Solved
ESP Weiterleitung am Speedport Pro Plus
2 years ago
Hallo an die Community,
ich musste heute von meiner Fritz!Box auf einen Speedport Pro Plus wechseln und habe folgendes Problem:
Hinter meinem Route hängt ein zweiter Router, der fünf IPSEC-Tunnel zu meinem Kunden aufbaut. Auf der Fritz!Box waren die Portweiterleitungen UDP 500 --> 500, UDP 4500 --> 4500 und ESP --> ESP jeweils auf die IP des nachgeschalteten Routers eingerichtet und es funktionierte bestens.
Auf meinem Speedport kann ich keine ESP-Weiterleitung erstellen und die Tunnel werden nicht aufgebaut.
Kann man ESP irgendwie trotzdem weiterleiten?
745
25
This could help you too
633
2
2
373
0
3
Solved
10447
0
2
3 years ago
375
0
2
2 years ago
Was soll eine ESP Weiterleitung sein?
Warum brauchst du offene Ports von außen, wenn du von innen eine VPN Verbindung nach außen machst?
3
Answer
from
2 years ago
... damit die IPSEC-Pakete an den zuständigen Empfänger weitergeleitet werden ...
Auf der Fritz!Box sah es wie im Anhang gezeigt aus.
Bildschirmfoto 2023-02-13 um 12.21.15.pdf
Answer
from
2 years ago
Das ist aber zu viel des Guten...
Zitat von administrator.de... man beachte das ODER zwischen den Varianten:
Je nachdem, wie der VPN Server konfiguriert ist, brauchen wir UDP Port 500 und IP-Protokoll ESP (Obacht: ESP hat keine Ports, es ist ein L3 Protokoll! Guggst du!) oder UDP Port 500 und UDP Port 4500 (Wenn ESP via NAT-T in UDP gekapselt wird) oder TCP Port 10.000 (Wenn IKE und ESP in TCP gekapselt werden) IPSEC BLITZ-ERKLÄRUNG FÜR SCHNELLENTSCHLOSSENE! IPSEC ist eine Protokollsuite die IP-Verbindungen sicherer machen soll. Es wird vor allem für VPN Verbindungen eingesetzt und ist das verbreitetste VPN Protokoll. IPSEC besteht im wesentlichen aus den Protokollen IKE und ESP. IKE ist die technische Umsetzung des ISAKMP Frameworks. IKE nutzt UDP Port 500. IKE Phase 1 baut einen sicheren Verbindungs-Kanal auf. Dabei findet auch die "Authentisierung" zwischen den VPN Partnern statt, die mit Zertifikaten oder Pre-Shared Keys (Passwörtern) erfolgen kann. Dieser sichere Verbindungskanal wird dann genutzt, um die Parameter aus Phase 2 sicher zwischen den VPN Partnern aushandeln zu können. IKE Phase 2 handelt die Verschlüsselungs- und Integritätsparameter aus, mit denen die eigentlichen Daten gesichert werden. Nach Aushandlung der SAs (Security Assotiations) in IKE Phase 2 wird das Protokoll ESP benutzt, um letztendlich die verschlüsselten Daten zu transportieren. ESP hat keinen Port, da es ein OSI Layer 3 Protokoll ist. Bei Einsatz von NAT-Traversal (auch NAT-Transparency genannt), um auch über PAT-Router ESP Verbindungen aufbauen zu können, braucht man Port UDP4500. Dabei wird ESP in UDP gekapselt, da ESP keine Ports benutzt und dadurch nicht "gepattet" werden kann. Bei Einsatz von IPSEC-over-TCP braucht man nur Port TCP10.000. Dabei werden IKE als auch ESP in TCP gekapselt, und über diesen einen Port TCP10.000 geleitet. Geheim-TIP: Man kann den Port am VPN Server auch von TCP10.000 aúf einen anderen ändern (z. B. TCP80), so dass ein IPSEC Tunnel auch von Lokationen aus aufgebaut werden kann, die nur wenige Ports geöffnet haben - z. B. in WLAN Hotspots. Dies funktioniert aber nur, wenn zwischen den VPN Endpunkten keine Firewall auf Applikationsebene die Art des TCP Verkehrs filtert und z. B. "Nicht-HTTP-Traffic" erkennt und verwirft. Im IPSEC Tunnelmode werden IP-Pakete in andere IP-Pakete gekapselt (getunnelt). Dadurch kann ein zugreifender Client eine "virtuelle" IP aus dem IP-Bereich des Firmen-Netzes bekommen und sich netzwerktechnisch mit dem Firmen- Intranet verbinden, als wäre er im Büro.
