服务器 Gind.cn
  1. 服务器 Gind.cn
  3. 通过IPSec传递的Watchguard L2TP
Intereting Posts
远程服务器挂起，卡住。 如何debugging？ 客户通过rsync进行长时间的备份 在Ubuntu 14.04上不能启用Apache 2.4的mpm_prefork 如何将rto_min应用于centos中的某个主机？ 停止ypbind自动运行 classes12.jar，ojdbc14.jar，ojdbc5.jar和ojdbc6.jar之间的区别 即使防火墙在Windows Server 2008中closures，数据包也会丢失 由于新的Ubuntu版本中的文件系统访问错误，snmpd不更新date 如何重新创buildQmail队列 如何启动思科2911 presavedconfiguration？ RHEL7：virt-who在客户门户网站上将所有机器报告为localhost.localdomain 网站面板安装错误 两个服务器之间的SQL连接问题 NETGEAR FS726TP内部VLAN 错误报告在CLI PHP

通过IPSec传递的Watchguard L2TP

我试图通过 （而不是）WatchGuard XTM 505设备连接到VPN（L2TP over IPsec）服务器。

我在一对一的NAT上设置了防火墙后面的VPN服务器，其他的协议（比如HTTPstream量）都被转发到那个服务器上。 此外，到机器的VPN连接在防火墙后（即从LAN）完美工作。

我已经为VPN服务器制定了“启用并可用”以下策略：

  • L2TP（打开UDP 1701）
  • IPsec（打开UDP 500，UDP 4500，AH和ESP）
  • PPTP（打开TCP 1723和GRE）

然而，无论何时从外部连接，我都能从XTM控制台看到以下日志： 

2011-12-27 16:24:08 iked ******** RECV an IKE packet at 1.2.3.4:500(socket=11 ifIndex=4) from Peer 123.123.123.123:48165 ******** Debug 2011-12-27 16:24:08 iked IkeFindIsakmpPolicy: --> Debug 2011-12-27 16:24:08 iked Failed to find phase 1 policy for peer IP 123.123.123.123 Debug 2011-12-27 16:24:08 iked IkeFindIsakmpPolicy: <-- Debug 2011-12-27 16:24:08 iked ike_process_pkt : IkeFindIsakmpPolicy failed Debug

所以看起来好像Firebox不会将stream量转发到1对1的NAT， 相反，它似乎试图作为VPN服务器本身，拦截IKE请求（但由于我没有configuration为VPN而失败）。

我错过了什么？ 是否有一些设置强制防火墙转发VPN连接尝试沿NAT？ 我是否必须预先在防火墙和VPN服务器之间configuration某种隧道？ 也许我需要添加某种静态路由？

在“VPN” – >“VPN设置”中，必须启用IPSec传递选项：

看来，WatchGuard打算将其用于出站IPSec VPN连接（从LAN客户端到WAN端点）。 要使这项工作适用于入站连接，至less需要修改自动生成的IPSec规则以允许入站连接，而不是出站连接或除出站连接外。

我还build议在您的IKE规则中为UDP端口500设置一个基于策略的NAT。

参考： WSM手册