VPN via IPSec - IKEv1 Verständnisfrage

Ja aber nicht wegen der Clients sondern wegen dem Server der hinter einer NAT Barriere steht!
Da muss aber genau genommen nicht nach außen hin offen sein sondern nur über die IPSec SA am Server freigegeben sein, denn wie der Name ja schon sagt L2TP over IPSec.
Zusätzlich habt ihr das ESP Protokoll Nr. 50 vergessen zu erwähnen was an den Server geforwardet werden muss (Nicht verwechseln mit einem Port das muss schon das entsprechende Protokoll sein!

Aber da du hier nichts über die Richtung der Devices erwähnst nur entsprechende Server-Gegenstellen brauchen das Port-Forwarding also nur die Responder nicht die Initiator.
Grundlagen dazu finden sich hier im Forum genügend, das muss man hier nicht zum xten mal runter beten...
Also lesen ist hier erst mal angesagt, bei IPSec ist das sowieso generell anzuraten:
IPsec VPN Praxis mit Standort Vernetzung Cisco, Mikrotik, pfSense, FritzBox u.a

Mal ehrlich...WIE willst du ein funktionierendes IPsec VPN konfigurieren wenn du auf die wichtigste Komponente keinen Einfluß hast. Da kannst du zu 90% davon ausgehen das das in die Hose gehen wird. Als Admin benötigst du zwingend auf den Server Zugriff, wie sollte das sonst gehen ?! Unter den Voraussetzungen solltest du lieber schnell wegrennen und einen anderen scheitern lassen !
Zudem wirst du mit IKEv1 ohne einen sonst eigentlich überflüssigen VPN Client scheitern, denn Win 10 supportet mit dem bordeigenen Client nur noch IKEv2. Mit IKEv1 bruachst du in jedem Falle einen extra Client wie z.B. den kostenlosen Shrew VPN Client. Eigentlich sinnfrei, denn Windows 10 hat einen fertigen Client an Bord aber eben IKEv2.
Da würde es doch absolut Sinn machen eine IKEv2 Konfig auf der Fortinet aufzusetzen. Solltest du mal drüber nachdenken. Aber hast recht wie ohne Zugriff...und wenn sie schon falsch eingerichtet ist.
NAT Traversal macht aktuelle HW alles automatisch sofern erforderlich. Du brauchst es in jedem Falle da du ja niemals sicherstellen kannst das die Clients sich nicht in DS-Lite Netzen oder Netzen mit CGN befinden in denen dann NAT zwingend ist.

Wie man das mit einer Firewall sehr einfach im Handumdrehen umsetzt erklärt dir als Beispiel dieses Tutorial:
IPsec IKEv2 VPN für mobile Benutzer auf der pfSense oder OPNsense Firewall einrichten
Bzw. hier die L2TP Variante:
PfSense VPN mit L2TP (IPsec) Protokoll für mobile Nutzer
Scheitern am IPsec VPN mit MikroTik

Das war leider durch deine Beschreibung nicht herauszulesen da Schema fehlt ...
OK.
Ja das geht. Im Router muss aber kontrolliert werden ob das für die internen Clients auch freigeschaltet wurde. Aber ich würde hier das VPN hier immer am Perimeter terminieren statt das über multiple interne Clients abzufackeln, außerdem würde ich hier eher auf IKEv2 setzen das ist da wesentlich flexibler.

Moin,
ist Dir mal in den Sinn gekommen, dass der TO vom Betreiber der Fortinet die VPN-Daten gestellt bekommt, die er in seine Clients eintragen soll? Schon mal daran gedacht, dass die Fortinet evtl. bei einer anderen Firma / einem Dienstleister steht und der TO daher selbstverständlich keinen Zugriff drauf hat?
Gibst Du jedem Admin, der eine VPN-Verbindung zu einem von Dir betreuten System herstellen muss auch gleich immer den vollen Zugriff auf die von Dir betreuten Firewalls, damit jener Admin nicht schreiend weglaufen muss?

Manchmal sind die Antworten hier echt zum Kopfschütteln...

Grüße,
Torsten

Ein "externer" betreibt solch kritische Infrastruktur wie ein VPN ??! Dann kann man nur hoffen ihr wisst wirklich was ihr da tut. In einer Firmenumgebung normalerweise ein absolutes NoGo.
Zumal dieser "Dienstleister" die Firewall auch noch vollkommen falsch vorbereitet hat für diesen Einsatzzweck...aber egal.
Ein Schelm wer Böses dabei denkt ...!
Dann wirst du so oder so sofort scheitern...
Dann kannst du das Projekt gleich vergessen. Da hilft dann auch das tollste Administrator Forum nicht. Wasch mich aber mach mich nicht nass....

Entweder hast Du es nicht verstanden oder Du bist schon lange nicht mehr vor der Haustür in der realen Welt gewesen.
TO hat hier eine Dienstleistung aus dem medizinischen Bereich eingekauft, die bei diesem Dienstleister gehostet wird. Um diese Dienstleistung nutzen zu können, stellt dieser Dienstleister eine VPN-Einwahl in sein Rechenzentrum bereit. Den VPN-Endpunkt in seinem Rechenzentrum betreibt und konfiguriert natürlich der Dienstleister und ausschliesslich er. Wäre jawohl fatal, wenn da jeder Kunde dran rumfummeln könnte und dürfte.
Das ist Realität und absolut üblich.
So so. Du kennst also ohne weitere Informationen komplett die Konfiguration der Firewall beim Dienstleister, so dass Du so eine polemische Aussage treffen kannst. Respekt. Ich gehe laut der Aussage des TO mal davon aus, dass der Dienstleister im medizinischen Bereich schon mehrere Kunden hat, die sich über VPN in dessen Rechenzentrum einwählen und bei denen das funktioniert. Kann dann wohl nicht "vollkommen falsch" sein.

Eigentlich bin ich hier nur Mitleser im Forum... Einige Aussagen kann man aber einfach nicht umkommentiert stehen lassen.

@ennvee
An Deiner Stelle würde ich den Support des Dienstleisters mit ins Boot holen und alles weitere mit dem besprechen.

Dann bist du leider gefi..t, und musst das VPN zwingend am Perimeter terminieren und evt. an der Firewall die Nutzung des Zielnetzes auf die jeweiligen internen Endgeräte beschränken.

Damit meine ich VPN Passthrough

Ich würde das ganze ja anders aufziehen und die interne Windows Server VPN Seuche abschaffen und die VPNs alle auf den Routern terminieren und über ACLs Zugriffsrechte zuweisen dann ist das auch ordentlich.