https://wiki.ixheim.de/index.php?action=history&feed=atom&title=Nftables_und_ipsec
Nftables und ipsec - Versionsgeschichte
2026-06-28T18:48:33Z
Versionsgeschichte dieser Seite in Xinux Wiki
MediaWiki 1.35.1
https://wiki.ixheim.de/index.php?title=Nftables_und_ipsec&diff=61592&oldid=prev
Thomas.will: Die Seite wurde neu angelegt: „= Verbindungsaufbau = <pre> tcpdump: verbose output suppressed, use -v[v]... for full protocol decode listening on eth0, link-type EN10MB (Ethernet), snapshot…“
2025-04-12T20:56:20Z
<p>Die Seite wurde neu angelegt: „= Verbindungsaufbau = <pre> tcpdump: verbose output suppressed, use -v[v]... for full protocol decode listening on eth0, link-type EN10MB (Ethernet), snapshot…“</p>
<p><b>Neue Seite</b></p><div>= Verbindungsaufbau =<br />
<pre><br />
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode<br />
listening on eth0, link-type EN10MB (Ethernet), snapshot length 262144 bytes<br />
10:46:55.688317 IP 10.82.227.22.500 > 10.82.227.12.500: isakmp: parent_sa ikev2_init[I]<br />
10:46:55.789900 IP 10.82.227.12.500 > 10.82.227.22.500: isakmp: parent_sa ikev2_init[R]<br />
10:46:55.846630 IP 10.82.227.22.500 > 10.82.227.12.500: isakmp: child_sa ikev2_auth[I]<br />
10:46:55.850998 IP 10.82.227.12.500 > 10.82.227.22.500: isakmp: child_sa ikev2_auth[R]<br />
</pre><br />
<br />
= Verschlüsselter Verkehr =<br />
<pre><br />
10:47:28.011055 IP 10.82.227.22 > 10.82.227.12: ESP(spi=0xc25a59e4,seq=0x1), length 136<br />
10:47:28.011282 IP 10.82.227.12 > 10.82.227.22: ESP(spi=0xc13ff7cb,seq=0x1), length 136<br />
10:47:29.012067 IP 10.82.227.22 > 10.82.227.12: ESP(spi=0xc25a59e4,seq=0x2), length 136<br />
10:47:29.012211 IP 10.82.227.12 > 10.82.227.22: ESP(spi=0xc13ff7cb,seq=0x2), length 136<br />
</pre><br />
<br />
= Firewall Regeln =<br />
<br />
== VPN Traffic ==<br />
; Eingehendes IKE erlauben<br />
*nft add rule inet filter input iifname "$WANDEV" udp dport 500 ct state new accept<br />
; Ausgehendes IKE erlauben<br />
*nft add rule inet filter output oifname "$WANDEV" udp dport 500 ct state new accept<br />
; Eingehendes NAT-TRAVERSAL erlauben<br />
*nft add rule inet filter input iifname "$WANDEV" udp dport 4500 ct state new accept<br />
; Ausgehendes NAT-TRAVERSAL erlauben<br />
*nft add rule inet filter output oifname "$WANDEV" udp dport 4500 ct state new accept<br />
; Eingehendes ESP erlauben<br />
*nft add rule inet filter input iifname "$WANDEV" proto esp ct state new accept<br />
; Ausgehendes ESP erlauben<br />
*nft add rule inet filter output oifname "$WANDEV" proto esp ct state new accept<br />
<br />
== Realer Traffic ==<br />
; Verwenden von ''ipsec in'' und ''ipsec out''<br />
; Funktion:<br />
; Beim Entpacken des VPN Traffic wird das Paket im Kernel als IPsec markiert.<br />
; Dies kann später in der forward-Kette mit ''ipsec'' geprüft werden.<br />
<br />
; Eingehender Traffic von dem anderen Netz ins eigene erlauben<br />
*nft add rule inet filter forward iifname "$WANDEV" oifname "$LANDEV" ip saddr $DIENEN ip daddr $LAN ipsec in ct state new accept<br />
<br />
; Ausgehender Traffic vom eigenen Netz ins andere erlauben<br />
*nft add rule inet filter forward iifname "$LANDEV" oifname "$WANDEV" ip saddr $LAN ip daddr $DIENET ipsec out ct state new accept<br />
<br />
== Zu Bedenken ==<br />
; Verkehr, der in den VPN-Tunnel soll, muss vom SNAT ausgenommen werden<br />
*nft add rule ip nat postrouting oifname "$WANDEV" ip saddr $LAN ip daddr $DIENET return</div>
Thomas.will