WindowsでVPNに接続できない

この 記事 is 少々 は Windows クライアント で の VPN 接続 に つい て です が 、 まず は OSX Server の 話 を 少々 。

OSX Server で 寄せる られる トラブル の 中 に Windows 7 ~ 10 から l 2 TP / IPsec VPN 接続 が でき ない と いう もの が ある よう で 、 アップル 曰く 、 「Windows が IPSec NAT Traversal を処理するデフォルトの方法に問題があります」とのことです。

参考 ： http:// Support . Apple . com / Kb / HT 5078 ? viewlocale = JA _ JP

と いう こと で 、 Mac Server で の VPN だけ で は なく 、 10 や ~ 7 、 Vista など XP 以降 の Windows クライアント から 繋がる ない と いう 現象 is 多い は 多い よう です 。

NAT Traversal を制御する

VPN 接続時のクライアント側でエラーもいろいろとあるとは思いますが、多いのは619・809・789あたりでしょうか。
809の場合はクライアントからの通信が VPN サーバーまで行き着いていません。
クライアント機での設定の他、ルータ・ファイヤーウォール・ NAT などが原因の可能性もありますので、念のためにチェックしてみましょう。

問題 が なけれ ば 、 レジストリ より Windows IPsec NAT traversal の 動作 を 変更 し ます 。

※レジストリの変更はパソコンが起動しなくなる恐れもありますので、くれぐれも注意が必要です。

「レジストリエディタ」により下記レジストリキーを追加します。

「HKEY_LOCAL_MACHINE」→「SYSTEM」→「CurrentControlSet」→「services」→「PolicyAgent」を展開します。

「PolicyAgent」の中に新規で「AssumeUDPEncapsulationContextOnSendRule」を DWORD32ビット値で作成します。値は基本的には2を入力します。
パソコンを再起動します。

ちなみに値は0～2で設定でき、下記のように使い分けるようです。

0→NAT トラバーサル無効
1→NAT トラバーサル有効（クライアントが NAT 機器の背後にある場合）
2→NAT トラバーサル有効（サーバーとクライアントの両方が NAT 機器のにある場合）

ここまでで、619・809エラーは回避できると思います。

ローカルセキュリティポリシーの変更

789は「はじめのネゴエーションでのセキュリティエラー」でクライアント側のセキュリティ設定によるものが多いようです。
このエラーで接続できない場合は「ローカルセキュリティポリシー」にて LAN Manager 認証レベルの変更が必要です。

「ローカルセキュリティポリシー」→「ネットワークセキュリティ: LAN Manager 認証レベル」→ドロップダウンリストで、「LM と NTLM を送信する～ネゴシエーションの場合、NTLMv2 セッション セキュリティを使う」を選択します。

また、「ネットワークセキュリティ: NTLM SSP ベース (セキュア RPC を含む) のクライアント向け最小セッション」の「128ビット暗号化が必要」のチェックボックスを解除します。

この LAN Manager の認証レベルはレジストリーで設定することもできます。

「HKEY_LOCAL_MACHINE」→「SYSTEM」→「CurrentControlSet」→「Control」→「Lsa」

「LmCompatibilityLevel」レジストリキーを DWORD32ビット値で作成し、1の値を入力すると上記、GUI「ローカルセキュリティポリシー」での「LM と NTLM を送信する～ネゴシエーションの場合、NTLMv2 セッション セキュリティを使う」と同じです。

※Windows Vista 以降の Home Premium の場合は基本的に「ローカルセキュリティポリシー」自体がありませんので、この方法でレジストリーを追加する必要があります。

ちなみに「LmCompatibilityLevel」では0～5の設定ができ、数字が大きいほどセキュリティレベルが高くなります。

前述 の アップル の 解説 で も 値 は 1 に と いう こと な の です が 、 わたし の 環境 で は 実際 に 3 で も OSX Server の l 2 TP / IPsec に 接続 可能 です の で 、 どう も 環境 に よっ て 異なる よう に 思える ます 。

また 、 VPN で アクセス に 限る ず 、 ネットワーク 上 に は Windows 以外 に Mac ・ UNIX ・ NAS など が 混在 し て いる 場合 is あり が あり ます 。
これらの機器と Windows クライアントとは基本的に SMB というプロトコルを使って通信しますが、ここにも LAN Manager 認証レベルが関わってきます。
それらの Samba バージョンによっては Windows からアクセスできないという現象が見られ、この場合はセキュリティレベルの調整が必要となってきます。

→新しい WindowsPC が既存の NAS に接続できない

WEB サービス構築・監修が生業です。WordPress 関連では Aurora Heatmap などプラグイン開発も行っています。悩めるサイト運営者の無料相談受付けます！