Microsoft znefunkčnil VPN s January updatem

12.1.2022 15:25 | Přečteno: 2113× | windows | poslední úprava: 12.1.2022 15:29

A je to tu zase, ale moc se o tom zatím nepíše (ani u MS).

Windows 10 L2TP over IPSEC problem

Aktualizace KB5009543 (Win10) a KB5009566 (Win11) znefunkční L2TP over IPSEC. Někdo na Redditu ještě píše, že s KB5008880 se znefunkčnilo i IKEv2, ale to jsem ještě netestoval.

Pro méně znalé upozorním, aby neposlouchali tupě každý návod, tj. když někdo na Redditu třeba tvrdí, že řešením je ProhibitIpSec=1, tak NEDĚLEJTE TO.

Jediné řešení je odinstalace problémových aktualizací.

Zdroje

Kromě mě jsem pak po odhalení a vyřešení problému našel další lidi:

• Reddit
• deskmodder.de

Závěr

Není to poprvé, v minulosti MS několikrát odstavil vlastního IKEv2 klienta a v době, kdy je vpn nejnutnější (Corona, HomeOffice apod.) udělá opět takovou regresi. Já to spozoroval u dvou zařízení (jeden uživatel a jeden kiosek), kde se aktualizace nainstalovala, jinak vesměs preferuji zpožděné aktualizace.

Sem jsem to postnul proto, protože se o tom jednak nikde nepíše, dále předpokládám, že i tady se najdou lidi, co jejich VPN řešení používají uživatelé s Windows.

Zdar Max        

Komentáře

[Beetljuice]

Mě pomohlo toto, pokud je to stejný případ :

Otevřete si registry (Regedit) a najděte větev Počítač\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent. Přidejte novou hodnotu DWORD a pojmenujte ji AssumeUDPEncapsulationContextOnSendRule. Nastavte této položce hodnotu na 2. Restartujte počítač a připojte se k VPN serveru pomocí vašeho L2TP/IPsec připojení.

[Max]

To s aktuální chybou nemá nic společného.
Hodnota "AssumeUDPEncapsulationContextOnSendRule" nastavená na "2" je od toho, aby L2TP over IPSEC vůbec fungoval v případě, že je i server za natem.
Zdar Max

[Aleš Kapica]

Kluci už na to tenhle týden také narazili.

[j]

A to nekdy fungovalo? Myslim jako vpn a M$ ...

Kdyz sem si stim hral naposled, tak 3/4 konfigurace neslo udelat z GUI a muselo se to z powershellu, nacez prestalo to GUI fungovat uplne a kdyz v tom nekdo nahodou neco zmenil, tak se to rozesralo cely tak, ze bylo treba celou VPNku smaznout a nastavit znova.

Pro pobaveni pak doporucuju (na dlouhy zimni vecery) se pokusit VPNku nastavit z ADcka, to nejde vlastne vubec, protoze ackoli se to jakoze tvari ze jde, tak na to widle zvysoka serou (coz teda plati vseobecne pro cim dal vic veci, takze ADko uz provozuju vicemene jen jako spoustec scriptu).

---

Dete s tim guuglem dopice!

[Max]

Provozuji IKEv2 pro cca 500 klientů včetně Windows 10 a kromě asi dvou bugů ve Windows 10 na začátku (5 let zpět) nemám problém.
Dokonce to většinou provozuji jako split vpn (do tunelu jde jen nutná komunikace, zbytek jde napřímo ven do netu). Pro Win mám userspace instalátor, který nevyžaduje admina. Ten instalátor je jen konfigurátor.
Pro průmyslová zařízení mám pak podobný konfigurátor, ale vpn se vytváří jako AlwaysOn, takže na jakmile Windows 10 naběhnou, tak se vpn connectí a drží za jakýchkoli okolností.
Takto mi to funguje asi 6 let. Jak říkám, kromě těch dvou bugů od MS, žádný problém. Asi tedy někde děláš nějakou chybu.
Zdar Max
PS: skripty v rámci GPO moc nepoužívám, snažím se jet co nejvíce optimalizované politiky

[J]

Mno vidis, a to je prave ten problem, uzivatelska vpn === user to kdykoli rozjebe. A to je jen jeden z mnoha pruseru.

