Quais portas para IPSEC / LT2P?

Question

Eu tenho um firewall / roteador (não fazendo NAT).

Eu pesquisei e vi respostas conflitantes. Parece UDP 500 é o comum. Mas os outros são confusos. 1701, 4500.

E alguns dizem que eu preciso também permitir que gre 50, ou 47, ou 50 & 51.

Ok, quais portas são as corretas para o IPSec / L2TP funcionar em um ambiente roteado sem o NAT? Ou seja, eu quero usar o cliente interno do Windows para se conectar a uma VPN por trás desse roteador / firewall.

Talvez uma boa resposta aqui seja especificar quais portas abrir para diferentes situações. Eu acho que isso seria útil para muitas pessoas.

    

Answer 1

Aqui estão as portas e os protocolos:

• Protocolo: UDP, porta 500 (para IKE, para gerenciar chaves de criptografia)
• Protocolo: UDP, porta 4500 (para o modo IPSEC NAT-Traversal)
• Protocolo: ESP, valor 50 (para IPSEC)
• Protocolo: AH, valor 51 (para IPSEC)

Além disso, a porta 1701 é usada pelo servidor L2TP, mas as conexões não devem ser permitidas para ele de fora. Há uma regra de firewall especial para permitir somente a entrada segura de tráfego IPSEC nessa porta.

Se você estiver usando IPTABLES e seu servidor L2TP estiver diretamente na Internet, as regras de que você precisa são:

iptables -A INPUT -i $EXT_NIC -p udp --dport 500 -j ACCEPT
iptables -A INPUT -i $EXT_NIC -p udp --dport 4500 -j ACCEPT
iptables -A INPUT -i $EXT_NIC -p 50 -j ACCEPT
iptables -A INPUT -i $EXT_NIC -p 51 -j ACCEPT
iptables -A INPUT -i $EXT_NIC -p udp -m policy --dir in --pol ipsec -m udp --dport 1701 -j ACCEPT

Em que $EXT_NIC é o nome da sua placa de interface de rede externa, por ex. ppp0.

    

Answer 2

O Ipsec precisa da porta UDP 500 + dos protocolos 50 e 51 - mas você pode usar o NAt-T, que precisa da porta UDP 4500. Por outro lado, o L2TP usa a porta 1701 do udp. Se você tentar passar o tráfego ipsec por meio de um roteador Wi-Fi "normal" e não houver essa opção como passagem IPSec, recomendo abrir as portas 500 e 4500. Pelo menos é assim que funciona no meu. Espero que isto ajude.