. Короче, отключаем.

Диспетчер очереди печати — загружает в память файлы для последующей печати. В общем-то, она необходима только тогда, когда мы пользуемся принтером. Так что распечатали и выключили. Пусть чуть-чуть неудобно, зато машина побыстрее работает.

Диспетчер подключений удаленного доступа — создание сетевых подключений. По дефолту работает. Если вы активно ее юзаете, то пусть работает, в противном случае отключаем.

Диспетчер сеанса справки для удаленного рабочего стола — остановка означает невозможность работы с Удаленным помощником. По дефолту служба стоит — пусть стоит.

Диспетчер сетевого DDE — управляет общими сетевыми ресурсами динамического обмена данными DDE. Вероятность того, что кому-то это надо, весьма мала — отключена.

Диспетчер учетных записей безопасности — хранение информации о безопасности для учетной записи локального пользователя. Остановить эту службу нельзя, поэтому оставляем запущенной.

Журнал событий — поддержка сообщений журналов событий. Отключение запрещено системой.

Запуск серверных процессов DCOM — для работы с сетью (любой) данная служба понадобится.

Защищенное хранилище — обеспечивает защищенное хранение секретных данных — таких, как закрытые ключи — для предотвращения несанкционированного доступа служб, процессов или пользователей. Отключение этой службы повлечет не поднятие уровня безопасности, а, наоборот, его падение.

Инструментарий управления Windows — по дефолту.

Клиент отслеживания изменившихся связей — поддержка связи NTFS-файлов, перемещаемых в пределах компьютера или между компьютерами в домене. Дефолт.

Модуль поддержки NetBIOS через TCP/IP — на мой взгляд, редкий пользователь (именно пользователь) использует NetBIOS, поэтому отключаем. Планировщик заданий — однозначно отключаем.

Рабочая станция — обеспечение поддержки сетевых подключений и связь. По дефолту.

Сервер — доступ к расшаренным ресурсам через сетевое подключение. Тут сами смотрите. Если предоставляете своим товарищам возможность скачивать информацию с вашего компьютера, то эта служба вам пригодится.

Сетевые подключения — по умолчанию.

Служба восстановления системы — выполнение функций восстановления системы.

Служба времени Windows — синхронизация даты и времени на всех клиентах и серверах сети. Отключаем.

Служба сетевого расположения (NLA) — собирает и хранит сведения о размещении и настройке сети. Собственно, данная служба не так и нужна.

Службы IPSEC — управление политикой IP-безопасности и запуск ISAKMP/Oakkey (IKE) и драйвера IP-безопасности.

Службы криптографии — предоставляет три службы управления: службу баз данных каталога, которая проверяет цифровые подписи файлов Windows; службу защищенного корня, которая добавляет и удаляет сертификаты доверенного корня центра сертификации; службу ключей, которая позволяет подавать заявки на сертификаты.

Службы терминалов — предоставляет возможность нескольким пользователям интерактивно подключаться к компьютеру и отображает рабочий стол и приложения на удаленных компьютерах. Отключаем.

Уведомление о системных событиях — протоколирует системные события — такие, как регистрация в Windows — в сети и изменения в подаче электропитания. Отключаем.

Удаленный вызов процедур (RPC) — обеспечивает сопоставление конечных точек и иных служб RPC.

Удаленный реестр — позволяет удаленным пользователям изменять параметры реестра на этом компьютере. Отключаем незамедлительно.

Центр обеспечения безопасности — ведет наблюдение за настройками и параметрами безопасности системы. Оставляем.

Сетевой вход в систему — поддерживает сквозную идентификацию событий входа учетной записи для компьютеров домена. По дефолту.

Вот рекомендации по работе некоторых служб. Хочу напомнить, что количество служб может изменяться в зависимости от установки программ, оборудования и т.д. Например, установка антивируса, скажем, Касперского влечет за собой появление соответствующей службы.