Ipsec se da (mimo jiny) nastavit ve widlofirewallu, (coz je jedna z asi 5ti variant) ale zase to ma spoustu jinych much. Neda se tam trebas nastavit ikev2.

Dalsi vec je, ze widle nijak normalne neumej ridit routy na ty VPNce. To je mimochodem taky jedna z tech veci, ktery se z GUI nedaji nastavit vubec. Takze je treba tomu fixne rict jakej rozsah se ma pres tu vpnku posilat, coz prozmenu vylucuje always on VPN v omakziku, kdy se ten stroj ocitne uvnitr ty site.

---

Dete s tim guuglem dopice!

[Max]

Nemám problém s tím, že by si uživatelé měnili vpn a rozjebali jí. Pokud bych takový problém měl, tak bych tu vpn nenastavoval v rámci userspace uživatele, ale v rámci OS. Je to sice pak problém v tom, že pak mají i jiní uživatelé přístup k té vpn, ale na druhou stranu, třeba AlwaysOn vpn také není v uživatelském prostoru a konfiguruje se v rámci systému.
Každopádně jak říkám, já jsem si na to napsal konfigurátor, takže uživatel reálně nic nekliká a když se mu něco pokazí, tak to jednoduše zvládne opravit sám, jelikož je to jen spuštění exe + dva kliky myší na next a zavřít.
Zdar Max

[MP]

To tvoje ikev2 umi tyto veci?

a] overovani vuci AD

b] rozdeleni dle skupiny (resp. prirazeni site dle skupiny)

Moje FW to neumi (umi v ikev2 jen radius/local), tak si chci overit, zda je to kretenismus vyrobce.

[Max]

Ahoj, v rácmi AD si vždy můžeš zapnout Radius a ověřovat se proti němu.
V rámci Radiusu fungují i skupiny (v odpovědi prostě můžeš vrátit nějakou hodnotu skupiny).
Skupiny u IKEv2 používám, ale s radiusem, protože to mám postavený proti FreeRadiusu. Každopádně předpokládám, že na Win to půjde nakonfigurovat podobně (má na to docela robustní klikátko).
A když ti přijde s auth ok i jméno skupiny, tak uživatele nasměruješ do konkrétního virtuálního iface, nad kterým budeš mít nějaká jednotná pravidla. Nebo můžeš nastavovat pravidla per-uživatel na základě skupiny. Jenomže to ti při větším počtu uživatelů vygeneruje né moc pěkný strom pravidel v iptables a s tím i nějaký overhead navíc.
Zdar Max

[bigBRAMBOR]

A to nekdy fungovalo? Myslim jako vpn a M$

nefungovalo, uzivatele si to konfiguruji z powershellu, gui nefunguje vubec, v celem svete M$ se VPN vubec nepouziva, to je vysada apple a linuxu.

nebo neco delas blbe.

[Max]

Fakt ti nevím, ale naklikat šla vpn od Win7 úplně ok. A to jak L2TP over IPSEC, tak IKEv2. Jediný, co naklikat nejde, je AlwaysOn VPN, která se musí dělat z powershellu.
Zdar Max

[bigBRAMBOR]

tak ona sla naklikat i driv, to byla samozrejme narazka na "j"

[j]

Aprotoze to funguje, tak vsechny versi korporaty pouzivaji naprosto odjakziva aplikace tretich stran ... tovizejo ...

Mimochodem, trotle, chtel bych videt, jak si user "naklika" MODP2048.

---

Dete s tim guuglem dopice!

[Max]

Aplikace třetích stran používají kvůli několika věcem:
1) neumí provozovat vlastní VPN a používat standardní nástroje
2) potřebuji doprovodné služby, které běžná řešení nenabízejí (politiky jako třeba kontrolu verzí, aktualizací a zabezpečení koncového zařízení apod.)
Zdar Max

[bigBRAMBOR]

neni snad program, kde by vsechno slo naklikat pre GUI, vzdycky jsou nejake dalsi volby.

