ISAKMP 500 UDP over ISA 2000 und DSL-Router

[Maik 10]

Guten Tag an alle im Board,

ich suche eine Lösung für eine Portweiterleitung zum erstellen / aufbauen einer IPSEC VPN Verbindung.Dabei baut der externe Zielserver, in welchem sich der lokale Host per VPN Einwahl connectet eine Verbindung zum lokalen Port 500 UDP auf.Der Client sitzt hinter einem ISA2000 an der internen Schnittstelle.Die externe ISA-Karte sitzt an einem DSL-Router.IPSEC passthrough is auf dem DSL-Router aktiviert. Wie kann ich aber eine Portweiterleitung vom externen DSL-Router Port auf den internen Host über einen ISA2000 konfigurieren?

Leider habe ich dieses Konstellation noch nicht vorgefunden.

 

Vielen Dank

–

hat denn niemand einen Vorschlag?

[twiki 10]

Hallo Maik,

 

Eigentlich musst Du im ISA nur eine Serververöffentlichungsregel erstellen, dabei Deinen Cleint angeben und unter "Ports" den Port angeben der Weitergeleitet werden soll.

 

Gruss

twiki

[Maik 10]

1. Der Client-PC nimmt mit dem EA-Server (195.1.2.8) per SSL-Session über TCP-Port 13271 Verbindung auf, wird authentifiziert

und erhält seine VPN-Policy.

2. Das IKE-Protokoll wird zwischen Client und VPN-Gateway (195.1.2.9) und umgekehrt zwischen Gateway und Client aufgebaut.

Benutzt wird dabei Source-Port UDP 500 und Zielport UDP 500.

3. Der IPSec-Tunnel wird zwischen Client und Gateway über die Protokolle 50 und 51 (AH und ESP) aufgebaut und die IPSec-Verbindung steht.

 

Hat jemand eine Idee bei der Konfiguration der Regeln auf dem ISA 2000 plus DSL Router?

Ich suche eine zweite Meinung, da bei meiner Konfiguration die Verbindung nicht funktioniert.

Besten Dank

[IThome 10]

Wenn ein NAT zwischen dem Initiator und dem Responder eingesetzt wird, kommt NAT-Traversal (UDP 4500 i.d.R.) zum Einsatz. Nur die Initialverbindung wird über UDP 500 hergestellt. Wird die VPN-Verbindung von einem XP-Client mit der Windows-Software durchgeführt, muss dem XP-Client noch beigebracht werden, dass sich ein NAT zwischen ihm und dem Gateway befindet.

The default behavior of IPsec NAT traversal (NAT-T) is changed in Windows XP Service Pack 2

Weiterhin unterstützt ein 2000 Server (falls Du überhaupt einen 2000 Server einsetzt) kein NAT-Traversal, wenn er als VPN-Server (RRAS) eingesetzt wird. Da ich kein ISA-Spezialist bin, weiss ich nicht, ob der ISA daran etwas ändert ...

[Maik 10]

Der ISA 2000 läuft auf einem W2k3 Server, der Client wählt sich nur in ein Rechenzentrum ein, per IPsec. Der ISA 2000 liegt nur hinter einem DSL-Router, mit deaktivierter Firewall, also nur für die DSL Einwahl benutzt. Muss dabei ESP / AH auf dem Router aktiviert werden, NAT-T 4500 UDP ebenfalls?

Den Registrykey setze ich noch..

Vielen Dank im Voraus

[IThome 10]

NAT-T Weiterleitung auf dem Router sollte reichen (ESP ist normalerweise nicht notwendig, AH funktioniert mit NAT gar nicht, also auch nicht notwendig) ...