Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

IPSec-Tunnel und Windows SP2 Firewall

Mitglied: HorstM

HorstM (Level 1) - Jetzt verbinden

29.11.2007, aktualisiert 16.01.2008, 6328 Aufrufe, 2 Kommentare

Hallo Leute,

ich sitze schon seit geraumer Zeit an folgendem Problem und komme einfach nicht weiter.

Ich habe einen IPSec-Tunnel zwischen einem Windows XP Professional Client und einer Hardware-Firewall eingerichtet. Die IPSec-Konfiguration (Windows Built-In-IPSec) als solches ist OK, der Tunnel kommt hoch und es können auch Daten im Tunnel übertragen werden. Die Kommunikation funktioniert aber nur solange, wie die Windows-Firewall nicht aktiviert wurde. Sobald die XP-Firewall aktiv geschaltet wird, werden beim Computer ankommende IPSec-Pakete nicht mehr zur Anwendung durchgereicht; beispielsweise geht ein Ping-Request im Tunnel raus, das Ping-Reply kommt auch im Tunnel zum IP-Interface des Rechners zurück, das Ping-Programm bekommt die Antwort aber nicht.
Ich habe natürlich schon alle möglichen Einstellungen der Windows-Firewall variiert, allerdings ohne Erfolg. Leider kann ja ESP als Protokoll überhaupt nicht freigegeben werden, sondern nur TCP oder UDP. Auf der anderen Seite bietet die IPSec-Tunnel-Implementation im Windows XP keine UDP-Encapsulation an, sondern nur normales ESP/AH.

Nun ist bei Microsoft bezüglich der beschriebenen Problematik die Rede von einer "Windows Firewall: Allow authenticated IPSec bypass"-Gruppenrichtlinie, die via MMC konfiguriert werden kann. Abgesehen von der wirklich kruden SDDL-Syntax ist mir völlig unklar, wie ich auf einem Standalone-XP-Client den fernen IPSec-Partner (bei mir also die Hardware-Firewall) bekanntgeben soll. Irgendwie soll dies mit einem Gruppenkonto gehen, aber alle Hinweise, die ich dazu im Netz gefunden habe, beziehen sich auf Domänencomputer oder Active Directory.

Konkret:

IP-Adresse des Computers: 192.168.2.1
IP-Adresse der Hardware-Firewall: 192.168.2.2
Beide IP-Adressen dienen als Tunnel-Endpoints.

Was muß ich auf dem XP-Rechner wie administrieren, damit ich in der o.g. Windows-Firewall-Gruppenrichtlinie die notwendige SID eingeben kann?

Gruß
Horst
Mitglied: graealex
13.01.2008 um 03:09 Uhr
"Allow authenticated IPSec bypass" funktioniert tatsächlich nur, wenn der Client Mitglied der Domäne ist, und sich das verwendete Benutzerkonto in einer mittels der SDDL-Syntax freigegebenen Benutzergruppe befindet.

Das alles bezieht sich aber auf ein anderes Szenario, bei dem Windows Clients mit einem durch die Windows Firewall geschützten Windows Server kommunizieren. Die o.g. Richtlinie erlaubt dann per IPSec authentifizierten Clients, die Firewall zum umgehen, beispielsweise um dann auf RPC und Fileserver zugreifen zu können. "Normale" Clients könnten dann nur auf die in der Firewall freigegebenen Ports wie 80 oder 21 zugreifen.

Hast du in der Firewall auch UDP 500 (IKE) freigegeben? Eventuell:

PPTP 1723/TCP
500/UDP
1701/TCP
1723/TCP
50/TCP

Ping solltest du generell nicht zum Debugging verwenden, da es ICMP verwendet, dass von der Windows Firewall gesondert behandelt wird. In manchen Fällen, z.B. bei DMZ mit Routing&RAS kann man bestimmte Server für ICMP gar nicht ohne weiteres erreichbar machen.

