dann macht der Client aber kein Standard IPSec, sondern was eigenesAn der Firewall kann ich mich noch authentifizieren, bekomme aber anschließend kein Policyupdate vom Policyserver. Das Zünglein an der Wage scheint der UDP Port 2746 zu sein, den Checkpoint benötigt.
Da du dich am Server anmelden kannst, macht das LANCOM das schonTrage ich den als UDP Zielport ein, scheint der Lancom den gar nicht frei zu geben.
Ich hasse diese proprietären Versuche, ein NAT-Traversal zu machen. würden die sich an den RFC zum NAT-T halten und das IKE ganz normal über den Port 500 öffnen und hinterher die ESP-Pakete in UDP-Pakete einpacken würde alles funktionieren. Doch so...Hänge ich ein reines DSL Modem an den Notebook, dann klappt es mit Checkpoint und ich sehe den genutzten Port 2746. Bei Checkpoint wird dieser Port als IKE encapsulated bezeichnet oder so ähnlich.
Da bleibt dir nur übrig das UDP-Aging hochzusetzen - z.B. auf 5 Minuten. Nur hast Du dann ganz schnell das Problem, daß dir die Maskierungstabelle überläuft, wenn du z.B. Gameserver suchst oder Skype verwendest oder, oder, oder...
Ggf. kann man den Client ja so umstellen, daß er reines IPSec macht oder korrektes NAT-T (und natürlich auch den Server, daß er das akzeptiert).
Das ist aber letztendlich ein Problem von Checkpoint, bzw. deinem Administrator in der Firma - das muß eigentlich mit jedem Router schiefgehen der NAT macht (oder du hast einen der Billigheimer mit ihrer sog. DMZ, die keine ist, sondern nur ein exposed Host, der alles sieht, was nicht zuordbar ist - eine riesige Sicherheistlücke und in Verbindung mit VPN gelinde gesagt untragbar...)
Ach ja, wenn es nach dem Hochschalten des UDP-Agings funktioniert, dann solltest Du sofort einen Dauerping auf einen Server in deiner Firma starten, da die Verbindung sonst nach Ablauf der Aging-Zeit wieder abreißt...
Gruß
Backslash
)