IPsec-Durchleitung auf einem Heimrouter: Was sie wirklich leistet

Pass-Through-Schalter am Router sind Weiterleitungskonzessionen für ein Gerät dahinter, keine VPN-Dienste. Sie melden den Router nicht als Client an, halten keine Zugangsdaten und schleusen nicht jedes Gerät im Haus durch einen entfernten Ausgang. Was sie tun, ist zu prägen, wie ein Protokoll die Adressübersetzung und die Filter überquert. Ist das klar, lässt sich der Schalter leicht testen und leicht ausgeschaltet lassen.

Was der Router tatsächlich tut

Der Router sitzt zwischen einem Client und einem IPsec-Peer und leitet Pakete weiter, die zu verstehen er nie entworfen wurde. Hersteller setzen die Funktion auf mindestens drei Arten um: ein Protokollhelfer, der Zustand verfolgt oder umschreibt, eine Filterausnahme, die das Verwerfen von ESP beendet, oder einen Kompatibilitätsmodus für ältere Clients. Das Etikett in der Weboberfläche sagt selten, welche der drei Sie haben. Nur die Firmware-Hinweise oder ein Paketmitschnitt sagen es.

Ein Helfer kann es auch schlimmer machen. Hilfe, die für einen älteren Fluss geschrieben wurde, stört manchmal einen Client, der die Übersetzung bereits richtig behandelt. Wenn ein moderner Client mit der Option aus funktioniert, ist es die bessere Konfiguration, sie aus zu lassen.

Pass-Through gibt dem Router nie die Schlüssel der Peers. Er sieht weiterhin die äußeren Adressen und Ports und wendet weiterhin seine eigene Weiterleitungsrichtlinie darauf an.

NAT und NAT-T entscheiden den Pfad

IPsec wurde nicht gebaut, um Adressübersetzung zu überleben, deshalb ergänzten die Standards eine Hülle. NAT-Traversal kapselt ESP in UDP, sodass eine gewöhnliche NAT-Tabelle den Fluss tragen kann, und die Aushandlung vereinbart diesen Wechsel während IKE (RFC 3948). IKE selbst nutzt UDP 500, während der gekapselte Pfad typischerweise UDP 4500 nutzt.

Deshalb reicht eine Firewall-Regel, die nur Protokoll 50 erlaubt, auf einem übersetzten Pfad nicht aus. Das Blockieren von 4500 bricht den Fall, für den die Hülle existiert, und das Blockieren von 500 stoppt die Aushandlung, bevor irgendein Tunnel entsteht. Beide Richtungen zählen, weil ein zustandsbehafteter Router die Antwort meist erst zulässt, nachdem er die Anfrage gesehen hat. Einen Port zu erreichen ist nicht dasselbe wie die Authentifizierung abzuschließen, und auch nicht dasselbe wie geschützten Verkehr weiterzuleiten.

Ältere Anordnungen unterscheiden sich genug, dass ein für sie geschriebener Leitfaden irreführen kann. Bietet ein Client beide Modi an, testen Sie den, den Ihr Peer dokumentiert, statt den mit mehr Suchtreffern.

Finden Sie die scheiternde Stufe

Teilen Sie das Problem in Aushandlung, Authentifizierung, Kindschutz und innere Weiterleitung und sammeln Sie dann Belege für jeweils eine Stufe. Ein Neustart, der das Ergebnis vorübergehend ändert, beweist nur, dass irgendein Zustand beteiligt war.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Der Mitschnitt zeigt, ob der Austausch den Peer erreicht und ob Antworten zurückkommen, was ein Filterproblem von einem Zugangsdatenproblem trennt. Die Zustandsliste zeigt etablierte Sicherheitsassoziationen, ein leerer Eintrag nach einem Versuch deutet also auf Aushandlung statt auf Routing. Die Richtlinienliste zeigt, welche Selektoren installiert sind, und dort wird ein Ziel außerhalb des Subnetzes ausgeschlossen. Lesen Sie beide xfrm-Ausgaben, bevor Sie den Router anfassen, denn sie beschreiben, was der Host glaubt, statt was der Router erlaubt.

Wenn Pakete hinausgehen und nichts zurückkommt, verlegen Sie den Mitschnitt auf die WAN-Seite des Routers. Der Vergleich beider Mitschnitte lokalisiert den Verlust, ohne zu raten.

Schalten Sie ab, was Sie nicht brauchen

Ein einzelnes funktionierendes Notebook beweist nicht, dass der Router mehrere Clients gleichzeitig bedient. Jeder Client erzeugt seinen eigenen Übersetzungszustand und seine eigene Aushandlung, und manche Helfer verfolgen nur einen Fluss. Testen Sie die Anzahl gleichzeitiger Sitzungen, die Sie tatsächlich brauchen, aus den Netzen, die Sie tatsächlich nutzen. Scheitert der zweite Client, während der erste läuft, ist das der Befund und kein wackeliger Tunnel.

Lassen Sie die Option nur eingeschaltet, wenn ein Mitschnitt zeigt, dass sie nötig ist. Notieren Sie die Firmware-Version neben dem Ergebnis, denn diese Verhaltensweisen ändern sich zwischen Releases. Das Ziel ist ein Client-Tunnel, den Sie verifiziert haben, kein Schalter, den Sie hoffnungsvoll aktiviert haben.