Возможности services.msc

Утилита предоставляет пользователю довольно большие возможности. Давайте рассмотрим некоторые ее свойства и значения параметров. Основное окно программы, как видно из скринсейвера, правое. Есть два основных режима работы: стандартный и расширенный. В расширенном режиме к каждой службе дается краткое пояснение о ее предназначении, анализируя которое, пользователь может сделать вывод о том, необходима она ему или нет. Список служб представлен в виде таблицы. Поподробней хотелось бы остановиться на колонке Тип запуска. Существует три типа запуска: автоматически, вручную и отключено. Сразу хочу сказать, что ни один из них не влияет на загрузку службы при запуске системы. Параметр Авто означает, что система в случае надобности сама включит службу. Параметр Вручную дает возможность пользователю самому включать службу, если вдруг она понадобилась. Весьма интересна вкладка Свойства в контекстном меню. Окно свойств состоит из четырех пунктов: общие, вход в систему, восстановление и зависимости. В пункте Общие мы можем узнать сокращенное имя службы, использующееся при работе с командой net start, адрес файла- ядра службы, а также тип запуска. Вход в систему позволяет настроить Автозагрузку службы. На выбор предоставляются два варианта загрузки: с системной учетной записью и с учетной записью, определенной пользователем. Также из этого пункта можно запретить или разрешить загрузку службы с определенными профилями оборудования. Восстановление определяет действия компьютера при сбое службы. Действия можно определить в три последовательности: первый сбой, второй сбой и последующие сбои. Возможен сброс счетчика сбоев через определенное количество дней. Последний пункт называется Зависимости и содержит список компонентов, от которых зависит служба, и список компонентов, которые зависят от службы. Работу по остановке, запуске, приостановке и т.д. можно осуществлять из контекстного меню, вызванного правой клавишей мыши. В меню окна Действие имеются две интересные закладки, которые будут полезны в первую очередь системному администратору. Это Подключиться к другому компьютеру и Отправить сообщение консоли. Особенно полезна первая (см. рис. 3).

Управление автозагрузкой служб

Для редактирования списка автозагрузки служб используется утилита конфигурирования системы, которая вызывается вводом команды msconfig в консоли Выполнить. Утилита довольно проста в управлении, и, я думаю, практически все пользовались ей для редактирования списка автозагрузки программ. После появления главного окна утилиты выбираем пункт Службы (см. рис. 4) и приступаем к редактированию. У утилиты имеется очень интересная настройка, которая располагается внизу и носит название Не отображать службы Майкрософт. С помощью этой функции очень удобно вычислять службы сторонних программ.

Как уже говорилось, каждая служба которая так или иначе использует сеть, работает с портом. Порт же — это лазейка. Для наглядности предоставляю два скринсейвера (см. рис. 5, 6), показывающих открытые порты до отключения служб и после. Отсюда следует, что ненужные службы следует выключить (от греха подальше:)). Однако главное — не переусердствовать.

Если вы не знаете, как поведет себя компьютер после отключения конкретной службы, то лучше этого не делать. Но эксперементировать все-таки можно, т.к. перезагрузка компьютера возвратит службы к жизни.

Да и если найти оптимальный для вас вариант работающих служб, можно довольно ощутимо ускорить работу системы. Поэтому не пожалейте пару часиков и проверьте ваши службы:).

Евгений Кучук, Spider Agent, spideragent@tut.by

Компьютерная газета. Статья была опубликована в номере 44 за 2006 год в рубрике безопасность

VPN для удаленного доступа клиентов (Remote access VPN)

[u]text[/u] — Подчеркнутый текст.

[i]text[/i] — Курсивный текст.

[s]text[/s] — ~~Зачеркнутый~~ текст.

[color=green]text[/color] — Цветной текст.

[url=kbpublisher.com]text[/url] — text

[quote]text[/quote] — Цитируемый текст

[h1]text[/h1] — Заголовок.

[code]text[/code] — Код text

[list]
[*] пункт1
[*] пункт2
[/list]

пункт 1
пункт 2

[ulist]
[*] пункт1
[*] пункт2
[/ulist]

пункт 1
пункт 2

Documentation:
Version: 7.0.1, 6.1.9, 5.x

Для подключения VPN-клиентов к корпоративной сети необходимо настроить UserGate для выполнения роли VPN-сервера. Для этого необходимо выполнить следующие шаги:

Шаг 1. Разрешить сервис VPN на зоне, к которой будут подключаться VPN-клиенты.

В разделе Сеть ➜ Зоны отредактировать параметры контроля доступа для той зоны, к которой будут подключаться VPN-клиенты, разрешить сервис VPN. Как правило, это зона Untrusted.

