Какие порты открыть для IPsec VPN: полное руководство по настройке IKEv2 и L2TP/IPsec

Что такое IPsec VPN и зачем нужны порты

IPsec (Internet Protocol Security) — это набор протоколов для защиты передачи данных на сетевом уровне. В отличие от многих других VPN-решений, IPsec работает непосредственно поверх IP, а не через TCP или UDP. Это означает, что для его функционирования требуется не только открыть определённые порты, но и разрешить специальные IP-протоколы, такие как ESP и AH.

Когда вы настраиваете IPsec VPN, ваше устройство и сервер должны согласовать параметры шифрования и аутентификации. Этот процесс называется IKE (Internet Key Exchange). После установления защищённого канала данные передаются через ESP (Encapsulating Security Payload). Понимание этой архитектуры помогает правильно настроить межсетевой экран и избежать типичных ошибок.

Порты в контексте IPsec — это логические каналы, через которые проходят управляющие и данные. Номера портов стандартизированы, и их изменение без необходимости может нарушить совместимость. В этой статье мы подробно разберём, какие порты и протоколы нужно открыть для различных реализаций IPsec VPN, включая IKEv2 и L2TP/IPsec.

Основные порты и протоколы IPsec: UDP 500, 4500, ESP и AH

Для работы IPsec VPN в большинстве сценариев необходимы следующие элементы:

• UDP 500 — используется для IKE, то есть для согласования ключей шифрования и аутентификации между клиентом и сервером.
• UDP 4500 — применяется для NAT-T (NAT Traversal), когда одна или обе стороны находятся за NAT. Этот порт позволяет инкапсулировать ESP-пакеты в UDP, чтобы они могли пройти через устройства с трансляцией адресов.
• ESP (IP-протокол 50) — непосредственно передаёт зашифрованные данные. Это не порт, а отдельный IP-протокол, поэтому правило файрвола для него создаётся иначе, чем для TCP/UDP.
• AH (IP-протокол 51) — используется для аутентификации без шифрования. В большинстве современных реализаций IPsec применяется ESP, а AH встречается реже, но иногда требуется для совместимости.

Если сервер и клиент находятся за NAT, ESP-трафик автоматически инкапсулируется в UDP 4500, поэтому отдельное разрешение ESP может не понадобиться. Однако в некоторых конфигурациях, особенно при прямом подключении без NAT, ESP должен быть разрешён явно.

Важно понимать, что UDP 500 и UDP 4500 не взаимозаменяемы: каждый выполняет свою функцию, и оба должны быть открыты для корректной работы IPsec VPN.

Порты для IKEv2 VPN: UDP 500, 4500 и ESP

IKEv2 — это современная версия протокола IKE, которая используется в IPsec VPN. Она отличается повышенной стабильностью и поддержкой мобильных клиентов. Для работы IKEv2 необходимо открыть следующие порты на сервере:

• UDP 500 — для IKE-согласования.
• UDP 4500 — для NAT-T, если клиент или сервер находятся за NAT (что почти всегда верно для мобильных и домашних сетей).
• ESP (IP-протокол 50) — для передачи данных, если соединение устанавливается без NAT-T.

На практике, если вы используете встроенный VPN-клиент Windows или мобильное устройство, клиент почти всегда находится за NAT, поэтому трафик ESP будет инкапсулирован в UDP 4500. В этом случае отдельное правило для ESP не требуется, но его наличие не помешает.

При настройке IKEv2 на Windows Server через роль RRAS (Routing and Remote Access) часть правил файрвола создаётся автоматически. Однако если сервер находится в облаке, необходимо также открыть соответствующие порты в security group хостера, иначе внутренние правила Windows не будут иметь эффекта.

Для проверки, какие порты реально слушает сервер, можно использовать команды Get-NetTCPConnection и Get-NetUDPEndpoint в PowerShell. Сверьте их со списком правил файрвола через Get-NetFirewallRule.

Порты для L2TP/IPsec: UDP 500, 1701, 4500 и особенности

L2TP (Layer 2 Tunneling Protocol) сам по себе не шифрует данные, поэтому он почти всегда используется в связке с IPsec. Для L2TP/IPsec требуется открыть следующие порты:

• UDP 500 — для IKE (согласование ключей).
• UDP 4500 — для NAT-T.
• UDP 1701 — для передачи данных L2TP.

В некоторых источниках упоминается TCP 1701, но стандарт предполагает использование UDP. На практике большинство реализаций L2TP/IPsec используют именно UDP 1701.

Важный нюанс: если сервер L2TP/IPsec находится за NAT, порт 1701 может не потребоваться пробрасывать на внешний роутер, так как весь трафик инкапсулируется в UDP 4500. Однако на самом сервере порт 1701 должен быть открыт во внутреннем файрволе.

