[Frage] VPN port 500 IKE - wie ändern?

[matritze]

Hi,

zum VPN port 500 IKE hab ich schon einiges gelesen aber nichts gefunden ob und wie man diesen mit der standard Fritzbox FW (z.B. 7390) ändern kann. Weiss das zufällig hier jemand?

Mein Firmennetz läßt nur port 80 und 443 durch. Deshalb die Frage....
Ich könnte mir auch ein VPN auf meinem Rechner (Linux) einrichten und diese auf Port 443 setzen, aber ich irgendwie ist mir das aus Sicherheitsgründen nicht ganz geheuer. Einfacher und sicherer scheint mir das über die Fritzbox direkt zu gehen wenn...ja wenn man diesen verflixten port 500 ändern könnte....

Danke euch.

 

[HabNeFritzbox]

Wird nicht ohne Grund beschränkt sein, solltest also auch entsprechend Absegnen lassen, kann sonst Arbeitsrechtliche Folgen haben.

Wirst wohl eher auf dein Rechner openVPN betreiben müssen da kannst ohne Probleme auf TCP 443 gehen.

 

[HabNeFritzbox]

Jop, da haste Recht. Wollte halt nicht nur Hinweis wegen Arbeitgeber schreiben, kann ggf. auch teuer werden neben der Kündigung ect. Daher sollte dieses klar abgestimmt sein.

 

[matritze]

Das mit dem Arbeitsrecht hab ich verstanden. Danke.
Ich frage mich allerdings wo Sicherheitstechnisch der Unterschied ist wenn man Home Office hat. Ob ich nun von zu Hause ins Firmen-Netz gehe oder vom Firmen-Netz nach Hause. Selbst wenn ich mit dem Firmennetz von zu Hause aus verbunden bin kann ich trotzdem andere, private Rechnern erreicht werden und andere, private Rechner können meinen Laptop erreichen. Ich hab das getestet und bei mir es ist so. Sicherheitsbedenken sollten da also keine Rolle spielen.
Vermutlich geht es geht es da eher um Kontrolle was der Mitarbeiter so rum surft. Kann ich nachvollziehen .

Technisch gesehen kann man also den 500er Port nicht umkonfigurieren, richtig?

 

[Pokemon20021]

Technisch gesehen kann man also den 500er Port nicht umkonfigurieren, richtig?

IMHO:
Tunnelanfang und -Ende ist bei IPsec-IKE jeweils Port 500 (Port UDP/500 und ESP-Protokoll (Nummer 50)) oder (UDP/4500);
dazwischen können sich u.U. auch NAT-GWs (UDP/4500 Portforwardings) befinden;
z.B. die Initiator-Seite des Tunnels kann sich hinter einem CGN-Device (DS-Lite Anschluß) befinden; Responder-Seite muß Public-IPv4 haben.

EDIT: Requirements aus #8 nachgepflegt

 

[Theo Tintensich]

Die Post sind bei IPsec fest.
Und mittels NAT und CO funktioniert IPsecV1 nur ganz schlecht, weshalb mehr und mehr auf V2 umstellen.
(Viele IPsecV1-Implementationen schaffen es nicht, den Port, der bei NAT ja meistens auch per PAT verdreht wird, sauber den jeweils anderen System zu melden. Weshalb solche Verbindungen kläglich scheitern.
Was auch ein Grund für die Entwicklung von V2 war)

Ja, die F!B können nur V1

 

[Pokemon20021]

Bitte beachten, dass für IPsec-IKEv1 folgende Requirements erforderlich sind:
(Port UDP/500 und ESP-Protokoll (Nummer 50)) oder (UDP/4500)

weitere Details zu Einsatz von IPsec-IKEv1 und erforderliche Protokolle, Ports sowie NAT-T siehe:

UDP(!) 500 ist ISAKMP/IKE, ... Damit das funktioniert, müßte das Provider-Gateway "IPSec-Passthrough" machen, d.h. alle Pakete mit ESP-Protokoll (Nummer 50) und UDP 500 für den Schlüsselaustausch ohne Änderungen (also auch ohne die externe Adresse durch Deine 192.168.99.ZZZ zu ersetzen) an Deine Box weiterleiten und dürfte die von Deiner Box gesendeten Pakete auf ihrem Weg in das Internet nicht modifizieren, was aber wegen des erwähnten NAT nicht möglich ist.

