Probleme mit Openswan, NAT und Roadwarriorn

[b3e]

also zu meinem Problem, ich versuche ein kleines Roadwarrior Szenario zu erstellen.
mein Szenario schaut wie folgt aus:

[Roadwarrior]<--->(WAN)<--->[NAT-Router]<---[VPN-Gateway]

Das LAN ist am Router angeschlossen, nicht hinter dem VPN-Gateway.

also meine befürchtung ist, dass ich keine verbindung aufbauen kann, aufgrund der firewall regeln auf dem VPN-Gateway, da ich im LAN und ohne NAT ne ganz einfache Punkt-zu.Punkt Verbindung hinbekommen habe und auch schön die ESP Pakete mitsniffen konnte!:/
nur mit NAT scheint das nicht mehr zu klappen!:(
jetzt meine Fragen:

sollte ich das VPN-Gateway zwischen LAN und Router klemmen, oder ist das so ok?
könnte es daran liegen, dass das VPN-Gateway die Pakete verwirft, bevor es zum schlüsselaustausch kommt?

Achja auf dem Router habe ich IpSEC passthrough aktiviert und da ich später noch L2tp darüber Tunneln möchte für WinXP Roadwarrior, habe ich auch schonmal L2tp passthrough aktiviert...

Zur veranschaulichung schonmal die Config von meinem VPN-Gateway:

version 2

config setup
interfaces=%defaultroute
plutodebug=none
nat_traversal=yes
virtual_private=%v4:192.168.0.0/24,%v4:192.168.1.0/24,%v4:192.168.2.0/24

conn %default
keyingtries=0
disablearrivalcheck=no
authby=secret

conn savpn
left=%defaultroute
leftprotoport=17/1701
right=%any
rightprotoport=17/1701
rightsubnet=vhost:%no,%priv
pfs=no
auto=add

include /etc/ipsec.d/examples/no_oe.conf

vom Client sieht das im mom so aus:

version 2.0

config setup
interfaces=%defaultroute
plutodebug=none
nat_traversal=yes

conn %default
keyingtries=0
disablearrivalcheck=no
authby=secret

conn savpn
left=1.2.3.4
right=%defaultroute
pfs=no
auto=add

include /etc/ipsec.d/examples/no_oe.conf


von den WinXP Roadwarriorn kann man ja leider keine configs posten:P

ich würde mich über jede hilfe oder anregung freuen!;)

Gruss,

Thomas

[bse]

Blockt deine Firewall vielleicht ESP oder isakmp? Im Zweifelsfall probier mal:

Code: Alles auswählen

iptables -I INPUT -p esp -j ACCEPT
iptables -I INPUT -p udp --dport isakmp -j ACCEPT
iptables -I OUTPUT -p esp -j ACCEPT
iptables -I OUTPUT -p udp --sport isakmp -j ACCEPT

Beziehungsweise wenns nur über den Router nicht geht, dann werden die Protokolle vermutlich nicht korrekt geforwarded. Wenn das so'n Hardware-Router ist, dann könntest du Pech haben. Wenns ne "echte" Linux-Kiste ist kannst du auch da ein paar iptables-Regeln einrichten, um ESP und ISAKMP an deinen VPN-Gateway weiterzuleiten.


Eventuell kannst du hier weiterhelfen?
http://www.debianforum.de/forum/viewtopic.php?t=64662

[b3e]

ja ist son hardware dingen...
ein linksys wrt54gs... ansich nen feines ding... ich habe meinen vpn-gateway allerdings als "exposed" host eingetragen, also sollten keinerlei FW regeln für den greifen... und die NAT FW vom router habe ich vorübergehend komplett deaktiviert, also wird im moment erstmal nur vom vpn-gateway selbst der verkehr gefiltert:>

so langsam finde ich mich damit ab, dass es wohl ein FW problem ist, also lese ich mich gerade etwas in iptables ein... nur leider ist das ja nicht so ganz leichter stoff:(