SSH Sentinel/Nat-t +FreeS/WAN

[sparstrumpf]

Hi @all,

wenn jemand einen Rechner hinter einem NAT Device an ein VPN-Gateway mit FreeS/WAN am laufen hat, sollte er mir doch mal helfen können, oder? :-)

"Normale"-RW mit ISDN/DSL bekomme ich Problemlos an mein Gateway ran, aber mit NAT-Devices mag das garnicht funzen.

Ich hab mal beim Sentinel die "NAT-T"-Funktion ausprobiert, und mir auch einen NAT-T Router besorgt.

/etc/ipsec.conf

config setup

interfaces=%defaultroute #auf beiden Netzwerkdevices werden Verbindungen erwartet

klipsdebug=none #Debuglevel(all|none) für die IKE-Phase1

plutodebug=none #Debuglevel(all|none) für die IKE-Phase2

plutoload=%search #Der Dienst soll nur bei Gerauch geladen und gestartet werden

plutostart=%search

uniqueids=yes #Jeder User hat seine eigene Kennung im 3. Abschnitt

conn %default

keyingtries=1 #zum Steuerung der Empfindlichkeit beim Aufbau einer Session.

disablearrivalcheck=no # 1=mehrer Versuche möglich, 0=nur ein Versuch bis Abbruch

compress=yes #Zum schnelleren Datenaustausch werden die Daten komprimiert

authby=rsasig #Verschlüsselungstechnik beim Verbindungsaufbau

leftrsasigkey=%cert #Das Gateway muss sich per Zertifikat ausweisen

rightrsasigkey=%cert #Auch die Remote-User müssen Zertifikate verwenden

right=%any #Da alle Mitarbeiter dynamische IP´s verwenden,

#darf jeder einen Verbindungsaufbau versuchen

left=%defaultroute #Die Pakete werden durch die normalen Routingtables geleitet

leftcert=gwca.pem #Das Gateway authentifiziert sich mit diesem Zertifikat

auto=add #Verbindung wird bei Anfrage des Clients zugewiesen

pfs=yes #Perfect Forwarding Secrecy, eine unterart von IKE

conn user1

#leftsubnet=172.24.100.0/24 #Entweder lasse ich den User nur in bestimmte Netze

leftsubnet=0.0.0.0/0 #Oder in alle verfügbaren

rightid="C=DE, ST=Bayern, L=Aschaffenburg, O=FIrma, CN=user1, E=user@firma.biz"

#zur Überprüfung der Daten aus dem Userzertifikat

rightcert=user.pem #Nur über dieses Zertifikat bekommt der User einen Tunnel aufgebaut

Netzstruktur:

Client:

IP:192.168.0.1/24 Router: 192.168.0.254/24+Offical IP

VPN-GW:

Externes Interface:feste offizielle IP

Internes Interface: 192.168.252.10/24 (RAS-Transfernetz)ETH1

S-NAT auf internes Interface

Routing/GW:

││172.16.0.0 │192.168.252.1 │255.240.0.0 │eth1

││10.0.0.0 │192.168.252.1 │255.0.0.0 │eth1

││192.168.0.0│192.168.252.1 │255.255.0.0 │eth1

Und ich hab leider keinen Plan warum der NAT-Rechner nicht andocken kann...

Please Help...

mfG,