Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

IPSec-Tunnel und Windows SP2 Firewall

Mitglied: HorstM

HorstM (Level 1) - Jetzt verbinden

29.11.2007, aktualisiert 16.01.2008, 6302 Aufrufe, 2 Kommentare

Hallo Leute,

ich sitze schon seit geraumer Zeit an folgendem Problem und komme einfach nicht weiter.

Ich habe einen IPSec-Tunnel zwischen einem Windows XP Professional Client und einer Hardware-Firewall eingerichtet. Die IPSec-Konfiguration (Windows Built-In-IPSec) als solches ist OK, der Tunnel kommt hoch und es können auch Daten im Tunnel übertragen werden. Die Kommunikation funktioniert aber nur solange, wie die Windows-Firewall nicht aktiviert wurde. Sobald die XP-Firewall aktiv geschaltet wird, werden beim Computer ankommende IPSec-Pakete nicht mehr zur Anwendung durchgereicht; beispielsweise geht ein Ping-Request im Tunnel raus, das Ping-Reply kommt auch im Tunnel zum IP-Interface des Rechners zurück, das Ping-Programm bekommt die Antwort aber nicht.
Ich habe natürlich schon alle möglichen Einstellungen der Windows-Firewall variiert, allerdings ohne Erfolg. Leider kann ja ESP als Protokoll überhaupt nicht freigegeben werden, sondern nur TCP oder UDP. Auf der anderen Seite bietet die IPSec-Tunnel-Implementation im Windows XP keine UDP-Encapsulation an, sondern nur normales ESP/AH.

Nun ist bei Microsoft bezüglich der beschriebenen Problematik die Rede von einer "Windows Firewall: Allow authenticated IPSec bypass"-Gruppenrichtlinie, die via MMC konfiguriert werden kann. Abgesehen von der wirklich kruden SDDL-Syntax ist mir völlig unklar, wie ich auf einem Standalone-XP-Client den fernen IPSec-Partner (bei mir also die Hardware-Firewall) bekanntgeben soll. Irgendwie soll dies mit einem Gruppenkonto gehen, aber alle Hinweise, die ich dazu im Netz gefunden habe, beziehen sich auf Domänencomputer oder Active Directory.

Konkret:

IP-Adresse des Computers: 192.168.2.1
IP-Adresse der Hardware-Firewall: 192.168.2.2
Beide IP-Adressen dienen als Tunnel-Endpoints.

Was muß ich auf dem XP-Rechner wie administrieren, damit ich in der o.g. Windows-Firewall-Gruppenrichtlinie die notwendige SID eingeben kann?

Gruß
Horst
Mitglied: graealex
13.01.2008 um 03:09 Uhr
"Allow authenticated IPSec bypass" funktioniert tatsächlich nur, wenn der Client Mitglied der Domäne ist, und sich das verwendete Benutzerkonto in einer mittels der SDDL-Syntax freigegebenen Benutzergruppe befindet.

Das alles bezieht sich aber auf ein anderes Szenario, bei dem Windows Clients mit einem durch die Windows Firewall geschützten Windows Server kommunizieren. Die o.g. Richtlinie erlaubt dann per IPSec authentifizierten Clients, die Firewall zum umgehen, beispielsweise um dann auf RPC und Fileserver zugreifen zu können. "Normale" Clients könnten dann nur auf die in der Firewall freigegebenen Ports wie 80 oder 21 zugreifen.

Hast du in der Firewall auch UDP 500 (IKE) freigegeben? Eventuell:

PPTP 1723/TCP
500/UDP
1701/TCP
1723/TCP
50/TCP

Ping solltest du generell nicht zum Debugging verwenden, da es ICMP verwendet, dass von der Windows Firewall gesondert behandelt wird. In manchen Fällen, z.B. bei DMZ mit Routing&RAS kann man bestimmte Server für ICMP gar nicht ohne weiteres erreichbar machen.

Besser ist es, mittels Telnet auf bekannte Ports wie HTTP oder eben Telnet Server zuzugreifen.
Bitte warten ..
Mitglied: HorstM
16.01.2008 um 17:47 Uhr
Danke für Deine Antwort.
Mittlerweile hat sich herausgestellt, daß TCP- und UDP-Pakete durchaus auch bei aktivierter XP-Firewall durchkommen (IKE hatte ich bereits zu Beginn der ganzen Konfiguriererei freigegeben), bloß ICMP wird immer noch blockiert.
Daß ping nicht zum Debugging verwendet werden sollte, ist natürlich so eine Sache... M.E. ist ping ja eigentlich genau dafür gedacht.
Die ganze IPSec-Geschichte im Windows erscheint mir doch recht aufgepfropft und ich muß wahrscheinlich froh sein, daß es wenigstens mit Nutzdaten leidlich funktioniert.
Bitte warten ..
Ähnliche Inhalte
Router & Routing
Routingproblem IPsec Tunnel
gelöst Frage von tvprog1Router & Routing3 Kommentare

Hallo, folgende Konstellation: Eine Firewall hat drei Interfaces (eth1, eth2 und eth3). eth1 (5.1.1.10/30) dient als Transfernetz zum Provider ...

Windows Server

Windows Firewall Einstellungen für OpenVPN Tunnel

Frage von AubananWindows Server4 Kommentare

Hallo zusammen, habe einen Windows Server 2008R2 zu Testzwecken auf einem vServer im Internet installiert. Auf diesen kann ich ...

MikroTik RouterOS

RouterOS IPSEC Tunnel wird nur von einer Seite initiert....

Frage von PittlerMikroTik RouterOS3 Kommentare

Hallo, ich habe 2 Mikrotiks die untereinander einen IPSEC Tunnel aufbauen sollen, und dies auch tun RB1: v6.15 1.1.1.1/24 ...

Firewall

Firewall einstellungen auf bestimmten VPN Tunnel

Frage von oScuryFirewall6 Kommentare

Hallo, ich habe einen Virutellen Server mit nur einer Netzwerkverbindung. Ich habe 2 VPN Tunnel Einer zu unserem Unternehemen ...

Neue Wissensbeiträge
Humor (lol)
IoT-Gefahr: Smartes Aquarium leckt!
Information von Lochkartenstanzer vor 17 StundenHumor (lol)3 Kommentare

Moin, Die IoT-Manie hat weitere Opfer gefunden. Ein Casino-Leck durch ein smartes Aquarium: Allerdings haben sie kein Wasser, sondern ...

Router & Routing

Alte Fritzbox 7270 mit VPN und SIP-Telefonie hinter O2 Homebox 6641 als "Modem"

Erfahrungsbericht von the-buccaneer vor 1 TagRouter & Routing3 Kommentare

Nun war es soweit: Auch O2 hat mich mit VOIP zwangsbeglückt. Heute am Privatanschluss, in 2 Wochen ist das ...

Sicherheit

Ungepatchte Remote Code Execution-Lücke in LG NAS

Information von kgborn vor 1 TagSicherheit

Nutzt wer LG NAS-Einheiten? In den NAS-Einheiten der LG Network Storage-Einheiten gibt es eine sehr unschöne Schwachstelle, die einen ...

Windows Update

Neue Version KB4099950 NIC Einstellungen gehen verloren

Information von sabines vor 1 TagWindows Update2 Kommentare

Es ist eine neue Version des KB4099950 verfügbar, die das Problem mit den verlorenen Netzwerkeinstellungen lösen soll. Das Datum ...

Heiß diskutierte Inhalte
Sicherheit
Verbindliche Zustellung per E-Mail?
Frage von ahussainSicherheit18 Kommentare

Hallo allerseits, ein Kunde von mir nutzt intensiv Fax. Hauptgrund: zusammen mit einer Empfangsbestätigung ist eine verbindliche Zustellung gewährleistet. ...

Sonstige Systeme
Wie Normenkataloge im Unternehmen bereit stellen?
Frage von MuzzepuckelSonstige Systeme14 Kommentare

Hallo Kollegen, ich lese schon lange hier mit, nun mein ersrer Beitrag, bzw. Frage. :-) Wir benötigen für unsere ...

Linux Netzwerk
Raspberry Pi 3: WLAN Power save deaktivieren
Frage von nordie92Linux Netzwerk13 Kommentare

Moin moin, mein Raspberry Pi 3 Model B benötigt eine dauerhaft aktive WLAN-Verbindung. Leider bricht die WLAN-Verbindung nach einigen ...

SAN, NAS, DAS
Entscheidung SAN Dell oder HP
Frage von VincorSAN, NAS, DAS13 Kommentare

Hallo, wir wollen uns für unsere Hyper V Umgebung eine neue SAN Anschaffen. Es laufen 30 VM's darunter, DC; ...