VPN mit iptables

Erstmal Hallo an alle.

Ich habe auf meinen Suse Rechner eine Firewall mit hilfe eines Scriptes realisiert. (eth1 --> WAN, eth0 --> lan).

Das funktioniert auch soweit ganz gut. Nur bekomme ich keine VPN verbindungen mehr aufgebaut.

Habe folgende Regel definiert:

iptables -A internetout -p udp --sport 500 -j ACCEPT
iptables -A internetin -p udp --dport 500 -j ACCEPT

iptables -A internetout -p ESP -j ACCEPT
iptables -A internetin -p ESP -j ACCEPT

internetin und internetout sind definierte chains.

Was fehlt da noch, um vpn zuzulassen?

Ps.: gibt es für nen tool, das den Netzwerkverkehr gut aufschlüsselen kann (ports, ipadresse, traffic)?

Vielen Dank jetzt schon mal

Ps.: gibt es für nen tool, das den Netzwerkverkehr gut aufschlüsselen kann (ports, ipadresse, traffic)?

Zum Vergrößern anklicken....

Gibt es massenweise, aber für Dein Problem sollte zunächst ein Blick in den Log der Firewall genügen, was da geblockt wird.

Je nach Distribution (die leider geheim zu sein scheint) ist das messages oder firewall (SuSE handhabt das seit 9.irgendwas so).

Greetz;

RM

Start mal Wireshark während der Verbindungsaufbau läuft. Das listet dir auf was die Netzwerkkarte verlässt.

ethereal ist mir natürlich bekannt, ich wollte aber gern ein übersichtliches programm.

Es läuft Linux 9.2.

Und bei dem VPN Problem, kann mir da jemand helfen?

Setzt ein paar Filter bei Wireshark, dann wirds übersichtlicher. Welche Ports Du freischalten musst kommt auf das VPN Tool an. Das macht jeder Hersteller anders. SSL VPN, OpenVPN , IPSec, kann alles möglich sein.

Welches VPN benutzt Du?

Ein recht einfaches Tool ist tcpdump.

zeigt Dir eben mal schnell welcher Traffic anfaellt mit IP Adresse und Port# auf nic eth0. Dein eigener Traffic, den Du mit Deinem ssh, ueber den Du auf den Rechner zugreifst, erzeugst, wird dabei excluded.

nbkr schrieb:

Setzt ein paar Filter bei Wireshark, dann wirds übersichtlicher. Welche Ports Du freischalten musst kommt auf das VPN Tool an. Das macht jeder Hersteller anders. SSL VPN, OpenVPN , IPSec, kann alles möglich sein.

Zum Vergrößern anklicken....

Geht über IPSec Port 500, das allein scheind aber noch nicht zu reichen.