2
IPSec-Tunnel und Windows SP2 Firewall
Hallo Leute,
ich sitze schon seit geraumer Zeit an folgendem Problem und komme einfach nicht weiter.
Ich habe einen IPSec-Tunnel zwischen einem Windows XP Professional Client und einer Hardware-Firewall eingerichtet. Die IPSec-Konfiguration (Windows Built-In-IPSec) als solches ist OK, der Tunnel kommt hoch und es können auch Daten im Tunnel übertragen werden. Die Kommunikation funktioniert aber nur solange, wie die Windows-Firewall nicht aktiviert wurde. Sobald die XP-Firewall aktiv geschaltet wird, werden beim Computer ankommende IPSec-Pakete nicht mehr zur Anwendung durchgereicht; beispielsweise geht ein Ping-Request im Tunnel raus, das Ping-Reply kommt auch im Tunnel zum IP-Interface des Rechners zurück, das Ping-Programm bekommt die Antwort aber nicht.
Ich habe natürlich schon alle möglichen Einstellungen der Windows-Firewall variiert, allerdings ohne Erfolg. Leider kann ja ESP als Protokoll überhaupt nicht freigegeben werden, sondern nur TCP oder UDP. Auf der anderen Seite bietet die IPSec-Tunnel-Implementation im Windows XP keine UDP-Encapsulation an, sondern nur normales ESP/AH.
Nun ist bei Microsoft bezüglich der beschriebenen Problematik die Rede von einer "Windows Firewall: Allow authenticated IPSec bypass"-Gruppenrichtlinie, die via MMC konfiguriert werden kann. Abgesehen von der wirklich kruden SDDL-Syntax ist mir völlig unklar, wie ich auf einem Standalone-XP-Client den fernen IPSec-Partner (bei mir also die Hardware-Firewall) bekanntgeben soll. Irgendwie soll dies mit einem Gruppenkonto gehen, aber alle Hinweise, die ich dazu im Netz gefunden habe, beziehen sich auf Domänencomputer oder Active Directory.
Konkret:
IP-Adresse des Computers: 192.168.2.1
IP-Adresse der Hardware-Firewall: 192.168.2.2
Beide IP-Adressen dienen als Tunnel-Endpoints.
Was muß ich auf dem XP-Rechner wie administrieren, damit ich in der o.g. Windows-Firewall-Gruppenrichtlinie die notwendige SID eingeben kann?
Gruß
Horst
ich sitze schon seit geraumer Zeit an folgendem Problem und komme einfach nicht weiter.
Ich habe einen IPSec-Tunnel zwischen einem Windows XP Professional Client und einer Hardware-Firewall eingerichtet. Die IPSec-Konfiguration (Windows Built-In-IPSec) als solches ist OK, der Tunnel kommt hoch und es können auch Daten im Tunnel übertragen werden. Die Kommunikation funktioniert aber nur solange, wie die Windows-Firewall nicht aktiviert wurde. Sobald die XP-Firewall aktiv geschaltet wird, werden beim Computer ankommende IPSec-Pakete nicht mehr zur Anwendung durchgereicht; beispielsweise geht ein Ping-Request im Tunnel raus, das Ping-Reply kommt auch im Tunnel zum IP-Interface des Rechners zurück, das Ping-Programm bekommt die Antwort aber nicht.
Ich habe natürlich schon alle möglichen Einstellungen der Windows-Firewall variiert, allerdings ohne Erfolg. Leider kann ja ESP als Protokoll überhaupt nicht freigegeben werden, sondern nur TCP oder UDP. Auf der anderen Seite bietet die IPSec-Tunnel-Implementation im Windows XP keine UDP-Encapsulation an, sondern nur normales ESP/AH.
Nun ist bei Microsoft bezüglich der beschriebenen Problematik die Rede von einer "Windows Firewall: Allow authenticated IPSec bypass"-Gruppenrichtlinie, die via MMC konfiguriert werden kann. Abgesehen von der wirklich kruden SDDL-Syntax ist mir völlig unklar, wie ich auf einem Standalone-XP-Client den fernen IPSec-Partner (bei mir also die Hardware-Firewall) bekanntgeben soll. Irgendwie soll dies mit einem Gruppenkonto gehen, aber alle Hinweise, die ich dazu im Netz gefunden habe, beziehen sich auf Domänencomputer oder Active Directory.
