Re: Verständnisfrage IPSec; NAT; NAT-T
- From: "Juergen P. Meier" <nospam-2006@xxxxxxxx>
- Date: Thu, 20 Jul 2006 04:46:41 +0000 (UTC)
Christoph Hanle <ng@xxxxxxxxxxx>:
Thomas Wildgruber schrieb:
ich wühle mich gerade durch eine Dokumetation bezgl. IPSec Passthrough
durch NAT Devices. Der Trick bei NAT Traversal scheint ja zu sein, dass die
komplette verschlüsselte Kommunikation in ein UDP Paket verpackt wird, um
den auf dem Datenkanal befindlichen NAT Geräten die Möglichkeit zur
Manipulation der Paketinformationen zu geben, ohne die Integrität der
verschlüsselten Kommunikation zu gefährden.
Jetzt möchte einer unserer Clients direkt, also als Iniitiator der IPSec
Verbindung eine gesicherte Verbindung zu einem entfernten VPN Gateway
aufbauen. Laut Dokumentation muss ich aber unserem NAT Device ein
Portforwarding bezgl. Port 500 UDP auf diesen, unseren Client einrichten.
Leider unterscheiden sich da häufig die Beschreibungen und
Namensgebungen von Hersteller zu Hersteller.
Wenn ich mich nicht ganz stark täusche brauchst du 2 Regeln für IPsec:
1. LAN (oder ClientIP) 500UDP allow WAN 500UDP
NAT-T Wird ueber IKE ausgehandelt, daher musst du zuallererst einmal
IKE Verbindung ermoeglichen (IKE: Verbindungslos per UDP mit Quell und
Zielport 500).
2. LAN (oder ClientIP) allow WAN GRE
Der eigentliche IPSEC tunnel wird dann nach Standard ueber UDP Port
4500 abgewickelt.
GRE hingegen hat mit IPSEC ueberhaupt nichts zu tun.
Portforwarding wird imho nicht benötigt und ggf. arbeitet der Client mit
Port 500 TCP.
Es gibt IPSEC Implementierungen, die auch IPSEC-ueber-TCP koennen, und
dabei sogar IKE ueber TCP (mit Port 500) sprechen.
Die IPSEC-Verbindung laeuft dann aber auch dort nicht uber Port 500.
Juergen
--
Juergen P. Meier - "This World is about to be Destroyed!"
end
If you think technology can solve your problems you don't understand
technology and you don't understand your problems. (Bruce Schneier)
.
- References:
- Verständnisfrage IPSec; NAT; NAT-T
- From: Thomas Wildgruber
- Re: Verständnisfrage IPSec; NAT; NAT-T
- From: Christoph Hanle
- Verständnisfrage IPSec; NAT; NAT-T
- Prev by Date: Re: Ersatz für Zone Alarm
- Next by Date: Re: Ersatz für Zone Alarm
- Previous by thread: Re: Verständnisfrage IPSec; NAT; NAT-T
- Next by thread: Re: Verständnisfrage IPSec; NAT; NAT-T
- Index(es):
Relevant Pages
|
