IPSEC VPN vanuit AWS EC2 VPC (NAT)

[Sander-]

Voor een verbinding met een SOAP API van een externe partij ben ik bezig met het opzetten van een IPSEC VPN naar hun ASA 5540, op basis van de door hun gegeven specs (categorie of zo werken, of niet). Opzich geen problemen hier om dit op te zetten met openswan/strongswan, maar doordat de betreffende server waarop ik de VPN verbinding wil opzetten in een AWS VPC draait moet ik ook werken met NAT. Uiteindelijk is het een simpele VPN waarbij we alleen de VPN machine toegang willen geven tot de externe partij, dus:
EC2 Instance <> NAT <> Extern IP <> Cisco ASA 5540 <> Lijstje van 10 servers.

Inmiddels grote aantallen configuraties/howto's geprobeerd die opgeschreven zijn rondom het AWS scenario, maar inmiddels wederom stuck. Gezien de beperkte medewerking van de tegenpartij en mijn gebrek aan kennis op dit gebied wil ik graag externe hulp inschakelen, om eea werkend te krijgen, of anders gedegen feedback te kunnen geven aan de externe partij van wat er bij hun aangepast moet worden.

Zijn er hier op het forum mensen die op uurbasis kunnen assisteren bij het opzetten hiervan inclusief documentatie van de inrichting?

[mgielissen]

IPSEC is tricky over NAT, kun je niet beter OpenVPN gebruiken?

[bibawa]

Ben hier een aantal weken terug ook mee bezig geweest, identieke situatie ipsec over nat aan een kant.. Gewoon opgegeven en aan die ene kant er voor gezorgd dat er een publiek fixed ip op de router kant staat..

Ellende via NAT :-)..

Als het echt moet werken openVPN gebruiken !

[visser]

IPSEC is tricky over NAT, kun je niet beter OpenVPN gebruiken?

Ik las "externe partij" "hun ASA" . [ASA = cisco firewall. Support geen OpenVPN] .Dan is een ander protocol kiezen niet mogelijk - of in elk geval niet makkelijk.

[pimlie]

Heb zelf hier een IPsec site-to-site van een Mikrotik (dus min of meer ook swan) achter NAT naar een ASA 5520 bij een klant staan, het voornaamste probleem daar was dat de ASA enkel dh-group=modp1024 ondersteunde. Kan me niet herinneren of er op de ASA nog aanpassingen nodig waren, als je me pm't kan ik je in contact brengen met degene die de ASA daar beheerd.