Unsere Firma betreibt einen Fernzugang aufs Büronetzwerk über ein übliches IPSec-VPN:
ZyWall VPN-Gateway, mobile Benutzer mit zwei verschiedenen, verbreiteten VPN-Tools auf ihren Notebooks: TheGreenBow VPN und ZyWall VPN Client.
Leider konnten wir über Wireless SG aber keine funktionierenden VPN-Tunnels erstellen.
Wir hatten auch schon ähnliche Probleme mit gewissen Routern. Das Problem lag bei einer inkompatiblen IPSec-Passthrough-Funktion.
Kann es sein, dass bei Wireless St. Gallen ein ähnliches Problem besteht? Werden IPSec-Pakete speziell behandelt?
Technischer Background für das vermutete Problem:
Reines IPSec läuft nicht, wenn zwischen den Endpoints ein NAT-Router ist (bei Wireless St. Gallen machen offenbar die Haupt-Acesspoints NAT). Es gibt nun verschiedene inkompatible Lösungen dafür: IPSec Passthrough, sowie das ausgereiftere und standardisierte NAT Traversal (NAT-T).
Vorgeschlagene Lösung: Auf IPSec Passthrough verzichten.
Weiss jemand mehr drüber?
Ich weiss nicht so genau wie
Ich weiss nicht so genau wie der Gateway der Stadtwerke in St. Gallen konfiguriert ist. Ich kann nur sagen, dass ich bis jetzt keine Probleme hatte Cisco VPN (also IPSec) und openvpn über meinen eigenen openwireless Gateway zu betreiben (Linksys WRT54GS v. 1.1 + openwireless Firmware). Auch habe ich mir gerade die Kernelkonfiguration der Freifunk Firmware angeschaut und dort ist die Option CONFIG_IPSEC_NAT_TRAVERSAL gesetzt ist.
Da über die Mailingliste auch schon über Probleme mit FTP berichtet wurde, die ich nicht nachvollziehen kann nehme ich an, dass auf dem Gateway der Stadtwerke das NAT irgendwie vermurkst ist.
Ist mir noch gerade
Ist mir noch gerade eingefallen: Das Problem könnte natürlich auch daher rühren, dass die Verbindungen zweimal genattet werden: Einmal auf dem ersten Router und einmal auf dem Gateway.
Geht doch, aber...
Hoi znerol, danke für die infos
Heute klappte die Verbindung bei einem erneuten Versuch, genau gleiche Konfiguration, mit beiden der erwähnten Clients.
Die Verbindung ging über
Notebook(WLAN)=10.248.49.34 - 10.248.49.33 - 10.248.23.193 - 10.248.47.145 - 10.248.254.1 (Kantonsspital)
Kein doppeltes NAT, denn ich bin über WLAN direkt im Wireless SG.
Es ist ein IPSec VPN im Tunnel Mode. Das Cisco VPN und openvpn sind ja technisch anders.
Ist damit alles OK?
Möglicherweise nicht. Ich erkläre mich:
IPSec-Pakete überleben NAT nicht, das liegt an der IPSec-Spezifikation; wegen Checksummen und so. Deshalb gibt es IPSec mit NAT Traversal: Da werden die IPSec-Pakete in UDP-Pakete gepackt und zwar von den Endpoints. Die dazwischenliegenden Router tragen nichts bei.
Ich habe nun NAT Traversal testweise deaktiviert - und das VPN funktionierte trotzdem noch, obwohl es nicht dürfte!
Na und???
Ich vermute eben immer noch, dass hier die SG-Wireless-Router eine Passthrough-Funktion haben, d.h. sie leiten IPSec-Pakete von sich aus weiter.
Problem 1: Pakete müssen dazu soviel ich weiss manipuliert werden. Kompatibilität mit IPSec-Implementationen nicht garantiert. Siehe z.B.: http://lists.openswan.org/pipermail/users/2005-May/004852.html
Problem 2: Typischerweise tut das nur, solange ein einziger User hinter dem NAT ein VPN braucht... hat's bei mir heute funktioniert, weil ich grad der einzige war im Netz?
Wie gesagt, das ist nur eine Vermutung. Vielleicht kann jemand weiterforschen, der etwas von der Freifunk-Firmware versteht (im Gegensatz zu mir).
freifunk + gateway = doppeltes NAT... leider.
quadra7677:
Das stimmt leider nicht. Auch wenn du scheinbar im gleichen Netz hängst wirst du vom Freifunk Router genattet. Man könnte das NAT auch auschalten, müsste dann aber per HNA den DHCP-Bereich im Netz verbreiten, damit die Pakete den Weg zurück auch wieder finden. Eine weitere Möglichkeit ist auf dem Laptop mit einer festen IP-Adresse OLSR zu fahren und zu schauen wie sich das Netz dann verhält. Auf diese weise wirst du geroutet.
Weiter kann ich dir kaum helfen, da ich in Sachen VPN auch nicht sattelfest bin - bis jetzt hats ja immer geklappt. Am nächsten Techtreff in SG ist VPN aber ein Thema, vielleicht schaust du dort mal vorbei.
http://sg.openwireless.ch/node/1149
TechTreff VPN
znerol schrieb:
> Am nächsten Techtreff in SG ist VPN aber ein Thema, vielleicht schaust du dort mal vorbei.
uiuiui... Da kommt was auch mich zu. VPN war nur in dem Sinne als Thema geplant, um vorzustellen, was es machtn, und wie es sich von anderen Techniken unterscheidet.
Hauptthema sollte SSL (aus Benutzersicht) sein.
Aber anschliessend an die Präsentation bleibt immer genügend Zeit, für Diskaussionen.
kruemi
--
Lasst uns die Maschen enger machen
10.248.10.49 - krueSO01