Типичная ошибка — открыть только UDP 500 и забыть про 4500. В этом случае согласование ключей проходит, но туннель не устанавливается, потому что клиент за NAT не может передать ESP-пакеты напрямую.

Также стоит помнить о проблеме двойного NAT: если и сервер, и клиент находятся за NAT, некоторые промежуточные устройства могут блокировать IPsec-пакеты. В таких случаях помогает включение NAT-T и настройка параметра AssumeUDPEncapsulationContextOnSendRule в реестре Windows.

Как открыть порты в Windows Firewall: команды PowerShell

Для Windows Server или Windows 10/11 можно использовать PowerShell для создания правил входящего трафика. Вот примеры команд для каждого компонента IPsec VPN:

IKE (UDP 500):

New-NetFirewallRule -DisplayName "IPsec IKE Inbound" -Direction Inbound -Protocol UDP -LocalPort 500 -Action Allow -Profile Any

NAT-T (UDP 4500):

New-NetFirewallRule -DisplayName "IPsec NAT-T Inbound" -Direction Inbound -Protocol UDP -LocalPort 4500 -Action Allow -Profile Any

ESP (IP-протокол 50):

New-NetFirewallRule -DisplayName "IPsec ESP Inbound" -Direction Inbound -Protocol 50 -Action Allow -Profile Any

L2TP (UDP 1701), если используется:

New-NetFirewallRule -DisplayName "L2TP Data Inbound" -Direction Inbound -Protocol UDP -LocalPort 1701 -Action Allow -Profile Any

Эти команды создают правила для всех профилей сети (Domain, Private, Public). Если нужно ограничить профиль, укажите -Profile Private или -Profile Domain.

На стороне клиента отдельные входящие правила обычно не требуются, так как клиент сам инициирует соединение, а ответный трафик проходит по уже установленной сессии благодаря stateful-инспекции файрвола. Исключение — если на клиенте включена политика блокировки исходящего трафика по умолчанию, тогда нужно разрешить исходящие UDP-порты аналогичными командами с -Direction Outbound.

Настройка портов на роутере и в облачных файрволах

Если ваш VPN-сервер находится за домашним или офисным роутером, необходимо настроить переадресацию портов (port forwarding). Зайдите в веб-интерфейс роутера (обычно по адресу 192.168.1.1 или 192.168.0.1), найдите раздел «Переадресация портов» или «NAT» и создайте правила для нужных портов.

Например, для L2TP/IPsec сервера с локальным IP 192.168.1.3 нужно создать правила:

• UDP 500 → 192.168.1.3
• UDP 4500 → 192.168.1.3
• UDP 1701 → 192.168.1.3 (если сервер не за NAT)

Убедитесь, что устройство, на котором работает VPN-сервер, имеет статический локальный IP-адрес (настройте резервирование DHCP или статический IP).

В облачных средах (AWS, Azure, DigitalOcean и т.п.) помимо внутреннего файрвола операционной системы существует внешний файрвол (security group). Необходимо открыть те же порты и в нём. Частая ошибка — открыть порт только в Windows Firewall, забыв про security group, из-за чего подключение не работает.

Также проверьте, не блокирует ли ваш интернет-провайдер порты IPsec. Некоторые провайдеры могут фильтровать UDP 500 или ESP-трафик. В этом случае может помочь использование NAT-T (UDP 4500) или переход на другой протокол VPN.

Типичные ошибки при настройке IPsec VPN и способы их решения

При настройке IPsec VPN пользователи часто сталкиваются с ошибками, которые можно разделить на несколько категорий.

Ошибка 809 или 789 в Windows: Эти ошибки указывают на проблемы с согласованием L2TP/IPsec. Часто причина — неоткрытые порты или неправильные настройки NAT-T. Проверьте, что UDP 500 и 4500 открыты, а также что на клиенте и сервере включена поддержка NAT-T (параметр реестра AssumeUDPEncapsulationContextOnSendRule).

Проблема с несколькими одновременными подключениями из одной локальной сети: Известный баг Windows не позволяет устанавливать более одного L2TP/IPsec-подключения с разных компьютеров за одним NAT. Решение — изменить параметры реестра AllowL2TPWeakCrypto и ProhibitIpSec в ветке HKLM\SYSTEM\CurrentControlSet\Services\Rasman\Parameters.

Несоответствие портов в конфиге и файрволе: Если вы изменили порт по умолчанию в конфигурации службы, но забыли обновить правило файрвола, соединение не установится. Всегда проверяйте, какие порты слушает сервер, с помощью netstat или PowerShell.

