KuniGunther
Aktives Mitglied
- Mitglied seit
- 8 Jun 2005
- Beiträge
- 2,189
- Punkte für Reaktionen
- 2
- Punkte
- 38
Hallo Harald,
vielleicht sollte man es in diesem Thread auch nochmal explizit sagen (Dein Zitat von mir aus Posting #19 bzgl. Portweiterleitung ist nämlich veraltet - sorry -, da lief irgendwas beim Capturen schief):
Wenn der VPN-Server IKE-Anfragen ausschließlich von einem Source-Port 500 akzeptiert, dann muß man ausnahmsweise auch für den Client-Betrieb in der FritzBox eine Portweiterleitung eintragen (UDP 500). Diese verhindert, dass die FritzBox den Port in den ausgehenden Paketen umschreibt, d.h. PAT betreibt.
Dieses funktioniert nachgewiesenermaßen und ist in dem von AVM bei solchen Anfragen verschicktem PDF-File auch genause mit dieser Begründung beschrieben! (Soll heißen, ich habe mittlerweile bei AVM nachgefragt.)
Die Sache mit dem Port-Handling der Server sehe ich etwas anders:
Nun ja, Du zitierst da etwas anderes als ich gefunden habe. Die Formulierung im Original RFC ist nämlich so, dass da steht "other ports MAY be supported". Wenn jetzt jemand einen Server schreibt, implementiert er natürlich erstmal nur das MUST ... Ich denke schon, dass die Server, die nur Port 500 bedienen standard-konform sind.
Nun, um mal spitzfindig zu sein, könnte ich sagen, es liegt ja nicht am NAT, sondern am PAT . Nein, da der Port 500 nur während der Schlüsselaushandlung gebraucht wird, würde ich in einem solchen NAT-Server, den ausgehenden Port 500 dafür reservieren und ihn jeweils für den "freischalten", der ihn benutzt. So können zwar auch keine zwei Schlüsselaushandlungen gleichzeitig stattfinden (geht mit Portforwarding ja auch nicht), aber so wäre man nicht an eine IP gebunden.
Viele Grüße,
Volker
vielleicht sollte man es in diesem Thread auch nochmal explizit sagen (Dein Zitat von mir aus Posting #19 bzgl. Portweiterleitung ist nämlich veraltet - sorry -, da lief irgendwas beim Capturen schief):
Wenn der VPN-Server IKE-Anfragen ausschließlich von einem Source-Port 500 akzeptiert, dann muß man ausnahmsweise auch für den Client-Betrieb in der FritzBox eine Portweiterleitung eintragen (UDP 500). Diese verhindert, dass die FritzBox den Port in den ausgehenden Paketen umschreibt, d.h. PAT betreibt.
Dieses funktioniert nachgewiesenermaßen und ist in dem von AVM bei solchen Anfragen verschicktem PDF-File auch genause mit dieser Begründung beschrieben! (Soll heißen, ich habe mittlerweile bei AVM nachgefragt.)
Die Sache mit dem Port-Handling der Server sehe ich etwas anders:
telchef schrieb:Im [eigentlich was anderes beschreibenden] RFC 3104 wird übrigens nebenbei mal ausdrücklich darauf hingewiesen, daß in den RFCs 2407-2409 [zu IKE v1] der Source-Port gar nicht zwingend vorgeschrieben ist.
[...]
IKE implementations MUST support UDP port 500 for both source and destination, but other port numbers are also allowed.
Nun ja, Du zitierst da etwas anderes als ich gefunden habe. Die Formulierung im Original RFC ist nämlich so, dass da steht "other ports MAY be supported". Wenn jetzt jemand einen Server schreibt, implementiert er natürlich erstmal nur das MUST ... Ich denke schon, dass die Server, die nur Port 500 bedienen standard-konform sind.
telchef schrieb:Allerdings bleibt zu klären, warum andere Router das trotzdem durchleiten können - und auch mit mehreren Clients aus ihrem eigenen geNATeten LAN.
Nun, um mal spitzfindig zu sein, könnte ich sagen, es liegt ja nicht am NAT, sondern am PAT . Nein, da der Port 500 nur während der Schlüsselaushandlung gebraucht wird, würde ich in einem solchen NAT-Server, den ausgehenden Port 500 dafür reservieren und ihn jeweils für den "freischalten", der ihn benutzt. So können zwar auch keine zwei Schlüsselaushandlungen gleichzeitig stattfinden (geht mit Portforwarding ja auch nicht), aber so wäre man nicht an eine IP gebunden.
Viele Grüße,
Volker