Je nachdem, wie der VPN Server konfiguriert ist, brauchen wir
oder
oder
IPSEC BLITZ-ERKLÄRUNG FÜR SCHNELLENTSCHLOSSENE!
IPSEC ist eine Protokollsuite die IP-Verbindungen sicherer machen soll.
Es wird vor allem für VPN Verbindungen eingesetzt und ist das verbreitetste VPN Protokoll.
IPSEC besteht im wesentlichen aus den Protokollen IKE und ESP.
IKE ist die technische Umsetzung des ISAKMP Frameworks. IKE nutzt UDP Port 500.
IKE Phase 1 baut einen sicheren Verbindungs-Kanal auf. Dabei findet auch die "Authentisierung" zwischen den VPN Partnern statt, die mit Zertifikaten oder Pre-Shared Keys (Passwörtern) erfolgen kann.
Dieser sichere Verbindungskanal wird dann genutzt, um die Parameter aus Phase 2 sicher zwischen den VPN Partnern aushandeln zu können.
IKE Phase 2 handelt die Verschlüsselungs- und Integritätsparameter aus, mit denen die eigentlichen Daten gesichert werden.
Nach Aushandlung der SAs (Security Assotiations) in IKE Phase 2 wird das Protokoll ESP benutzt, um letztendlich die verschlüsselten Daten zu transportieren. ESP hat keinen Port, da es ein OSI Layer 3 Protokoll ist.
Bei Einsatz von NAT-Traversal (auch NAT-Transparency genannt), um auch über PAT-Router ESP Verbindungen aufbauen zu können, braucht man Port UDP4500. Dabei wird ESP in UDP gekapselt, da ESP keine Ports benutzt und dadurch nicht "gepattet" werden kann.
Bei Einsatz von IPSEC-over-TCP braucht man nur Port TCP10.000. Dabei werden IKE als auch ESP in TCP gekapselt, und über diesen einen Port TCP10.000 geleitet. Geheim-TIP: Man kann den Port am VPN Server auch von TCP10.000 aúf einen anderen ändern (z. B. TCP80), so dass ein IPSEC Tunnel auch von Lokationen aus aufgebaut werden kann, die nur wenige Ports geöffnet haben - z. B. in WLAN Hotspots. Dies funktioniert aber nur, wenn zwischen den VPN Endpunkten keine Firewall auf Applikationsebene die Art des TCP Verkehrs filtert und z. B. "Nicht-HTTP-Traffic" erkennt und verwirft.
Im IPSEC Tunnelmode werden IP-Pakete in andere IP-Pakete gekapselt (getunnelt). Dadurch kann ein zugreifender Client eine "virtuelle" IP aus dem IP-Bereich des Firmen-Netzes bekommen und sich netzwerktechnisch mit dem Firmen- Intranet verbinden, als wäre er im Büro.
Answer
from
2 years ago
Danke, da ich nicht weiß, wie "gekapselt" ist, es wird dann wohl Variante 1 sein und auf der Fritz!Box war der UDP 4500 überflüssig, das kann ich aber leider nicht mehr testen.
Unlogged in user
Answer
from
2 years ago
Hallo @Atti58 ,
willst du IPSec weiterleiten?