Шаг 2. Создать зону, в которую будут помещены подключаемые по VPN клиенты.

В разделе Сеть ➜ Зоны создать зону, в которую будут помещены подключаемые по VPN клиенты. Эту зону в дальнейшем можно использовать в политиках безопасности.

Рекомендуется использовать уже существующую по умолчанию зону VPN for remote access.

Шаг 3. Создать правило NAT для созданной зоны.

Клиенты подключаются к VPN с использованием Point-to-Point протокола. Чтобы трафик мог ходить из созданной на предыдущем шаге зоны, необходимо создать правило NAT из этой зоны во все необходимые зоны. Создайте соответствующее правило в разделе Политики сети ➜ NAT и маршрутизация.

По умолчанию в UserGate создано правило NAT from VPN for remote access to Trusted and Untrusted, разрешающее наттирование из зоны VPN for remote access в зоны Trusted и Untrusted.

Шаг 4. Создать разрешающее правило межсетевого экрана для трафика из созданной зоны.

В разделе Политики сети ➜ Межсетевой экран создать правило межсетевого экрана, разрешающее трафик из созданной зоны в другие зоны.

По умолчанию в UserGate создано правило межсетевого экрана VPN for remote access to Trusted and Untrusted, разрешающее весь трафик из зоны VPN for remote access в зоны Trusted и Untrusted.

Шаг 5. Создать профиль аутентификации.

В разделе Пользователи и устройства ➜ Профили аутентификации создать профиль авторизации для пользователей VPN. Допускается использовать тот же профиль авторизации, что используется для авторизации пользователей для получения доступа к сети интернет. Следует учесть, что для авторизации VPN нельзя использовать методы прозрачной авторизации, такие как Kerberos, NTLM, SAML IDP.

VPN поддерживает многофакторную аутентификацию. Второй фактор может быть получен через одноразовые коды TOTP. Для ввода второго фактора аутентификации пользователь при подключении к VPN серверу должен указать свой пароль в виде:

где пароль — это пароль пользователя

одноразовый_код — второй фактор аутентификации.

Подробно о профилях авторизации смотрите в разделе данного руководства Профили аутентификации.

Внимание! В версиях UserGate старше 6.1.8 данный раздел носит название Профили авторизации

Шаг 6. Создать профиль безопасности VPN.

Профиль безопасности VPN определяет такие настройки, как общий ключ шифрования (pre-shared key) и алгоритмы для шифрования и аутентификации. Допускается иметь несколько профилей и использовать их для построения соединений с разными типами клиентов.

Для создания профиля необходимо перейти в раздел VPN ➜ Профили безопасности VPN, нажать кнопку Добавить и заполнить следующие поля:

Название — название профиля безопасности.
Описание — описание профиля.
Версия протокола IKE (Internet Key Exchange). Протокол IKE используется для создания защищённого канала связи между двумя сетями. В UserGate используется IKEv1.
Режим IKE: Основной или Агрессивный. Разница между режимами: в агрессивном режиме используется меньшее количество пакетов, что позволяет достичь более быстрого установления соединения. Агрессивный режим не передает некоторые параметры согласования, что требует предварительной идентичной настройки их на точках подключения.
- Основной режим. В основном режиме происходит обмен шестью сообщениями. Во время первого обмена (сообщения 1 и 2) происходит согласование алгоритмов шифрования и аутентификации. Второй обмен (сообщения 3 и 4) предназначен для обмена ключами Диффи-Хеллмана (DH). После второго обмена служба IKE на каждом из устройств создаёт основной ключ, который будет использоваться для защиты проверки подлинности. Третий обмен (сообщения 5 и 6) предусматривает аутентификацию инициатора соединения и получателя (проверка подлинности); информация защищена алгоритмом шифрования, установленным ранее.
- Агрессивный режим. В агрессивном режиме происходит 2 обмена, всего 3 сообщения. В первом сообщении инициатор передаёт информацию, соответствующую сообщениям 1 и 3 основного режима, т.е. информацию об алгоритмах шифрования и аутентификации и ключ DH. Второе сообщение предназначено для передачи получателем информации, соответствующей сообщениям 2 и 4 основного режима, а также аутентификации получателя. Третье сообщение аутентифицирует инициатора и подтверждает обмен.
Далее необходимо задать параметры первой и второй фаз согласования.

