>1. Для построения мне нужен IpSec- транспортный режим. Нужен обычно туннельный (ESP протокол).
Транспортный (AH протокол) используют, чтобы пакеты по пути нельзя было
изменить. Еще применяют ESP , а затем AH.
>2. Для соеденения с удаленным VPN сервером нужны открытые UDP порты.
>(ставлю add allow udp from any to any до строчки divert natd).Хотя
>каким образом тогда локальный комп с локальной сети выйдет в инетв
>обход нату.
Да, нужны открытые UDP порты, но через NAT.
>3. Следующий вариант. При обычном NAT конечные точки туннеля не смогут договориться
>о ключах и параметрах ESP, так как пакеты ISAKMP, в общем
>случае, через NAT/файрволл не проходят и требуется NAT-T. Для Nat-T вычитал
>нужны патчи.Сможите ли мне что-то посоветовать.
Для IKE (ISAKMP) NAT Traversal - это инкапсуляция в UDP (4500 порт по default,
для cisco 10000 порт).
http://www.ietf.org/rfc/rfc3947.txt
Для ESP - это инкапсуляция ESP в UDP (4500 порт по default,
для cisco 10000 порт).
http://www.ietf.org/rfc/rfc3948.txt
Вот статейка, даст Вам ответы.
http://www.lghost.ru/lib/samag/content/2003/samag_03_4/samag3(4)-22-24.pdf
А вот, какие части протокола IPSEC и NAT-T Вы будете использовать
на машине WinXP, а какие на шлюзах, решать Вам.
Что там в XP реализовано, я не знаю.
>5. Встречал пример типа:
>add 10.1.1.1 20.1.1.1 esp 9876 -E 3des-cbc "hogehogehogehogehogehoge";
>add 20.1.1.1 10.1.1.1 esp 10000 -E 3des-cbc 0xdeadbeefdeadbeefdeadbeefdeadbeef;
>spdadd 10.1.1.1 20.1.1.1 any -P out ipsec esp/transport//use;
>Для работы в транспортном режиме. Не знаю нужно ли мне это.
Думаю, нет. Здесь мануальные ключи для ESP (man setkey) , а не ISAKMP.