[Frage] Speedport Hybrid und IPsec-VPN

Also mein IP Sec VPN muss täglich aus und wieder eingeschaltet werden, dann funktioniert er auch wieder.. aber momentan noch etwas verbuggt

Hab zwar keinen Speedport-Router, aber einen Hinweis zu IPSec (keine Ahnung, ob das Wappentier damit in die griechische Hauptstadt transportiert wird):

Die Kombination aus UDP 500 und ESP kann man - wenn das einstellbar ist im Client, da fehlt die Angabe, welcher bzw. selbst dann wüßte ich das nur bei ausgewählten Clients und das kriegst Du 100% selbst raus - durch UDP 4500 (IPSec mit NAT-T) problemlos bei der FRITZ!Box ersetzen bzw. sollte man sogar. Dann hat man auch keine Probleme, wenn sich beide Seiten hinter einem NAT-Device befinden, was ja selbst bei einem Handy o.ä. häufig der Fall sein dürfte (entweder beim Mobilfunk-Provider oder z.B. im WLAN abseits des Netzes der FRITZ!Box/des Speedports). Spätestens mit der Freigabe der UDP-Ports 500 und 4500 an die FRITZ!Box müßte eigentlich das VPN auch funktionieren, wenn bei der ersten Kontaktaufnahme auf Port 500 die NAT-T-Funktionalität auf beiden Seiten aktiviert wird und dann ohnehin auf Port 4500 umgeschaltet wird. Je nach Software (i.d.R. je nach Möglichkeit der expliziten Angabe eines Ports auf der Gegenseite) versuchen einige Varianten auch automatisch auf 4500 eine Verbindung, wenn für 500 eine Ablehnung (im ICMP-Paket) eintrifft, dann kann diese Portfreigabe auch entfallen.

NAT-T wurde ja gerade für die Fälle spezifiziert, wo eben kein Gateway mit IPSec-Passthrough existiert bzw. wo die implizite Beschränkung so einer IPSec-Lösung auf eine einzelne Verbindung (Ursache ist das Fehlen von Portnummern - mithin von Unterscheidungsmöglichkeiten - im ESP) nicht tragbar ist.

Die FRITZ!Box müßte ohnehin automatisch NAT-T wollen, wenn sie hinter einem Speedport hängt, auf der Gegenseite ist es eben eine Frage der Einstellungen (z.B. beim Shrewsoft-Client ist eine explizite Umschaltung möglich, die auch dann wirkt, wenn tatsächliche ESP verwendet werden könnte).

andiling schrieb:

Einsatz wäre auf einem Windows Server Core x64, sprich alles soll über CLI gehen

Zum Vergrößern anklicken....

Da kann ich Dir leider nicht wirklich helfen ... kenne noch den Cisco- und den NCP-Client abseits von Shrewsoft und (eher suboptimal) dem FRITZ!Fernzugang. Alles nichts wirklich für Deinen Anwendungsfall, aber wenn der Speedport das kann und das VPN zwischen SP und Windows-Server laufen soll, würde ich gleich auf L2TP/IPSec setzen, das geht schon seit Server 2003, wenn ich mich recht erinnere. Das mit dem CLI auf dem Server würde ich so verstehen, daß die VPN-Verbindung tatsächlich nur bei Bedarf gestartet wird? Finde ich ungewöhnlich, wenn es so ist und dann sind natürlich solche Sachen wie L2TP/IPSec außen vor. Ansonsten braucht es da eben kein "start VPN" o.ä. ... wenn Daten für ein Ziel zu senden sind, zu dem derzeit kein sicherer Tunnel besteht, wird eben einer aufgemacht.