Забыли про ESP: Для IKEv2 и L2TP/IPsec, если сервер не за NAT, необходимо разрешить IP-протокол 50 (ESP). В Windows Firewall это делается через -Protocol 50, а не через TCP/UDP.

Проблемы с сертификатами: Для IKEv2 часто требуется наличие доверенного сертификата на сервере. Если сертификат не установлен или не доверенный, подключение не пройдёт проверку, даже если порты открыты.

Блокировка провайдером: Некоторые провайдеры блокируют IPsec-трафик. Проверьте, работает ли VPN при подключении через другую сеть (например, мобильный интернет).

Проверка доступности портов и диагностика соединения

После настройки портов важно убедиться, что они действительно доступны извне. Существует несколько способов проверки.

Локальная проверка на сервере: Используйте команды netstat -an или PowerShell Get-NetUDPEndpoint для просмотра слушающих портов. Убедитесь, что UDP 500 и 4500 (и 1701 для L2TP) находятся в состоянии LISTENING.

Проверка из внешней сети: Можно использовать онлайн-сервисы проверки портов (например, portchecker.co), но они обычно проверяют только TCP. Для UDP-портов проверка сложнее, так как требуется реальный VPN-клиент.

Логирование файрвола: Включите логирование блокировок в Windows Firewall командой Set-NetFirewallProfile -LogBlocked True. Затем попробуйте подключиться к VPN и посмотрите журнал: если пакеты блокируются, вы увидите записи DROP по нужному порту. Если записей нет — пакеты не доходят до сервера, и проблема в промежуточных устройствах.

Использование Wireshark: Захват трафика на сервере поможет увидеть, приходят ли пакеты IKE на UDP 500. Если пакеты не приходят, проверьте маршрутизацию и файрволы на пути.

Проверка NAT-T: Если клиент за NAT, убедитесь, что используется UDP 4500. В Wireshark можно увидеть ESP-пакеты, инкапсулированные в UDP 4500.

Помните, что открытие портов — это только часть настройки. Убедитесь, что службы VPN запущены, аутентификация настроена правильно, и нет конфликтов с другими приложениями, использующими те же порты.

Безопасность при открытии портов: что нужно учитывать

Открытие портов на сервере увеличивает поверхность атаки. Злоумышленники могут попытаться использовать открытые порты для несанкционированного доступа. Чтобы минимизировать риски, следуйте рекомендациям:

• Открывайте только необходимые порты. Не открывайте все порты «на всякий случай». Чем меньше открытых портов, тем меньше возможностей для атаки.
• Используйте сильные методы аутентификации. Для IPsec VPN используйте сертификаты или надёжные предварительные ключи (PSK). Избегайте слабых протоколов, таких как PPTP.
• Ограничьте доступ по IP-адресам. Если возможно, настройте файрвол так, чтобы разрешать подключения только с определённых IP-адресов или подсетей.
• Регулярно обновляйте программное обеспечение. Уязвимости в VPN-серверах могут быть исправлены только в новых версиях.
• Используйте современные протоколы шифрования. Для IPsec выбирайте AES с длиной ключа 256 бит и надёжные алгоритмы аутентификации, такие как SHA-256.
• Мониторьте логи. Включите логирование и регулярно просматривайте журналы на предмет подозрительной активности.

Также важно помнить, что некоторые протоколы, такие как PPTP, считаются устаревшими и небезопасными. Порт 1723 (PPTP) лучше держать закрытым, если вы не используете этот протокол.

Открытие портов на роутере также требует осторожности: убедитесь, что роутер имеет надёжный пароль администратора и обновлённую прошивку.

Сравнение IPsec с другими VPN-протоколами по портам

Чтобы лучше понять специфику IPsec, полезно сравнить его с другими популярными VPN-протоколами.

• WireGuard: использует один UDP-порт (по умолчанию 51820). Это самый простой протокол с точки зрения настройки файрвола. Не требует дополнительных IP-протоколов.
• OpenVPN: по умолчанию UDP 1194, но может работать на любом TCP/UDP порту, включая TCP 443 для маскировки под HTTPS. Гибкий, но требует настройки сертификатов.
• SSTP: использует TCP 443, маскируясь под HTTPS. Хорошо проходит через файрволы, но является проприетарным протоколом Microsoft.
• PPTP: использует TCP 1723, но считается небезопасным и не рекомендуется к использованию.

IPsec (IKEv2, L2TP/IPsec) отличается тем, что требует несколько портов и IP-протоколов. Это делает его более сложным в настройке, но обеспечивает высокий уровень безопасности и совместимость с большинством операционных систем.

При выборе протокола учитывайте не только порты, но и производительность, совместимость с клиентами и требования безопасности. Для большинства современных сценариев рекомендуется IKEv2 или WireGuard.

Вопросы и ответы