MS nevyrabi routery, firma vetsinou pouzije VPN od firmy od ktere ma routery/firewally. Ale nemusi to tak byt, nahore psal MAX ze pouzivaji IKEv2 a lidi si klikaji sami.

Mimochodem, trotle uf, jsem si oddechl, nebyt pro "j" trotl bylo by mi stydno

[j]

Vazne negramotnej blb ... co nechapes na tom, ze kdyz neco nastavis z radky, tak to GUI prestane fungovat a nejen ze nefunguje, kdyz v nem cokoli zmenis, klidne i jen nazev vpnky, tak ji to celou rozbije?

Jo aha, to bys tu nesmel zvanit o vecech, na ktery si vzivote nesah.

M$ vyrabi system, a od systemu se kupodivu nekdy ocekava, ze umi sitovat, ale to v M$ nikdy neumeli. V posledni dobe to povysili na vylozenou lez. Protoze w11/2k22 neumi tls 1.3 (w10 od nevim ktery verze kupodivu ano). A stejne tak oboji opet neumi rdnss.

Max je ten specialista, kterej dodnes nepochopil ze na ipsec nepotrebuje iface, takze to je vazne ta prava osoba na tema vpn. Dokonce se tim ze vpnky neumi a nerozumi jim chlubil v kilometrovym blogu, a neni to zas tak dlouho.

---

Dete s tim guuglem dopice!

[Max]

Lol, stabilně provozovat vlastní multiplatformní vpn řešení (Win7,8,10 / WinMobile 8.1/10, iOS / Android / Linux + AlwaysOn pro průmyslová zařízení) pro asi 600 lidí pro tebe znamená, že "nerozumět/neumět"? :D. A to se bavíme, že pod toto sjednotíme všechny používané vpn, takže pak těch reálných klientů bude mnohem více.
Jediný, kdo tady failuje, jsi ty. Ty pořád všude brečíš, že něco nejde, že to tak nefunguje atd. Možná by jsi se měl trošku dovzdělat a nesvalovat svou neschopnost na nějakou technologii, které evidentně vůbec nerozumíš .

Jinak tu tvoji mánii s klikáním fakt nechápu. Pokud chci uživateli něco zpřístupnit a chci eliminovat chyby na straně uživatele (proč bych po něm měl sakra chtít vyplňovat blbosti jako adresu serveru, typ připojení apod.), tak mu zpřístupním blbuvzdornou cestu. Tj. pro win konfigurační utilitku, kterou spustí a 2x klikne na myš, pro iOS standardní profil v podobě mobileconf (které mj. generuje dnes každé vpn řešení) a pro Android samozřejmě taktéž profil, protože strongswan to již delší dobu podporuje atd.

To, že ty máš zkušenosti, že uživatelé něco špatně vyplňují, nebo přepisují, jen znamená, že to máš špatně řešený, fakt špatně a měl by jsi se opravdu zamyslet, proč to tak je, když jinde je to ok. Zda ta chyba fakt není na tvé straně a na procesech, které používáš .
Zdar Max

[Heron]

L2TP IPSEC VPN používáme zcela běžně. Nakliká si to sám uživatel. Funguje to.

(A už začínají volat první zákazníci, že jim nejede. Dneska budou mít kolegové na helpdesku opravdu pěkný den . )

[Heron]

Díky za info.

[pushkin]

Když jsi u té VPNky... Máte nějaké zkušenosti s FortiClient VPN? Manželce to zaměstnavatel narval do NTB s Win10 a je to stabilní asi jako soused po deseti pivech...

[Max]

Tu máš většinou v případě, když si pořídiš Fortinet router. Nestabilita může souviset s kolizní sítí. Podívej se, jak vypadá routing před spojení na vpn a po spojení na vpn (route print).
Zdar Max

[bigBRAMBOR]

Pouzivame a zcela bez problemu, padani zadnen neni.

[Heron]

Nepoužívám příliš často, ale funguje.

[H@nz]

Fix by měl být v této aktualizaci - KB5010793

[Max]

Díky za info.
Zdar Max