IPSec & Connect Box

[/root]

Hallo,

Ich versuche gerade einen VPN Zugriff auf mein Heimnetzwerk zu bauen.
Dafür möchte ich IPSec IKEv2 und eine pfSense Firewall verwenden.
Hab den IPSec Server nach dieser Anleitung konfiguriert.
Der Windows 10 im LAN kann erfolgreich einen IPSec Tunnel auf die Firewall aufbauen, eigentlich möchte ich aber dass es vom Internet aus funktioniert damit man auf die IP Webcam im LAN zugreifen kann: geht aber leider nicht.

Auf der UPC Connect Box (Modem) habe ich die Firewall (192.168.0.74) als DMZ Host eingetragen, also sollte eigentlich alle Pakete auf der FW aufschlagen.
Wenn ich ein Packet Capture mache sehe ich auch dass das Smartphone aus dem Internet mit UDP Port 500 auf der FW aufschlägt, die reden dann kurz miteinander und dann hören sie auf.

18:50:13.916167 IP [SMARTPHONE-IP].19547 > 192.168.0.74.500: UDP, length 604
18:50:13.920063 IP 192.168.0.74.500 > [SMARTPHONE-IP].19547: UDP, length 36
18:50:14.055854 IP [SMARTPHONE-IP].19547 > 192.168.0.74.500: UDP, length 604
18:50:14.060085 IP 192.168.0.74.500 > [SMARTPHONE-IP].19547: UDP, length 36

Ich sehe keine Kommunikation auf UDP Port 4500 wie bei einem erfolgreichen Versuch vom LAN mit dem Notebook aus.

Könnte das Modem das Verbindungsproblem verursachen? Irgendwie gibt es bei IPSec ja "NAT-Traversal" was ich nicht so 100% verstehe.
Oder sollte das Setup so eigentlich funktionieren?

LG

Ergänzung (8. Juni 2018)

da sucht man stundenlang den Fehler und 45min nachdem man einen Thread erstellt hat kommt man drauf

Die Lösung war aber irgendwie unerwartet, es waren die Crypto Proposals für die PHASE1 die mit iOS nicht kompatibel waren:

• Set Encryption algorithm to 3DES or, if there are no iOS/OS X devices, AES 256
• Set Hash algorithm to SHA1, or, if there are no iOS/OS X devices, SHA256

Quelle: https://www.netgate.com/docs/pfsens...mobile-vpn-using-ikev2-with-eap-mschapv2.html

Warum iOS da 3DES haben will kann ich nicht ganz nachvollziehen aber bitte

 

[sklaes]

@/root Mich würde sehr interessieren, wie du die Connect Box (genau) konfiguriert hast. Ich habe es bisher nicht hinbekommen Sie so zu konfigurieren, dass ein Zugriff von außen möglich ist.

Hast du IPv6 (DS-Light) oder IPv4?

 

[/root]

Hey sklaes,

Also IPv6 ist auf meiner Connect Box definitiv abgedreht, das hat mal Probleme gemacht und das wurde vom Support deaktiviert.

Zusätzlich ist noch wichtig dass man IPSec am Server mit MOBIKE (RFC 4555) konfiguriert - dann braucht man nämlich nur die UDP Ports 500 und 4500 weiterleiten.
Wenn man IPSEc ohne MOBIKE verwendet, braucht man zusätzlich noch das ESP IP-Protokoll und das kann die Connect Box nicht so ohne weiteres Port Forwarden.
Ich habe also nur die beiden Ports weitergeleitet auf der Connect Box und es funktioniert, siehe Screenshot, die 192.168.0.74 ist meine pfsense FW.

PS: ich hab zum konfigurieren des IPSec auf pfsense eigentlich 1:1 diese Anleitung verwendet
https://www.administrator.de/wissen...utzer-pfsense-firewall-einrichten-337198.html

Ich hab dann nur noch zusätzlich 3DES und SHA1 bei den Crypto Proposals hinzugefügt wegen der Kompatibilität mit iOS (scheinbar bevorzugt das OS 3DES wegen Hardwarebeschleunigung)

 

[sklaes]

Meiner Connect Box (Unitymedia) fehlen diese Optionen komplett - bei welchem Anbieter bist du? UPC.at?

 

[Nurum]

Wenn du die Möglichkeit hast die Connectbox im Bridgemodus als Modem zu nutzen, würde ich das tun. So kannst du dir das Doppel NAT und DMZ sparen. Momentan agiert die Connectbox bei dir als Router.

Unitymedia Kunden wie ich warten schon seit Jahren auf die Freischaltung des Bridgemodus
Deshalb tut es mir im Herzen weh, dass du ihn nutzen kannst und nicht tust...

 

[/root]

Unitymedia Kunden wie ich warten schon seit Jahren auf die Freischaltung des Bridgemodus
Deshalb tut es mir im Herzen weh, dass du ihn nutzen kannst und nicht tust...

Kann man natürlich machen ... sehe für mich jetzt aber keinen Vorteil.
Doppelt NAT hat ja keine merkbare Auswirkung auf die Anwendung und ist zumindest ein kleines zusätzliches Sicherheitsnetz dafür wenn ich einen Konfigurationsfehler auf meiner FW habe.