Puertos escucha del servicio VPN/IPSec

[javi.lopez.izquierdo]

Hola

Por favor me gustaria saber cuales son los puertos de escucha del servicio VPN/IPSec y la funcion de cada uno de ellos y si son los mismo en todos los ISR o scurity appliance, y si hay documentacion ofical de Cisco para consultarla

Gracias

[Itzcoatl Espinosa]

Hola Javier,

Los puertos que se utilizan tanto los routers IOS, como firewalls (Security Appliance) para VPN sobre IPSEC son los siguientes:

ISAKMP (UDP 500)

Este se utiliza en la creación de Fase I de la VPN.

Protocolo ESP (no es un puerto)

Se utiliza en Fase II

NAT-Traversal (UDP 4500) --- En caso de que el equipo que realiza la VPN se encuentre detrás de otro que realiza NAT, el router encapsula ESP en el puerto UDP 4500.

Te mando documentación relacionada al caso

http://www.cisco.com/en/US/products/ps6120/products_tech_note09186a00807e0aca.shtml#solution03

[javi.lopez.izquierdo]

Hola

Gracias por la respuesta, tambien te queria preguntar si es posible crear una vpn entre dispositivos separados por nat utilizando PortForwarding, pero me suena que se produce un problema de integridad cuando el router que no esta detras de la nat recibe un paquete de otro router que si que esta detras da la nat, quizas por que al cambiar la direccion de origen el  checksum ya no coincide..?

gracias...

[Itzcoatl Espinosa · Accepted solution]

Javier,

No debería haber problema siempre y cuando los puertos UDP 500 y 4500 sean recibidos por el equipo que hace el NAT y este le haga un forward al equipo que realiza la VPN.

Saludos

Itzcoatl

[javi.lopez.izquierdo]

Gracias por la ayuda, es muy valiosa.

Saludos...

[diego]

Hola Itzcoalt, respecto de este tema hago la siguiente consulta

tengo un extremo de mi vpn donde pertenezco a una red LAN, la cual me da servicio a internet.

mi entrono lan seria 10.10.x.x  donde armo mi estructura.

y en mi WAN recibo la ip 10.1.x.x.

hasta aquí bien, ahora la pregunta es abriendo estos puertos (UDP 500 y 4500)por parte de quien me da servcios dentro de su LAN, y con la ip Publica de esta estructura podría armar un tunel gateway to gateway??