On Fri, 8 Jun 2001 16:12:20 +0200, "Søren Gellert"
<slg@scanconsult.dk> wrote:
>> Jeg kører selv praktisk talt dagligt klient-baseret access-VPN
>> over NAT og firewalls fra forskellige steder. Jeg har også kørt
>> LAN-to-LAN VPNs over NAT, og også det lader sig gøre.
> Interessant. Jeg har ikke selv kunnet få det til at virke (ESP + AH).
Nej, AH vil af gode grunde ikke virke. (Der hash'es på hele
pakken inkl. source og destination IP). ESP, derimod, virker
fint, i hvert fald så længe man holder sig til tunnel mode. Så
LAN-to-LAN VPNs kan bringes til at virke, hvis man tænker sig
lidt om.
En anden mulighed er at køre med et produkt, der kan lave både
NAT-delen og IPSec-delen (plus evt. firewall) i samme box. Så kan
man nemlig lave IPSec efter NAT. En ordentlig firewall kan dette,
og nogle routere kan også.
En mulighed, ved klient-baserede access-VPNs, er at køre IKE som
normalt, men at køre IPSec over UDP eller TCP. Ciscos 3000-serie
af concentratorer kan køre IPSec over UDP/10000, mens 5000-serien
kan køre det over TCP/80.
Ovenstående er selvfølgelig lidt bøvlet, men det korte af det
lange er, at det kan lade sig gøre.
> Kunne du evt. pege mig i retningen af noget dokumentation af dette?
Noget af det bedste jeg har set om problematikken er en artikel
fra Internet Protocol Journal, der godt nok udgives af Cisco, men
er relativt leverandør-neutral.
http://www.cisco.com/warp/public/759/ipj_3-4/ipj_3-4_nat.html
> Gerne relateret til *BSD.
Jeg skulle mene FreeS/WAN plus Masquerade på en *IX skulle kunne
gøre det (i hvertfald IPSec efter NAT, men formentlig også det
med at køre uden AH og med ESP i tunnel mode), men *IX er ikke
min stærkeste side.
-A
--
Heroes: Vint Cerf & Bob Kahn, Leonard Kleinrock, Robert Metcalfe, Jon Postel
Links :
http://www.hojmark.org/networking/
FAQ :
http://www.net-faq.dk/