Wenn ja, brauchts für ESP nichts, das macht der Pro schon richtig.
5
Answer
from
2 years ago
Ich habe ja leider im Moment kein DSL mehr, wir ziehen um und am neuen Standort hat die Telekom noch keine Leitung. Ich muss die nächste Zeit nur mit LTE arbeiten.
Answer
from
2 years ago
@Atti58
Hast du IPSec im Pro aktiviert?
Deine bintec baut die Verbindung auf?
Dann solltest du überhaupt keine Portweiterleitungen benötigen.
Answer
from
2 years ago
Wo kann ich IPSEC aktivieren?
Soweit die Theorie
...
Unlogged in user
Answer
from
2 years ago
Hallo an die Community, ich musste heute von meiner Fritz!Box auf einen Speedport Pro Plus wechseln und habe folgendes Problem: Hinter meinem Route hängt ein zweiter Router, der fünf IPSEC-Tunnel zu meinem Kunden aufbaut. Auf der Fritz!Box waren die Portweiterleitungen UDP 500 --> 500, UDP 4500 --> 4500 und ESP --> ESP jeweils auf die IP des nachgeschalteten Routers eingerichtet und es funktionierte bestens. Auf meinem Speedport kann ich keine ESP-Weiterleitung erstellen und die Tunnel werden nicht aufgebaut. Kann man ESP irgendwie trotzdem weiterleiten?
Hallo an die Community,
ich musste heute von meiner Fritz!Box auf einen Speedport Pro Plus wechseln und habe folgendes Problem:
Hinter meinem Route hängt ein zweiter Router, der fünf IPSEC-Tunnel zu meinem Kunden aufbaut. Auf der Fritz!Box waren die Portweiterleitungen UDP 500 --> 500, UDP 4500 --> 4500 und ESP --> ESP jeweils auf die IP des nachgeschalteten Routers eingerichtet und es funktionierte bestens.
Auf meinem Speedport kann ich keine ESP-Weiterleitung erstellen und die Tunnel werden nicht aufgebaut.
Kann man ESP irgendwie trotzdem weiterleiten?
Wenn man eine Routerkaskade hat, muss man auch die Ports kaskadiert weiterleiten. D. h., dass man, um Geräte hinter dem zweiten Router von außen erreichbar zu machen, erst einmal diese Ports im ersten Router sämtlich auf den zweiten Router weiterleiten muss. Im zweiten Router folgt dann die Weiterleitung auf die einzelnen Geräte.
13
Answer
from
2 years ago
In deiner bintec kommen keine udp-Pakete von den DBs an?
... so ein Router-Profi bin ich nicht, dass ich das überprüfen könnte, ohne jetzt Recherchen anzustellen...
Answer
from
2 years ago
wenn nicht im Forwarding Menu angeboten wird.
... und da kann ich es nicht anlegen, das Forwarding von ESP.
Answer
from
2 years ago
Ich bitte vielmals um Entschuldigung - nach einem Blick auf meine IPSEC-Tunnel im bintec und nach Herunterscrollen sah ich, dass ein Tunnel zu einer festen IP aufgebaut war und da fiel es mir "wie Schuppen aus den Haaren" - ich hatte vergessen, auf dem Speedport DynDNS einzurichten.
Ich danke Euch für die Unterstützung, das war wirklich alles sehr qualifiziert.
Unlogged in user
Answer
from
Accepted Solution
accepted by
2 years ago
Ich bitte vielmals um Entschuldigung - nach einem Blick auf meine IPSEC-Tunnel im bintec und nach Herunterscrollen sah ich, dass ein Tunnel zu einer festen IP aufgebaut war und da fiel es mir "wie Schuppen aus den Haaren" - ich hatte vergessen, auf dem Speedport DynDNS einzurichten.
Ich danke Euch für die Unterstützung, das war wirklich alles sehr qualifiziert.
0
Unlogged in user
Ask
from