UDP 4500 ist IPSec/NAT-T, das wäre in Deinem Falle das Protokoll, das zum Einsatz kommen muß. Dabei werden die eigentlichen IPSec-Pakete noch einmal zusätzlich in UDP-Paketen gekapselt, mit denen dann ein "Passieren" eines NAT-Gateways - und das ist dann NAT-Traversal - erst möglich wird, da in den äußeren UDP-Paketen sowohl die Adresse als auch der Port durch das NAT-Gateway geändert werden dürfen.

Bei mir funktioniert IPsec-IKEv1 VPN mit NAT-Device auf einer Seite, wenn die Responder-Fritzbox direkt an Public-IPv4 hängt,
Beispiele: Verbindung von Android zu Fritzbox sowie LAN-to-LAN VPN mit Fritzboxen.

 

[matritze]

Hallo Peter,

@matritze:
In deinem Eingangsbeitrag stand kein einziges Wort darüber, dass du mit deinem Arbeitgeber einen Vertrag für ein Homeoffice hast.

Das stimmt, denn es hat mit meiner eigentlich technischen Frage nur am Rande zu tun. Mir war klar das es möglicherweise arbeitsrechtliche Implikationen bei diesem Verhalten geben kann und das sogar mit Home Office.
Gut aber das dies hier in diesem öffentlichen Forum noch von euch erwähnt wurde...

Oder er wird, so wie das in "nennenswerten" Firmen mit IT-Sicherheitspersonal üblich ist, dir auch einen fertig eingerichteten und "abgedichteten" dienstlichen PC zur Verfügung stellen,

jo, so kenne ich das auch

welcher dann nur für dienstliche Zwecke zu nutzen ist, bei dem jegliche private Nutzung untersagt und unterbunden ist, und nur über diesen der VPN-Zugang möglich ist.

so kenne ich das nicht. Private Nutzung in vertretbarem Umfang ist manchmal schon erlaubt (z.B. surfen in der Mittagspause oder die gelegentliche E-mail, etc.) . Hillary Clinton z.B. hat ein paar zehntausend E-mails von Ihrem Dienstlaptop verschickt (angeblich) ...... und ich trotzdem Präsidentschaftskandidatin geworden.

Ich würde auch niemals zulassen, dass einer meiner privaten Rechner in irgend ein Firmennetz eingebunden wird.

Ich auch nicht. Wenn ich mich per VPN aus dem Firmen-Netz mit meinem privaten Netz verbinde, dann ist mein privater Rechner noch nicht im Firmennetz eingebunden. Er ist nur verbunden. Der AG kann ja nicht auf meinen Rechner zugreifen (vorausgesetzt Privat ist alles gut abgesichert und alles läuft mit rechten Dingen zu und dieses Vertrauen hab ich zu meinem AG).

Gruß,
matritze

- - - Aktualisiert - - -

Der Shrew Soft VPN client, mit dem man sich mit der Fritzbox verbinden kann, gibt nur port 500 an für die VPN-Verbindung zum VPN Server. Daher dachte ich das nur dieser Port verwendet wird.
Euren Aussagen nach scheint das aber nicht so zu sein. Könnte man theoretisch mal mit Wireshark überprüfen. Wobei es eigentlich nichts bringt wenn der Port eh nicht änderbar ist.

Jedenfalls Danke an alle für die Infos.

 

[Pokemon20021]

Der Shrew Soft VPN client, mit dem man sich mit der Fritzbox verbinden kann, gibt nur port 500 an für die VPN-Verbindung zum VPN Server.

