Исходное сообщение
"Все тот же Nat" Отправлено DN, 18-Июн-07 21:58
>1. Для построения мне нужен IpSec- транспортный режим. Нужен обычно туннельный (ESP протокол). Транспортный (AH протокол) используют, чтобы пакеты по пути нельзя было изменить. Еще применяют ESP , а затем AH. >2. Для соеденения с удаленным VPN сервером нужны открытые UDP порты. >(ставлю add allow udp from any to any до строчки divert natd).Хотя >каким образом тогда локальный комп с локальной сети выйдет в инетв >обход нату. Да, нужны открытые UDP порты, но через NAT. >3. Следующий вариант. При обычном NAT конечные точки туннеля не смогут договориться >о ключах и параметрах ESP, так как пакеты ISAKMP, в общем >случае, через NAT/файрволл не проходят и требуется NAT-T. Для Nat-T вычитал >нужны патчи.Сможите ли мне что-то посоветовать. Для IKE (ISAKMP) NAT Traversal - это инкапсуляция в UDP  (4500 порт по default, для cisco 10000 порт). http://www.ietf.org/rfc/rfc3947.txt Для ESP - это инкапсуляция ESP в UDP  (4500 порт по default, для cisco 10000 порт). http://www.ietf.org/rfc/rfc3948.txt Вот статейка, даст Вам ответы. http://www.lghost.ru/lib/samag/content/2003/samag_03_4/samag3(4)-22-24.pdf А вот, какие части протокола IPSEC и NAT-T Вы будете использовать на машине WinXP, а какие на шлюзах, решать Вам. Что там в XP реализовано, я не знаю. >5. Встречал пример типа: >add 10.1.1.1 20.1.1.1 esp 9876 -E 3des-cbc "hogehogehogehogehogehoge"; >add 20.1.1.1 10.1.1.1 esp 10000 -E 3des-cbc 0xdeadbeefdeadbeefdeadbeefdeadbeef; >spdadd 10.1.1.1 20.1.1.1 any -P out ipsec esp/transport//use; >Для работы в транспортном режиме. Не знаю нужно ли мне это. Думаю, нет. Здесь мануальные ключи для ESP (man setkey) , а не ISAKMP.

Ваше сообщение
Имя*:
EMail:	Для отправки новых сообщений в текущей нити на email укажите знак ! перед адресом, например, [email protected] (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>>1. Для построения мне нужен IpSec- транспортный режим. > Нужен обычно туннельный (ESP протокол). > Транспортный (AH протокол) используют, чтобы пакеты по пути нельзя было > изменить. Еще применяют ESP , а затем AH. >>2. Для соеденения с удаленным VPN сервером нужны открытые UDP порты. >>(ставлю add allow udp from any to any до строчки divert natd).Хотя >>каким образом тогда локальный комп с локальной сети выйдет в инетв >>обход нату. > Да, нужны открытые UDP порты, но через NAT. >>3. Следующий вариант. При обычном NAT конечные точки туннеля не смогут договориться >>о ключах и параметрах ESP, так как пакеты ISAKMP, в общем >>случае, через NAT/файрволл не проходят и требуется NAT-T. Для Nat-T вычитал >>нужны патчи.Сможите ли мне что-то посоветовать. > Для IKE (ISAKMP) NAT Traversal - это инкапсуляция в UDP (4500 > порт по default, > для cisco 10000 порт). > http://www.ietf.org/rfc/rfc3947.txt > Для ESP - это инкапсуляция ESP в UDP (4500 порт по > default, > для cisco 10000 порт). > http://www.ietf.org/rfc/rfc3948.txt > Вот статейка, даст Вам ответы. > http://www.lghost.ru/lib/samag/content/2003/samag_03_4/samag3(4)-22-24.pdf > А вот, какие части протокола IPSEC и NAT-T Вы будете использовать > на машине WinXP, а какие на шлюзах, решать Вам. > Что там в XP реализовано, я не знаю. >>5. Встречал пример типа: >>add 10.1.1.1 20.1.1.1 esp 9876 -E 3des-cbc "hogehogehogehogehogehoge"; >>add 20.1.1.1 10.1.1.1 esp 10000 -E 3des-cbc 0xdeadbeefdeadbeefdeadbeefdeadbeef; >>spdadd 10.1.1.1 20.1.1.1 any -P out ipsec esp/transport//use; >>Для работы в транспортном режиме. Не знаю нужно ли мне это. > Думаю, нет. Здесь мануальные ключи для ESP (man setkey) , а не > ISAKMP.
	Введите код, изображенный на картинке: