{"id":9110,"date":"2019-10-29T08:46:03","date_gmt":"2019-10-29T07:46:03","guid":{"rendered":"https:\/\/www.boc.de\/watchguard-info-portal\/?p=9110"},"modified":"2025-09-10T14:10:09","modified_gmt":"2025-09-10T12:10:09","slug":"howto-l2tp-vpn-via-radius-und-start-before-logon","status":"publish","type":"post","link":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/2019\/10\/howto-l2tp-vpn-via-radius-und-start-before-logon\/","title":{"rendered":"HOWTO: L2TP VPN via RADIUS und Start-Before-Logon"},"content":{"rendered":"

Mit L2TP k\u00f6nnen Sie Windows-Endger\u00e4te mit Boardmittel f\u00fcr eine VPN-Einwahl konfigurieren. Durch die RADIUS Anbindung k\u00f6nnen Sie nicht nur die Zug\u00e4nge via AD steuern, sondern auch Start-Before-Logon vern\u00fcnftig konfigurieren. Durch Start-Before-Logon haben Sie den Vorteil, dass Sie bereits vor der User-Anmeldung eine Verbindung zum AD herstellen k\u00f6nnen und so Netzlaufwerke, Richtlinien, \u2026 via VPN bereitgestellt werden.
\n<\/p>\n

Umsetzung<\/h3>\n

Testumgebung: Windows NPS (2016), Client mit Win 10<\/p>\n

    \n
  1. Erstellen der AD-Gruppe L2TP-Users (entsprechende User hinzuf\u00fcgen)<\/li>\n
  2. Erstellen eines RADIUS-Clients im NPS (IP der Firewall + Passwort):
    \n\"\"<\/li>\n
  3. Pr\u00fcfen ob eine passende Verbindungsanforderungsrichtlinie auf NPS konfiguriert ist.
    \nIn meinem Beispiel greift die Default Verbindungsanforderungsrichtlinie \u201eWindows-Authentifizierung f\u00fcr alle Benutzer verwenden\u201c<\/li>\n
  4. Erstellen einer Netzwerkrichtlinie auf dem NPS:
    \n\"\"
    \nW\u00e4hlen Sie hier die erstellte AD-Gruppe:
    \n\"\"
    \nUnter Einschr\u00e4nkungen als Authentifizierungsmethode MC-CHAP-v2 w\u00e4hlen:
    \n\"\"
    \nSetzen Sie als RADIUS Attribut den AD-Gruppennamen entsprechend des Screenshots:
    \n\"\"<\/li>\n
  5. Erstellen Sie einen RADIUS Authentication Server auf der WatchGuard (Passwort gem\u00e4\u00df der NPS Client Installation):
    \n\"\"<\/li>\n
  6. L2TP Authentication Servers konfigurieren (w\u00e4hlen Sie den konfigurierten RADIUS Server). Aktivieren Sie die Gruppe unter “Users and Groups”:
    \n\"\"<\/li>\n
  7. Konfigurieren Sie Ihr Win10 L2TP-VPN via Powershell nach folgendem Muster:(-SplitTunneling<\/em> nur, wenn gew\u00fcnscht)
    \nAdd-VpnConnection -Name AM-T35W-SBL -ServerAddress [HierExtAdresse] -AllUserConnection $true -AuthenticationMethod MSChapv2 -TunnelType L2TP -L2TPPSK [HierL2TPKey] -EncryptionLevel Required -PassThru -SplitTunneling $true<\/em>
    \n(Bei Split-Tunneling hier entsprechende Routen setzen)
    \nAdd-VpnConnectionRoute AM-T35W-SBL 192.168.88.0\/24<\/em><\/li>\n
  8. Bei Windows 10 erscheint folgendes Symbol am Anmeldebildschirm:<\/span>\n

    \"\"<\/li>\n

  9. Melden Sich mit Ihren Zugangsdaten an. Windows wird den VPN aufbauen und Sie im Anschluss direkt am PC einloggen.
    \n\"\"<\/li>\n
  10. Die VPN Verbindung l\u00e4sst sich via Netzwerkmanager unter Windows 10 trennen aber auch aufbauen:
    \n\"\"<\/li>\n<\/ol>\n

    Weitere Infos finden Sie in diesem >> Knowledgebase-Artikel von WatchGuard<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Mit L2TP k\u00f6nnen Sie Windows-Endger\u00e4te mit Boardmittel f\u00fcr eine VPN-Einwahl konfigurieren. Durch die RADIUS Anbindung k\u00f6nnen Sie nicht nur die Zug\u00e4nge via AD steuern, sondern auch Start-Before-Logon vern\u00fcnftig konfigurieren. Durch Start-Before-Logon haben Sie den Vorteil, dass Sie bereits vor der User-Anmeldung eine Verbindung zum AD herstellen k\u00f6nnen und so Netzlaufwerke, Richtlinien, \u2026 via VPN bereitgestellt werden.<\/p>\n","protected":false},"author":6,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[362],"tags":[69,411,412,96,594,273],"class_list":["post-9110","post","type-post","status-publish","format-standard","hentry","category-howto","tag-active-directory","tag-l2tp","tag-l2tp-vpn","tag-radius","tag-start-before-logon","tag-vpn"],"_links":{"self":[{"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/posts\/9110"}],"collection":[{"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/users\/6"}],"replies":[{"embeddable":true,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/comments?post=9110"}],"version-history":[{"count":10,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/posts\/9110\/revisions"}],"predecessor-version":[{"id":28967,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/posts\/9110\/revisions\/28967"}],"wp:attachment":[{"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/media?parent=9110"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/categories?post=9110"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/tags?post=9110"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}