Во время первой фазы происходит согласование защиты IKE. Аутентификация происходит на основе общего ключа в режиме, выбранном ранее. Необходимо указать следующие параметры:
- Время жизни ключа. По истечению данного времени происходят повторные аутентификация и согласование настроек первой фазы.
- Интервал проверки dead peer detection — для проверки состояния и доступности соседних устройств используется механизм Dead Peer Detection (DPD). DPD периодически отправляет сообщения R-U-THERE для проверки доступности IPsec-соседа. Минимальный интервал проверки: 10 секунд; значение 0 отключает проверку.
- Неудачных попыток — максимальное количество запросов обнаружения недоступных IPsec-соседей, которое необходимо отправить до того, как IPsec-сосед будет признан недоступным.
- Diffie-Hellman группы: выбор группы Диффи-Хеллмана, которая будет использоваться для обмена ключами. Сам ключ не передаётся, а передаются общие сведения, необходимые алгоритму определения ключа DH для создания общего секретного ключа. Чем больше номер группы Диффи-Хеллмана, тем больше бит используется для обеспечения надёжности ключа.
- Алгоритмы авторизации и шифрования. Алгоритмы используются в порядке, в котором они отображены. Для изменения порядка перетащите необходимую пару вверх/вниз или используйте кнопки Выше/Ниже.
ВажноПри работе с операционными системами Windows и Android необходимо отключать проверку dead peer detection.

Во второй фазе осуществляется выбор способа защиты IPsec подключения. Необходимо указать:
- Время жизни ключа. По истечению данного времени узлы должны сменить ключ шифрования. Время жизни, заданное во второй фазе, меньше, чем у первой фазы, т.к. ключ необходимо менять чаще.
- Максимальный размер данных, шифруемых одним ключом. Время жизни ключа может быть задано в байтах. Если заданы оба значения (Время жизни ключа и Максимальный размер данных, шифруемых одним ключом), то счётчик, первый достигнувший лимита, запустит пересоздание ключей сессии.
- Алгоритмы авторизации и шифрования. Алгоритмы используются в порядке, котором они отображены. Для изменения порядка перетащите необходимую пару вверх/вниз или используйте кнопки Выше/Ниже.
По умолчанию в UserGate создан серверный профиль Remote access VPN profile, задающий необходимые настройки. Если вы собираетесь использовать этот профиль, то необходимо изменить общий ключ шифрования.

Для упрощения настройки соединения с устройствами других вендоров по умолчанию созданы дополнительные профили безопасности (Cisco compatible VPN profile — для работы с устройствами Cisco и Fortinet compatible VPN profile — для работы с устройствами Fortinet).

Шаг 7. Создать VPN-интерфейс .

VPN-интерфейс — это виртуальный сетевой адаптер, который будет использоваться для подключения клиентов VPN. Данный тип интерфейса является кластерным, это означает, что он будет автоматически создаваться на всех узлах UserGate, входящих в кластер конфигурации. При наличии кластера отказоустойчивости клиенты VPN будут автоматически переключаться на запасной сервер в случае обнаружения проблем с активным сервером без разрыва существующих VPN-соединений.

В разделе Сеть ➜ Интерфейсы нажмите кнопку Добавить и выберите Добавить VPN. Задайте следующие параметры:
- Название — название интерфейса, должно быть в виде tunnelN, где N — это порядковый номер VPN-интерфейса.
- Описание — описание интерфейса.
- Зона — зона, к которой будет относится данный интерфейс. Все клиенты, подключившиеся по VPN к серверу UserGate, будут также помещены в эту зону. Укажите зону, созданную на шаге 2.
- Профиль Netflow — профиль Netflow, используемый для данного интерфейса. Не обязательный параметр.
- Режим — тип присвоения IP-адреса — без адреса, статический IP-адрес или динамический IP-адрес , полученный по DHCP . Если интерфейс предполагается использовать для приема VPN-подключений (Site-2-Site VPN или Remote access VPN, то необходимо использовать статический IP-адрес .
- MTU — размер MTU для выбранного интерфейса.
По умолчанию в системе уже создан VPN-интерфейс tunnel1, который рекомендовано использовать для Remote access VPN.

