vpn verbinding via ipsec

[Verwijderd]

Kwestie:

Dhr. BlaBla wild bij hem thuis op het bedrijfsnetwerk.
Nu hebben we bij het bedrijf een ADSL Modem en daarna een Etech Router(de blauwe op de etech site, onderaan), daarna een nt bak en daar hangen een paar workstations op. Allemaal leuk en aardig, maar Dhr. BlaBla komt niet verder als de ADSL Modem.

Zou het werken als we bij de internetprovider zouden vragen of ze de poorten 80, ipsec=500 en vpn=1739 willen doorlaten. Want we kunnen niet in die modem komen. In die router kunnen we wel komen.

Graag zou ik julie mening willen hoorden of suggestie's!!

[Zwelgje]

Het Grote Poortmappingsverhaal

[Verwijderd]

Maar je kan geen poortmapping toepassen op die ADSL modem!!!
Mischien wel op die Etech Router

[Zwelgje]

waarom zou je ook in dat ADSL modem willen komen? je moet op die router komen en die zo configgen dat ie de desbetreffende poortjes doorlaat

zo doe ik het thuis ook, dat ADSL modem is niks anders als een kastje wat het ADSL signaal omzet naar een ethernet verbinding

waarom neem je overigens niet gewoon een draytek 2300 VPN router? die kan 16 vpn tunnels tergelijkertijd aan, hier werken we er ook mee op de zaak en het werkt prima

[hightower]

als eerste is het een verkeerde veronderstelling dat ipsec via poort 500 loopt.
ipsec zit op layer 3 en daar zijn geen poorten aanwezig. de poort 500 is voor kerberos. voor de encryptie key uitwisseling. wat je router zou moeten ondersteunen is ipsec pass-through. het protocol esp moet erdoor namelijk.

Ik heb zelf ook met dit probleem gezeten. Dat is intussen opgelost. Je router vernaggelt namelijk je ipsec pakketje. en die word dan gedropt.

oplossing voor mij was het inzetten van een vpnbak van cisco die net transparancy ondersteund. Heel simpel gezegt word het complete ipsecpakketje nog een keer in een UDP/TCP pakketje ingepakt. Dat kan wel door de router heen. vervolgens pakt die cisco bak het pakketje weer uit en houd het originele ipsec pakketje weer over.

wat eenvoudiger is om toch maar voor pptp/l2tp te kiezen zonder ipsec

[ Voor 5% gewijzigd door hightower op 23-01-2003 15:39 ]

[Verwijderd]

zwelgje schreef op 23 January 2003 @ 15:32:

waarom neem je overigens niet gewoon een draytek 2300 VPN router? die kan 16 vpn tunnels tergelijkertijd aan, hier werken we er ook mee op de zaak en het werkt prima

alles ligt eral!!!
Dus geen optie om iets nieuws te kopen

[ Voor 8% gewijzigd door Verwijderd op 23-01-2003 15:53 ]

[Verwijderd]

je zal je ipsec verbinding moeten laten stoppen op de router/ adsl modem... ipsec kan nu eenmaal niet over een NAT (moet je perse over NAT pptp gebruiken!!!)

edit: portmappen van ipsec werkt dus niet...

[ Voor 14% gewijzigd door Verwijderd op 23-01-2003 17:50 ]

[wouter93]

Herconfigureer de DSL-router thuis zodat-ie bridged of met de "mx-stream-vpn-connectie" de pc een echte internet-aansluiting met extern ip-adres geeft. Dan kun je wel ipsec doen. Zet dan wel een firewall op het werkstation.

[igmar]

Verwijderd schreef op 23 januari 2003 @ 14:30:
Kwestie:

Dhr. BlaBla wild bij hem thuis op het bedrijfsnetwerk.
Nu hebben we bij het bedrijf een ADSL Modem en daarna een Etech Router(de blauwe op de etech site, onderaan), daarna een nt bak en daar hangen een paar workstations op. Allemaal leuk en aardig, maar Dhr. BlaBla komt niet verder als de ADSL Modem.

Zou het werken als we bij de internetprovider zouden vragen of ze de poorten 80, ipsec=500 en vpn=1739 willen doorlaten. Want we kunnen niet in die modem komen. In die router kunnen we wel komen.

1) IPSEC kun je niet over NAT draaien, tenzij je router daar ondersteuning voor heeft (IPSEC over UDP
2) IPSEC is 500 UDP en protocol 50 en 51

1739 is iig geen onderdeel van de IPSEC standaard.

[Zwelgje]

Verwijderd schreef op 23 januari 2003 @ 17:49:
je zal je ipsec verbinding moeten laten stoppen op de router/ adsl modem... ipsec kan nu eenmaal niet over een NAT (moet je perse over NAT pptp gebruiken!!!)

edit: portmappen van ipsec werkt dus niet...

als de TS nu thuis en op het werk een Draytek 2300 neerzet dan kan je die drayteks zo configgen dat ze een ipsec tunnel naar elkaar opzetten, (veilig en met een goede encryptie!)

dat werkt perfect zo knoop ik ook altijd 2 vestigingen (of meer) aan elkaar, veilig snel, stabiel

maar goed de TS wil graag op een betrekkelijk onveilige manier op de eerste rang zitten en geen 150€ uitgeven aan een router die hardwarematig vpn tunnels kan afhandelen (16 stuks)

lekker professioneel , tis nog bedrijfsmatig ook,... typisch,typisch,

(no offense aan de TS, ik kom het helaas te vaak tegen)

[Verwijderd]

soms wil je niet dat een vpn stopt op de router.

[Zwelgje]

Verwijderd schreef op 24 januari 2003 @ 10:03:
soms wil je niet dat een vpn stopt op de router.

zon ding stopt ook niet op de router, de router zorgt voor de 'tunnel' waar het verkeer doorheen gaat

feitelijk heb je gewoon een lan2lan verbinding (thuis>werk)

[schroevendraaier480]

Wil je IPSec tunnelen, dan zal je als VPN endpoint je router moeten gebruiken. Daarnaast zal je op het werkstation van Dhr. BlaBla een IPSec VPN client moeten hebben. Bij de meeste IPSec implementaties is dat een propietary VPN client (dus bijv. firewall Sonicwall, VPN client Sonicwall).

Al eerder genoemd IPSec by design geen NAT (mits ondersteuning IPSec over UDP), einde tunneltje.

In jouw situatie denk ik dat je beter kan gaan voor PPTP tunneling, of bij Dhr. Blabla een router zetten die IPSec praat (ook genoemd,Draytek) en een LAN-to-LAN Ipsec tunnel bouwen. Let er hierbij welk op dat beide routers een public IP adres hebben (NAT weetjewel).