哪些端口用于 IPSEC/LT2P？

Question

我有一个防火墙/路由器（不做 NAT）。

我用谷歌搜索并看到了相互矛盾的答案。看来 UDP 500 是常见的。但其他人很困惑。1701、4500。

有人说我还需要允许 gre 50、或 47、或 50 和 51。

好的，哪些端口是 IPSec/L2TP 在没有 NAT 的路由环境中工作的正确端口？即我想使用内置的 Windows 客户端连接到此路由器/防火墙后面的 VPN。

也许这里的一个很好的答案是指定在不同情况下要打开哪些端口。我认为这对很多人来说都是有用的。

Answer 1

以下是端口和协议：

• 协议：UDP，端口 500（对于 IKE，用于管理加密密钥）
• 协议：UDP，4500端口（IPSEC NAT-Traversal模式）
• 协议：ESP，值为 50（用于 IPSEC）
• 协议：AH，值 51（用于 IPSEC）

此外，L2TP 服务器使用端口 1701，但不应允许从外部入站连接。有一个特殊的防火墙规则只允许 IPSEC 安全流量在此端口上入站。

如果使用 IPTABLES，并且您的 L2TP 服务器直接位于互联网上，那么您需要的规则是：

iptables -A INPUT -i $EXT_NIC -p udp --dport 500 -j ACCEPT
iptables -A INPUT -i $EXT_NIC -p udp --dport 4500 -j ACCEPT
iptables -A INPUT -i $EXT_NIC -p 50 -j ACCEPT
iptables -A INPUT -i $EXT_NIC -p 51 -j ACCEPT
iptables -A INPUT -i $EXT_NIC -p udp -m policy --dir in --pol ipsec -m udp --dport 1701 -j ACCEPT

$EXT_NIC您的外部网络接口卡名称在哪里，例如 ppp0。

Answer 2

Ipsec 需要 UDP 端口 500 + ip 协议 50 和 51 - 但您可以使用 NAt-T，它需要 UDP 端口 4500。另一方面，L2TP 使用 udp 端口​​ 1701。如果您尝试通过“常规”Wi 传递 ipsec 流量-Fi 路由器，没有 IPSec 直通之类的选项，我建议打开端口 500 和 4500。至少在我的工作方式是这样。希望这可以帮助。