Får ikke koblet til VPN server når jeg er bak router

[moffeloffen]

Hei!

 

Har en vpn server jeg skal koble til, serveren står i en annen by og jeg sitter hjemme.

Om jeg har modem rett i pc, dvs ekstern ip rett på min pc får jeg koblet til vpn serveren, men saken er at dette må fungere med min router (clarkconnenct) og det gjør det ikke.

 

Så det jeg lurer på er hvilke porter som skal evt nat'es og åpnes i firewall på router.

[Knopfix]

Prøv å åpne port UDP 500,UDP 4500 IP og protokoll 50 og 51.

Det er ikke sikkert ruteren din støtter NAT-T som av og til brukes over VPN men prøv med den oppskriften først.

Endret 31. mai 2008 av Knopfix

[moffeloffen]

Prøv å åpne port UDP 500,UDP 4500 IP og protokol 50 og 51.

Det er ikke sikkert ruteren din støtter NAT-T som av og til brukes over VPN men prøv med den oppskriften først.

 

 

har nå åpnet disse og forwardet til riktig lan ip:

 

udp 500 og 4500

tcp 50 og 51

 

men kommer ikke ut

[Knopfix]

Mulig de bruker en statisk TCP port til VPN og da må du i tilfelle ha portnummeret fra IT avdelingen.

 

 

Protokoll 50 og 51 er en protokoll som heter AH og ESP se om du finner disse navnene i ruteren.

Se også etter noe som heter NAT-T.

Endret 31. mai 2008 av Knopfix

[tyldum]

En annen ting: forsikre deg om at IP-rangene på hver side av tunnellen ikke overlapper.

[VictorOsborn]

Forsikre deg om at ikke vpn trafikk blir NATet. På en cisco boks ville jeg ha eksludert trafikken til å bli nattet fordi nat prosessen skjer før VPN.

[Knopfix]

NAT-T bruker UDP port 4500 for å løse NAT problemet.Mellom ruterene foregår det en NAT-T discovery prosess for å sjekke om NAT-T er støttet alle hopp på veien.

En ekstra ukryptert UDP header med portnummer blit satt på utenpå den krypterte pakken fordi det orginale portnummeret er kryptert hvis du kjører ESP.

Derfor må ruteren støtte NAT-T ved ESP men ikke med AH for der blir headeren autentisert mens ESP krypterer payload og portnummer.

AH er lite brukt fordi det ikke er støtte for kryptering men den kan brukes sammen med ESP.

Default er UDP port 4500 men det kan også brukes en statisk TCP port som må samsvare på begge sider.

Endret 1. juni 2008 av Knopfix

[VictorOsborn]

_

Endret 1. juni 2008 av VictorOsborn

[Knopfix]

En annen ting du kan sjekke er om portene i Windows brannmur eller annen brannmur på PC er åpnet.

Endret 1. juni 2008 av Knopfix

[Dal]

Merkelig at du må åpne noe i routeren i det hele tatt UT. All trafikk pleier jo å være åpnet ut.

Det må være noe med *returporten* som ikke kommer seg inn igjen til deg, så du må sikkert lage deg en portforward (eller brannmur-unntak) på den aktuelle porten.

Men jeg vet dessverre ikke hvilken port det kan være

Kanskje loggen i routeren viser det?

[Knopfix]

Hvis du ikke bruker en ruter så pleier det meste å være åpent.

Da blir du tildelt public IP direkte på en maskin.

Med ruter blir det NAT og en public IP blir delt opp til flere private bak ruter.

Portforward er jo det samme som å åpne porter mot din private IP.

Forslag her var IKE(ISAKMP) UDP port 500 som bukes til krypterte nøkler ved VPN og NAT-T brukt ved ESP som default er UDP 4500.

[VictorOsborn]

ja jeg sletta, skulle spørre hvilken client han brukte og slettet det med sdm. Var bare ett tips når man skal sette opp site to site med å eksludere vpn traffik fra nat. Ellers finnes det noen clienter som har problemer med vpn clienter feks xp sine.

 

Linux: http://www.fath.us/CCOpenVPN.html

Endret 2. juni 2008 av VictorOsborn

[Knopfix]

Trådstarter bruker Clarkconnect og ikke Cisco så derfor er nok SDM uaktuelt.

Han skal koble seg til en site med PC og ruter og bestemmer ikke VPN oppsettet fra site men kun tilpasser deres policy.

Jeg vet man bruker en access-list for trafikk i en Cisco ruter men det er ganske lite relevant i dette innlegget da han kun får pushet en VPN server policy som klient i en Clarkconnect.

Ellers kommer jo NAT uansett inn i bildet med Clarkconnect i motsetning til da han fikk koblet seg opp mot VPN direkte gjennom modemet ved hjelp av en public IP.

Men kan du ikke heller kommer med en konkret løsning på problemet hans slik at han får opp ruteren sin?Step by step guide feks

 

Hehe slettet du innlegget ditt?

Endret 2. juni 2008 av Knopfix

[VictorOsborn]

ja jeg sletta, skulle spørre hvilken client han brukte og slettet det med sdm. Var bare ett tips når man skal sette opp site to site med å eksludere vpn traffik fra nat, når det ikke er overlappende nettverk, som er vanlig å gjøre. Ellers finnes det noen clienter som har problemer med vpn clienter feks xp sine.

 

Linux: http://www.fath.us/CCOpenVPN.html

 

Skulle gjerne vist hva slags type vpn det er snakk om: IPSEc, PPTP etc. På clark connect forumet så skrives det at PPPTP passtrough slås av når FW på clarkconnect er på.

 

http://www.clarkconnect.com/forums/showfla...=true#Post99250

 

Ellers er det noen guider der, google is our friend.

Endret 2. juni 2008 av VictorOsborn