Seltsam: in der Hilfe steht bei mir auch Port UDP/4500 bei NAT-T:
siehe https://www.shrew.net/static/help-2.1.x/vpnhelp.htm?RemoteSection.html

nat_traversal (on | off | force);
This directive enables use of the NAT-Traversal IPsec extension (NAT-T). NAT-T allows one or both peers to reside behind a NAT gateway (i.e., doing address- or port-translation). Presence of NAT gateways along the path is discovered during phase 1 handshake and if found, NAT-T is negotiated. When NAT-T is in charge, all ESP and AH packets of a given connection are encapsulated into UDP datagrams (port 4500, by default). Possible values are:



[TABLE="width: 0"]
[TR]
[TD="width: 50"]on[/TD]
[TD="width: 471"]NAT-T is used when a NAT gateway is detected between the peers.[/TD]
[/TR]
[TR]
[TD="width: 50"]off[/TD]
[TD="width: 471"]NAT-T is not proposed/accepted. This is the default.[/TD]
[/TR]
[TR]
[TD="width: 50"]force[/TD]
[TD="width: 471"]NAT-T is used regardless of whether NAT is detected between the peers or not.[/TD]
[/TR]
[/TABLE]


Please note that NAT-T support is a compile-time option. Although it is enabled in the source distribution by default, it may not be available in your particular build. In that case you will get a warning when using any NAT-T related config options.

 

[matritze]

So wie ich das verstehe ist NAT-T nur nötig wenn ich VPN von außerhalb direkt zu einem PC (zuhause) machen will. Ich meinem Fall geht es aber um VPN von außerhalb zur FB selbst.

hier ein Screenshot von den Einstellungen die ich meine:



leider hab ich den Client gerade nicht zur Hand um zu prüfen ob NAT-T bei mir disabled ist, aber ich denke schon dass das so ist.

 

[Pokemon20021]

So wie ich das verstehe ist NAT-T nur nötig wenn ich VPN von außerhalb direkt zu einem PC (zuhause) machen will. Ich meinem Fall geht es aber um VPN von außerhalb zur FB selbst.

wenn beide Tunnel-Ende eine Public-IPv4 verwenden und bei Inbound-/Outbound-Traffic das ESP-Protocol (Nummer 50) sowie UDP/Port 500 durchgelassen wird (was in vielen Hotels, Hotspots oder Firewalls gesperrt ist), dann kannst Du auf NAT-T und damit UDP/Port 4500 verzichten.

 

[matritze]

wenn beide Tunnel-Ende eine Public-IPv4 verwenden und bei Inbound-/Outbound-Traffic das ESP-Protocol (Nummer 50) sowie UDP/Port 500 durchgelassen wird (was in vielen Hotels, Hotspots oder Firewalls gesperrt ist), dann kannst Du auf NAT-T und damit UDP/Port 4500 verzichten.

gute Punkt. Daran hab ich gar nicht gedacht.
Also Nat-Traversal ist bei mir auch aktiviert, hab ich gerade überprüft. In einem Firmennetzwerk wird ja normalerweise schon NAT verwendet.... also selbst wenn man sich zur FB direkt verbindet braucht es dann die anderen Ports auch.

Ja, schade das es nicht geht oder so kompliziert ist (mit kompilieren, custom Firmware, etc.). Bleibt noch RDP (Remote Desktop) oder VNC was man auf port 80 oder 443 legen kann. Ist halt nicht so komfortabel und VNC braucht irre viel Übertragungsvolumen (vor allem mit 2 Bildschirmen und selbst mit niedrigen Farben-bits). Das ist doof mit einer mobilen Datenverbindung (3/4G ). Im Moment hab ich eine Virtual Box Linux VM mit angeschlossenem Smartphone und USB-Tethering und von WinSIM für 8 Euro / Monat eine All-Net Flat mit 2GB (inkl. LTE). Saubillig und funktioniert gut . Aber wenn man die Verbindung den ganzen Tag an hat, dann kann es sein das die 2GB im Monate doch nicht reichen....

Das mit der SSH Verbindung wäre auch ne ganz gute Alternative. Danke für den Tip. Werde ich bei Gelegenheit mal testen.
Natürlich nicht auf der Arbeit . Da ich VPN auf der Arbeit wirklich geschäftlich nutzen will wäre es vielleicht keine schlechte Idee mal bei den IT-Admins zu fragen. Aber so einfach ist das leider nicht heutzutage. Da gibt es komplizierte Prozesse, Vorgesetzte müssen zustimmen und am Ende wird es abgelehnt und einem vielleicht sogar angekreidet das man gefragt hat (wenn es dumm läuft). Naja, ist aber offensichtlich alternativlos und sollte gut überlegt sein.