Benutzername oder Passwort falsch (VPN)

[Nokba]

Hallo allerseits,

meiner Internetrecherche nach bin ich nicht alleine mit dem Problem; jedoch habe ich keine Lösung gefunden.

Wir nutzen einen Lancom 1802VA.
Aktuell sind knapp 20 VPN-User (IKE2) konfiguriert; immer mal wieder können sich die Clients nicht authentifizieren weil angeblich der Benutzername oder das Passwort falsch seien.
Dass dies nicht der Fall ist wird ersichtlich, wenn sich der Client (LANCOM Advanced VON Client auf Windows 11) OHNE jegliche Änderungen irgendwann dann doch wieder verbinden kann.

Aktuell grade der Fall, weil die DSL-Leitung kurz weg war.

Im Lancom-Monitor sehe ich bei den betroffenen Clients:
Verbindungen mit Fehler:
Einwahl abgelehnt: doppelte Einwahl mit derselben Client Seriennummer ist nicht möglich (Passiver Verbindungsaufbau, IKE) [0x220C]

Ich finde jedoch keine Einstellung um solche latent offen gehaltene Verbindung nach x Minuten automatisch zu beenden bzw. zuzulassen, dass eine erneute Einwahl die „doppelte Einwahl“ ersetzt.
Was (außer auf eine vernünftige Firewall-/VPN-Lösung zu wechseln) kann ich tun?

Danke für Eure Hilfe.
LG
Norbert Koch

[Frühstücksdirektor]

Hallo,

Du hast vmtl. das Problem, dass die VPN-Clients nicht korrekt lizensiert sind. Es gibt wohl Clients, die die gleiche Seriennummer und Aktivierung haben. Das ist nicht zulässig und der Router lehnt das ab.

Lösung: Die Geräte identifizieren, die die gleiche/doppelte VPN-Client-Seriennummer haben und dafür für alle (außer einem) eine korrekte Lizenz kaufen.

Falls das nicht der Fall ist, müssten wir hier genaue Traces machen. (VPN-Status und VPN-Debug-Trace im Fehlerfall)

Viele Grüße,
Frühstücksdirektor

[Frühstücksdirektor]

Noch ein paar Dinge bzw. Fragen dazu:

1) Ist es denn im "Gutfall" überhaupt möglich, dass alle VPN-Clients erfolgreich eingewählt sein können? Oder sind nie alle Clients gelichzeitig verbunden?

2) Die Seriennummer des VPN-Clients kann man im LANmonitor oder im Status-Menü unter "/Status/VPN/Connections/ sehen („Client-SN“). Dort muss dann jeder Client eine individuelle Seriennummer haben

3) Eine VPN-Client-Verbindung kann man z.B. Im LANmonitor mit Rechtsklick auf die Verbindung trennen

[Nokba]

Du hast vmtl. das Problem, dass die VPN-Clients nicht korrekt lizensiert sind. Es gibt wohl Clients, die die gleiche Seriennummer und Aktivierung haben. Das ist nicht zulässig und der Router lehnt das ab.

Lösung: Die Geräte identifizieren, die die gleiche/doppelte VPN-Client-Seriennummer haben und dafür für alle (außer einem) eine korrekte Lizenz kaufen.

Die Lizenzen wurden bei einem Systemhaus bestellt und von diesem geliefert.
Ich habe für alle Lizenzen einen eigenen Lizenzschlüssel, aber nur die ersten 10 haben eine unterschiedliche Seriennummer, die restlichen 6 Lizenzen haben jeweils eine Dublette bei den ersten 10.

Mir fiel das zwar auf, aber auf Rückfrage beim Systemhaus antwortete man mir, dass das ok sei; lediglich der Lizenzschlüssel sei eindeutig.

Stimmt das nicht? Denn dann müsste ich beim Systemhaus eine korrekte Lizenzierung verlangen und die Aktivierung bei den Clients neu vornehmen.

[Nokba]

Noch ein paar Dinge bzw. Fragen dazu:

1) Ist es denn im "Gutfall" überhaupt möglich, dass alle VPN-Clients erfolgreich eingewählt sein können? Oder sind nie alle Clients gelichzeitig verbunden?

2) Die Seriennummer des VPN-Clients kann man im LANmonitor oder im Status-Menü unter "/Status/VPN/Connections/ sehen („Client-SN“). Dort muss dann jeder Client eine individuelle Seriennummer haben

3) Eine VPN-Client-Verbindung kann man z.B. Im LANmonitor mit Rechtsklick auf die Verbindung trennen

Zu 1) eher unwahrscheinlich.
Zu 2) habe ich nachgesehen und der Client mit dem Login-Problem hat eine Seriennummer, die bereits vergeben war und auch gerade online ist.
Zu 3) Das funktioniert mit bestehenden, aber nicht denjenigen, die im Fehlerzustand sind.

Tendenziell scheint aber meine Frage bereits mit Deiner ersten Antwort geklärt zu sein…

[Frühstücksdirektor]

Ich habe für alle Lizenzen einen eigenen Lizenzschlüssel, aber nur die ersten 10 haben eine unterschiedliche Seriennummer, die restlichen 6 Lizenzen haben jeweils eine Dublette bei den ersten 10.

Also das ist defintiv falsch und wird nicht funktionieren. Da muss das Systemhaus tätig werden und sich notfalls an den LANCOM Support werden.
Es muss immer eindeutige Seriennummern geben pro Client.