Hallo zusammen,
hat einer von euch schon mal IPsec-Strecken über geNATete Netze gefahren?
Auf was muss man alles achten? Gibt´s Erfahrungswerte, die ihr mir mitteilen könnt?
Du kannst nur den Tunnel-Modus benutzen, Transport Mode geht nicht (davon ab, daß letzterer sowieso überflüssig ist).
Alles andere, also Konfiguration etc. hängt davon ab, welche IPsec-Implementierung Du verwendest. Ich empfehle http://www.kame.net/
Gruß,
Malte.
[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]
Aufbauend zum Vorredner, global gesehen geht NAT dann nicht, wenn die IP-Pakete mittels ESP Verschlüsselt werden. Wenn jetzt ein Router wegen nTo1-NAT den Sourceport ändern möchte, findet er diesen im ESP-Paket nicht und dropt.
Da bei der Knappheit der IP-Adressen NAT aber unausweichlich ist, gibt es 2 Lösungsansätze. Router beherrschen zum einen IPsec Pass-Through und NAT’en nicht anhand des Sourceports sondern anhand der ESP-Cookies und SPI. Oder aber, manche Hersteller (z.B. Nortel oder Cisco) packen auf Wunsch die ESP Pakete nochmals in UDP oder TCP Pakete ein. Wobei diese Lösung properitär ist.
Wenn eine der beiden Möglichkeiten zur Verfügung steht ist NAT bei IPsec Tunneln kein Problem.
Gruß
Chris
[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]
Einführung in IPsec
Hallo zusammen,
hat einer von euch schon mal IPsec-Strecken über geNATete
Netze gefahren?
Schau mal hier: http://www.alliednetworks.de/content/news/1046904368…
Da findest Du gut aufbereitet Infos zum IPsec Standard. Tieferes Verständnis halte ich unabdingbar, um das Zeug sinnvoll anwenden zu können.
Gruß,
Malte.