Konkret:
IP-Adresse des Computers: 192.168.2.1
IP-Adresse der Hardware-Firewall: 192.168.2.2
Beide IP-Adressen dienen als Tunnel-Endpoints.
Was muß ich auf dem XP-Rechner wie administrieren, damit ich in der o.g. Windows-Firewall-Gruppenrichtlinie die notwendige SID eingeben kann?
Gruß
Horst
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 74839
Url: https://administrator.de/contentid/74839
Printed on: April 19, 2024 at 22:04 o'clock
2 Comments
Latest comment
"Allow authenticated IPSec bypass" funktioniert tatsächlich nur, wenn der Client Mitglied der Domäne ist, und sich das verwendete Benutzerkonto in einer mittels der SDDL-Syntax freigegebenen Benutzergruppe befindet.
Das alles bezieht sich aber auf ein anderes Szenario, bei dem Windows Clients mit einem durch die Windows Firewall geschützten Windows Server kommunizieren. Die o.g. Richtlinie erlaubt dann per IPSec authentifizierten Clients, die Firewall zum umgehen, beispielsweise um dann auf RPC und Fileserver zugreifen zu können. "Normale" Clients könnten dann nur auf die in der Firewall freigegebenen Ports wie 80 oder 21 zugreifen.
Hast du in der Firewall auch UDP 500 (IKE) freigegeben? Eventuell:
PPTP 1723/TCP
500/UDP
1701/TCP
1723/TCP
50/TCP
Ping solltest du generell nicht zum Debugging verwenden, da es ICMP verwendet, dass von der Windows Firewall gesondert behandelt wird. In manchen Fällen, z.B. bei DMZ mit Routing&RAS kann man bestimmte Server für ICMP gar nicht ohne weiteres erreichbar machen.
Besser ist es, mittels Telnet auf bekannte Ports wie HTTP oder eben Telnet Server zuzugreifen.
Das alles bezieht sich aber auf ein anderes Szenario, bei dem Windows Clients mit einem durch die Windows Firewall geschützten Windows Server kommunizieren. Die o.g. Richtlinie erlaubt dann per IPSec authentifizierten Clients, die Firewall zum umgehen, beispielsweise um dann auf RPC und Fileserver zugreifen zu können. "Normale" Clients könnten dann nur auf die in der Firewall freigegebenen Ports wie 80 oder 21 zugreifen.
Hast du in der Firewall auch UDP 500 (IKE) freigegeben? Eventuell:
PPTP 1723/TCP
500/UDP
1701/TCP
1723/TCP
50/TCP
Ping solltest du generell nicht zum Debugging verwenden, da es ICMP verwendet, dass von der Windows Firewall gesondert behandelt wird. In manchen Fällen, z.B. bei DMZ mit Routing&RAS kann man bestimmte Server für ICMP gar nicht ohne weiteres erreichbar machen.
Besser ist es, mittels Telnet auf bekannte Ports wie HTTP oder eben Telnet Server zuzugreifen.
Danke für Deine Antwort.
Mittlerweile hat sich herausgestellt, daß TCP- und UDP-Pakete durchaus auch bei aktivierter XP-Firewall durchkommen (IKE hatte ich bereits zu Beginn der ganzen Konfiguriererei freigegeben), bloß ICMP wird immer noch blockiert.
Daß ping nicht zum Debugging verwendet werden sollte, ist natürlich so eine Sache... M.E. ist ping ja eigentlich genau dafür gedacht.
Die ganze IPSec-Geschichte im Windows erscheint mir doch recht aufgepfropft und ich muß wahrscheinlich froh sein, daß es wenigstens mit Nutzdaten leidlich funktioniert.
Mittlerweile hat sich herausgestellt, daß TCP- und UDP-Pakete durchaus auch bei aktivierter XP-Firewall durchkommen (IKE hatte ich bereits zu Beginn der ganzen Konfiguriererei freigegeben), bloß ICMP wird immer noch blockiert.
Daß ping nicht zum Debugging verwendet werden sollte, ist natürlich so eine Sache... M.E. ist ping ja eigentlich genau dafür gedacht.
Die ganze IPSec-Geschichte im Windows erscheint mir doch recht aufgepfropft und ich muß wahrscheinlich froh sein, daß es wenigstens mit Nutzdaten leidlich funktioniert.
