Quais portas para IPSEC / LT2P?

13

Eu tenho um firewall / roteador (não está executando o NAT).

Pesquisei no Google e vi respostas conflitantes. Parece que o UDP 500 é o mais comum. Mas os outros são confusos. 1701, 4500.

E alguns dizem que eu preciso também permitir gre 50, ou 47, ou 50 e 51.

Ok, quais portas são as corretas para o IPSec / L2TP funcionar em um ambiente roteado sem NAT? ou seja, eu quero usar o cliente interno do Windows para conectar-se a uma VPN por trás desse roteador / firewall.

Talvez uma boa resposta aqui seja especificar quais portas abrir para diferentes situações. Eu acho que isso seria útil para muitas pessoas.

linux iptables firewall ipsec l2tp Matt
fonte
Estou certo se é udp 500,1701 e gre 50?
22612 Matt

Respostas:

22

Aqui estão as portas e protocolos:

  • Protocolo: UDP, porta 500 (para IKE, para gerenciar chaves de criptografia)
  • Protocolo: UDP, porta 4500 (para modo IPSEC NAT-Traversal)
  • Protocolo: ESP, valor 50 (para IPSEC)
  • Protocolo: AH, valor 51 (para IPSEC)

Além disso, a porta 1701 é usada pelo servidor L2TP, mas as conexões não devem ser permitidas de entrada de fora. Há uma regra de firewall especial para permitir apenas o tráfego protegido por IPSEC nesta porta.

Se você estiver usando IPTABLES e o servidor L2TP estiver diretamente na Internet, as regras necessárias são:

iptables -A INPUT -i $EXT_NIC -p udp --dport 500 -j ACCEPT
iptables -A INPUT -i $EXT_NIC -p udp --dport 4500 -j ACCEPT
iptables -A INPUT -i $EXT_NIC -p 50 -j ACCEPT
iptables -A INPUT -i $EXT_NIC -p 51 -j ACCEPT
iptables -A INPUT -i $EXT_NIC -p udp -m policy --dir in --pol ipsec -m udp --dport 1701 -j ACCEPT

Onde $EXT_NICestá o nome da sua placa de interface de rede externa, por exemplo, ppp0.

David Lomax
fonte
1
Descobri que não preciso de ESP & AH, pois não estou usando o IPSEC diretamente, mas o IPSEC sobre L2TP com NAT. Então, eu sou capaz de fugir com as portas 500,4500,1701. Comentário interessante sobre a regra especial para 1701. Vou ter que tentar isso assim que descobrir como configurá-lo com o Mikrotik.
Matt
4

O Ipsec precisa da porta UDP 500 + protocolo IP 50 e 51 - mas você pode usar o NAt-T, que precisa da porta UDP 4500. Por outro lado, o L2TP usa a porta udp 1701. Se você estiver tentando passar o tráfego IPsec através de um Wi "regular" -Fi router e não existe uma opção como passagem IPSec, recomendo abrir as portas 500 e 4500. Pelo menos é assim que funciona na minha. Espero que isto ajude.

Chickenloop
fonte