Шаг 8. Создать сеть VPN.

VPN-сеть определяет сетевые настройки, которые будут использованы при подключении клиента к серверу. Это в первую очередь назначение IP-адресов клиентам внутри туннеля, настройки DNS и — опционально — маршруты, которые будут переданы клиентам для применения, если клиенты поддерживают применение назначенных ему маршрутов. Допускается иметь несколько туннелей с разными настройками для разных клиентов.

Для создания туннеля VPN перейдите в раздел VPN ➜ Сети VPN, нажмите кнопку Добавить и заполните следующие поля:
- Название — название сети.
- Описание — описание сети.
- Диапазон IP-адресов, которые будут использованы клиентами и сервером. Исключите из диапазона адреса, которые назначены VPN-интерфейсу, используемому совместно с данной сетью. Не указывайте здесь адреса сети и широковещательный адрес.
- Укажите DNS-серверы, которые будут переданы клиенту, или отметьте чекбокс Использовать системные DNS , в этом случае клиенту будут назначены DNS-серверы, которые использует UserGate.
Важно! Можно указать не более двух DNS-серверов.

В UserGate создана сеть Remote access VPN network с рекомендуемыми настройками.

Шаг 9. Создать серверное правило VPN.

Создать серверное правило VPN, используя в нем созданные ранее сеть VPN, интерфейс VPN и профиль VPN. Для создания правила необходимо перейти в раздел VPN ➜ Серверные правила, нажать кнопку Добавить и заполнить следующие поля:
- Включено — включает/отключает правило.
- Название — название правила.
- Описание — описание правила.
- Профиль безопасности — профиль безопасности, созданный ранее.
- Сеть VPN — сеть VPN, созданная ранее.
- Профиль авторизации — профиль авторизации, созданный ранее.
- URL инициализации TOTP — url , по которому пользователь может провести первоначальную инициализацию своего TOTP-устройства в случае, если настроена многофакторная авторизация TOTP для авторизации VPN.
- Интерфейс — интерфейс VPN, созданный ранее.
- Источник — зоны и адреса, с которых разрешено принимать подключения к VPN. Как правило, клиенты находятся в сети интернет, следовательно, следует указать зону Untrusted.
Важно! Обработка трафика происходит по следующей логике:
— условия объединяются по ИЛИ, если указаны несколько списков IP-адресов и/или доменов;
— условия объединяются по И, если указаны GeoIP и списки IP-адресов и/или доменов.

По умолчанию в UserGate создано серверное правило Remote access VPN rule, в котором используются необходимые настройки для Remote Access VPN, а доступ к VPN разрешен членам локальной группы VPN users.

Важно! Для применения различных серверных правил к разным клиентам необходимо использовать параметры Исходная зона и Адрес источника. Параметр Пользователь не является условием выбора серверного правила, проверка пользователя происходит уже после установления соединения VPN.

Шаг 10. Настроить VPN на клиентском компьютере.

Для настройки клиентского подключения к VPN на компьютере пользователя необходимо указать следующие параметры:
- Используйте тип подключения VPN — L2TP over IPSec.
- В качестве IP-адреса VPN-сервера укажите IP-адрес интерфейса зоны, указанной на шаге 1.
- В качестве общего ключа (pre-shared key, shared secret) используйте общий ключ, указанный вами на шаге 6.
- Укажите протокол PAP для авторизации пользователя.
- В качестве имени пользователя укажите имя учетной записи пользователя в формате username @ domain, например, testuser @ testdomain . loc
- В настройках VPN-подключения отключите использование основного шлюза в удалённой сети.
Важно! Операционные системы Microsoft Windows требуют изменения параметров реестра для корректной работы с VPN-сервером L2TP/IPSec.

Операционные системы Windows версий 10 и выше, по умолчанию, не поддерживают L2TP-подключения к серверам, которые находятся за вышестоящими маршрутизаторами с функционалом NAT. Для возможности установки соединения необходимо внести следующие правки в реестр ОС Windows:
- в разделе HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent создать параметр DWORD (32 бита) с названием AssumeUDPEncapsulationContextOnSendRule и значением 2;
- в разделе HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters изменить значение параметра AllowL2TPWeakCrypto на 1.
Похожие публикации: