Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

IPSec-Tunnel und Windows SP2 Firewall

Frage Internet

Mitglied: HorstM

HorstM (Level 1) - Jetzt verbinden

29.11.2007, aktualisiert 16.01.2008, 6256 Aufrufe, 2 Kommentare

Hallo Leute,

ich sitze schon seit geraumer Zeit an folgendem Problem und komme einfach nicht weiter.

Ich habe einen IPSec-Tunnel zwischen einem Windows XP Professional Client und einer Hardware-Firewall eingerichtet. Die IPSec-Konfiguration (Windows Built-In-IPSec) als solches ist OK, der Tunnel kommt hoch und es können auch Daten im Tunnel übertragen werden. Die Kommunikation funktioniert aber nur solange, wie die Windows-Firewall nicht aktiviert wurde. Sobald die XP-Firewall aktiv geschaltet wird, werden beim Computer ankommende IPSec-Pakete nicht mehr zur Anwendung durchgereicht; beispielsweise geht ein Ping-Request im Tunnel raus, das Ping-Reply kommt auch im Tunnel zum IP-Interface des Rechners zurück, das Ping-Programm bekommt die Antwort aber nicht.
Ich habe natürlich schon alle möglichen Einstellungen der Windows-Firewall variiert, allerdings ohne Erfolg. Leider kann ja ESP als Protokoll überhaupt nicht freigegeben werden, sondern nur TCP oder UDP. Auf der anderen Seite bietet die IPSec-Tunnel-Implementation im Windows XP keine UDP-Encapsulation an, sondern nur normales ESP/AH.

Nun ist bei Microsoft bezüglich der beschriebenen Problematik die Rede von einer "Windows Firewall: Allow authenticated IPSec bypass"-Gruppenrichtlinie, die via MMC konfiguriert werden kann. Abgesehen von der wirklich kruden SDDL-Syntax ist mir völlig unklar, wie ich auf einem Standalone-XP-Client den fernen IPSec-Partner (bei mir also die Hardware-Firewall) bekanntgeben soll. Irgendwie soll dies mit einem Gruppenkonto gehen, aber alle Hinweise, die ich dazu im Netz gefunden habe, beziehen sich auf Domänencomputer oder Active Directory.

Konkret:

IP-Adresse des Computers: 192.168.2.1
IP-Adresse der Hardware-Firewall: 192.168.2.2
Beide IP-Adressen dienen als Tunnel-Endpoints.

Was muß ich auf dem XP-Rechner wie administrieren, damit ich in der o.g. Windows-Firewall-Gruppenrichtlinie die notwendige SID eingeben kann?

Gruß
Horst
Mitglied: graealex
13.01.2008 um 03:09 Uhr
"Allow authenticated IPSec bypass" funktioniert tatsächlich nur, wenn der Client Mitglied der Domäne ist, und sich das verwendete Benutzerkonto in einer mittels der SDDL-Syntax freigegebenen Benutzergruppe befindet.

Das alles bezieht sich aber auf ein anderes Szenario, bei dem Windows Clients mit einem durch die Windows Firewall geschützten Windows Server kommunizieren. Die o.g. Richtlinie erlaubt dann per IPSec authentifizierten Clients, die Firewall zum umgehen, beispielsweise um dann auf RPC und Fileserver zugreifen zu können. "Normale" Clients könnten dann nur auf die in der Firewall freigegebenen Ports wie 80 oder 21 zugreifen.

Hast du in der Firewall auch UDP 500 (IKE) freigegeben? Eventuell:

PPTP 1723/TCP
500/UDP
1701/TCP
1723/TCP
50/TCP

Ping solltest du generell nicht zum Debugging verwenden, da es ICMP verwendet, dass von der Windows Firewall gesondert behandelt wird. In manchen Fällen, z.B. bei DMZ mit Routing&RAS kann man bestimmte Server für ICMP gar nicht ohne weiteres erreichbar machen.

Besser ist es, mittels Telnet auf bekannte Ports wie HTTP oder eben Telnet Server zuzugreifen.
Bitte warten ..
Mitglied: HorstM
16.01.2008 um 17:47 Uhr
Danke für Deine Antwort.
Mittlerweile hat sich herausgestellt, daß TCP- und UDP-Pakete durchaus auch bei aktivierter XP-Firewall durchkommen (IKE hatte ich bereits zu Beginn der ganzen Konfiguriererei freigegeben), bloß ICMP wird immer noch blockiert.
Daß ping nicht zum Debugging verwendet werden sollte, ist natürlich so eine Sache... M.E. ist ping ja eigentlich genau dafür gedacht.
Die ganze IPSec-Geschichte im Windows erscheint mir doch recht aufgepfropft und ich muß wahrscheinlich froh sein, daß es wenigstens mit Nutzdaten leidlich funktioniert.
Bitte warten ..
Neuester Wissensbeitrag
Windows 10

Powershell 5 BSOD

(3)

Tipp von agowa338 zum Thema Windows 10 ...

Ähnliche Inhalte
Cluster
gelöst Windows NLB - Firewall Regeln (8)

Frage von eyetSolutions zum Thema Cluster ...

Router & Routing
gelöst Routingproblem IPsec Tunnel (3)

Frage von tvprog1 zum Thema Router & Routing ...

Windows Server
Windows Firewall Einstellungen für OpenVPN Tunnel (4)

Frage von Aubanan zum Thema Windows Server ...

Heiß diskutierte Inhalte
LAN, WAN, Wireless
gelöst Server erkennt Client nicht wenn er ausserhalb des DHCP Pools liegt (28)

Frage von Mar-west zum Thema LAN, WAN, Wireless ...

Outlook & Mail
Outlook 2010 findet ost datei nicht (18)

Frage von Floh21 zum Thema Outlook & Mail ...

Windows Server
Server 2008R2 startet nicht mehr (Bad Patch 0xa) (18)

Frage von Haures zum Thema Windows Server ...