VPN durch Firewall ohne VPNPassthrough

maxfox · Beitrag von **maxfox** » 16 Jan 2006, 13:26

Hallo,

ich möchte mit einem Adnavced Client eine Verbindung zu einer Gegenstelle (Lancom 1721) herstellen. Das Problem dabei ist, dass auf meiner Seite ein Rozter vorhanden ist, der kein VPN Passthrough unterstützt und ich nun wissen möchte, ob ich auch einfach die Ports ind er Firewall freischalten kann bzw. welche Ports da sein müssen.
Der Router auf meiner Seite kann nicht gegen einen lancom ausgetauscht werden.

Danke schonmal im Voraus.

PS: Mir geht es hier um die grundsätzliche Möglichkeit für VPN ohne VPNPassthrough und nicht die spezielle an meinem Router.

Dank,

max

omd · Beitrag von **omd** » 16 Jan 2006, 14:28

Hallo,

IPSec ist ein Protokoll neben TCP/UDP, entsprechend bringt es nichts TCP- oder UDP-Ports freizuschalten. Es gibt aber eine Erweiterung namens NAT-Traversal (NAT-T), welches den IPSec-Pakete in UDP-Pakete einpackt und an Port 500 versendet. LANCOM unterstützt das ganz neu ab OS 5.20.

Probier es also mit NAT-T.

Gruß,
omd

backslash · Beitrag von **backslash** » 16 Jan 2006, 16:22

Hi omd

und an Port 500 versendet

fast... sobald ein NAT festgestellt wird, wecheslt die Verhandlung auf Port 4500.

Gruß
Backslash

maxfox · Beitrag von **maxfox** » 17 Jan 2006, 15:57

Hallo,

danke erstmal für die Antworten. Da man durch den Advanced Client auch eine PPTP-Verbindung aufbauen kann, ist es möglich über diese dann die IPSec Verbindung laufen zu lassen, also sozusagen, dass ich erstmal eine unverschluesselte PPTP-Verbindung aufbaue und im Anschluss daran die IPSEC verbindung, die dann die PPTP Verbindung nutzt?

Danke
Max

backslash · Beitrag von **backslash** » 17 Jan 2006, 16:43

Hi maxfox

Da man durch den Advanced Client auch eine PPTP-Verbindung aufbauen kann, ist es möglich über diese dann die IPSec Verbindung laufen zu lassen, also sozusagen, dass ich erstmal eine unverschluesselte PPTP-Verbindung aufbaue und im Anschluss daran die IPSEC verbindung, die dann die PPTP Verbindung nutzt?

Das ist ja das, was der Standart-Client gemacht hat. Im Advanced Client ist dies nur eingeschränkt möglich, da NCP hier "Mist" gfebaut hat: Es funktioniert nur, wenn du über einen Router ins Internet gehts, da der Client immer die erste RAS-Verbindung nimmt, um sich die notwendigen Adressen für die VPN-Einwahl zu holen

Aber was hast du dagegen im 1721 einfach NAT-T einzuschalten - der Client stellt sich automatisch darauf ein. Das ganze mit dem PPTP zu konfigurieren ist deutlich mehr Aufwand, als einfach einen Schalter im 1721 umzulegen

Gruß
Backslash

booker · Beitrag von **booker** » 18 Jan 2006, 09:47

Hi backslash,

wird denn dieser Fehler von NCP ggf. in einer neuen Version des ADV-Clients mal behoben?

Gruß,
Booker

maxfox · Beitrag von **maxfox** » 18 Jan 2006, 16:36

Sehe ich das richtig, dass der Lancom 1721 NAT-T auch schon vor der Softwareversion 5.20 unterstützt?

dank
max

backslash · Beitrag von **backslash** » 18 Jan 2006, 17:26

Hi maxfox

nein, erst ab der 5.20

Gruß
Backslash