Besser ist es, mittels Telnet auf bekannte Ports wie HTTP oder eben Telnet Server zuzugreifen.
Bitte warten ..
Mitglied: HorstM
16.01.2008 um 17:47 Uhr
Danke für Deine Antwort.
Mittlerweile hat sich herausgestellt, daß TCP- und UDP-Pakete durchaus auch bei aktivierter XP-Firewall durchkommen (IKE hatte ich bereits zu Beginn der ganzen Konfiguriererei freigegeben), bloß ICMP wird immer noch blockiert.
Daß ping nicht zum Debugging verwendet werden sollte, ist natürlich so eine Sache... M.E. ist ping ja eigentlich genau dafür gedacht.
Die ganze IPSec-Geschichte im Windows erscheint mir doch recht aufgepfropft und ich muß wahrscheinlich froh sein, daß es wenigstens mit Nutzdaten leidlich funktioniert.
Bitte warten ..
Ähnliche Inhalte
Router & Routing
Routingproblem IPsec Tunnel
gelöst Frage von tvprog1Router & Routing3 Kommentare

Hallo, folgende Konstellation: Eine Firewall hat drei Interfaces (eth1, eth2 und eth3). eth1 (5.1.1.10/30) dient als Transfernetz zum Provider ...

Windows Server

Windows Firewall Einstellungen für OpenVPN Tunnel

Frage von AubananWindows Server4 Kommentare

Hallo zusammen, habe einen Windows Server 2008R2 zu Testzwecken auf einem vServer im Internet installiert. Auf diesen kann ich ...

Netzwerke

Ipsec VPN Tunnel RV110W - Bintec Be.IP

Frage von Zero01Netzwerke2 Kommentare

Hallo, kann mir jemand helfen eine IPsec LAN - LAN Verbindung zwischen diesen beiden Geräten auf zu bauen? Ist ...

Router & Routing

IPsec VPN Tunnel - Tunnel ok aber div. Clients nicht sichtbar?

gelöst Frage von joeyschweizRouter & Routing5 Kommentare

Hallo Zusammen, ich stehe gerade vor einem Rätsel. Um ein Homeofficeplatz mit dem Firmennetzwerk zu verbinden wurde eine IPsec ...

Neue Wissensbeiträge
Datenschutz

SiSyPHuS Win10: Analyse der Telemetriekomponenten in Windows 10

Tipp von freesolo vor 11 StundenDatenschutz1 Kommentar

Alle die sich detailliert für die Datensammlung interessieren die unter Windows 10 stattfindet, sollten sich folgende Analyse des BSI ...

Sicherheit
Adminrechte dank Intel-Grafikkarte
Information von DerWoWusste vor 14 StundenSicherheit1 Kommentar

ist das Advisory, welches beschreibt, welche Intel HD Graphics Modelle Sicherheitslücken haben, mit denen sich schwache Nutzer zu Admins ...

Internet

EU Urheberrechtsreform: Eingriff in die Internetkultur

Information von Frank vor 1 TagInternet1 Kommentar

Liebe Besucherin, lieber Besucher, warum erscheint das obere Banner in allen Beiträgen? Aus Protest gegen Teile der geplanten EU-Urheberrechtsreform ...

Windows Server
Windows Backup - FilterManager Event 3
Tipp von NixVerstehen vor 2 TagenWindows Server

Hallo zusammen, ich bin kein gelernter ITler und auch beruflich nicht in dem Feld tätig. Wir setzen in unserem ...

Heiß diskutierte Inhalte
LAN, WAN, Wireless
Glasfaserkabel verlegen und Anschlüsse setzen
Frage von LLL0rdLAN, WAN, Wireless21 Kommentare

Hallo Leute, ich muss demnächst ein Netzwerkkabel auf einer Länge von ca. 70 Metern verlegen. Das Netzwerkkabel soll dabei ...

Windows Server
Mac Rechner im Windows Netzwerk - was jetzt?
gelöst Frage von Kopfg3ldWindows Server18 Kommentare

Hallo zusammen, ich habe folgende Herausforderungen. Aber erst mal was kurz zum Netzwerk - Windows Server (ältester ist ein ...

Microsoft Office
Sharepoint 2016 mag keine Umlaute in .docx-Titeln
gelöst Frage von DerWoWussteMicrosoft Office14 Kommentare

Moin Kollegen. Nutzt hier jemand Sharepoint? Könnt Ihr, unabhängig von der Sharepointversion, bitte einen Test machen? Ladet ein .docx ...

Basic
VBS soll alle Ordner auswählen, die im Startmenu angezeigt werden
Frage von Senseless-CreatureBasic12 Kommentare

Guten Morgen - gibt es eine Möglichkeit, per VBS das Startmenu in Win10 zu modifizieren? Ich beherrsche VBS mittlerweile ...