Kort svar: UDP-port til IKE

I mange VPN-opsætninger bruges UDP port 500 til IKE (Internet Key Exchange). IKE står for forhandling af nøgler og etablering af sikkerhedsaftaler i IPsec-lignende VPN-scenarier.

Det er dog ikke altid kun én port, der ses i praksis. Hvis der er NAT (Network Address Translation) mellem parterne, kan der i nogle opsætninger også optræde UDP port 4500 for IKE-relateret trafik.

Grundlæggende model: hvad IKE gør

IKE bruges til at få to endepunkter til at blive enige om, hvordan en beskyttet forbindelse skal bygges op. En typisk “start” foregår sådan, at begge sider forhandler parametre (fx krypterings-/integritetsvalg og nøglehåndtering) og derefter etablerer den sikre kommunikation, hvori data kan sendes.

Fordi IKE er en del af setup-/forhandlingsfasen, vil du ofte se IKE-trafik som “kontroltrafik” før selve dataflowet. Denne kontroltrafik kan, afhængigt af miljøet, være bundet til bestemte UDP-porte.

UDP 500 vs. UDP 4500: hvornår du kan se begge

  • UDP 500: Den mest almindelige port du støder på i forbindelse med IKE-etablering i klassiske IPsec/IKE-scenarier.
  • UDP 4500: Kan blive relevant når forbindelsen går gennem eller påvirkes af NAT. I sådanne situationer kan IKE-relateret kommunikation skifte til en anden UDP-port for at håndtere translation og session-adfærd.

Vigtigt nuancepunkt: Om du ser UDP 500, UDP 4500 eller begge dele, afhænger af den konkrete VPN-opsætning og netværksforholdene. To ens “typer” af VPN kan derfor give forskellige observerbare porte i trafikdata.

Hvorfor portbilledet ikke altid er “enkelt”

Selv om UDP-porten kan være en god pejling, er portmapping i praksis påvirket af flere ting:

  • NAT og firewallregler kan ændre, hvilken trafik der faktisk passerer mellem nettene.
  • Hvilken IKE-tilstand/konfiguration der er valgt i løsningen, kan påvirke hvad du observerer.
  • Logging og filtrering i dine værktøjer kan gøre, at du først opdager én port (fx ved etablering) og senere en anden (fx ved videre kommunikation).

Derfor bør du bruge porten som en indikator—ikke som et eneste bevis—for at IKE faktisk kører.

Praktisk: sådan kontrollerer du porten korrekt

  1. Identificér VPN-typen og sikkerhedskomponenten: IKE forbindes ofte med IPsec-/IKE-forhandlingssetup, men det kan være konfigurationsafhængigt.
  2. Observer trafikken på de rigtige steder: Kig efter IKE-trafik både tæt på klienten og tæt på gatewayen, især hvis der er NAT mellem dem.
  3. Sammenhold port og protokol: En UDP-port alene siger ikke alt. Se også at trafikken matcher IKE/forhandlingskommunikation.
  4. Forvent variation: Hvis du ser både UDP 500 og UDP 4500, kan det være et tegn på, at opsætningen skifter adfærd (ofte forbundet med NAT).

Hvis dine observationer ikke passer med “typiske” forventninger (fx slet ingen trafik på UDP 500), så er det et signal om, at opsætningen eller netværksvejen kan afvige—og at du skal verificere konfigurationen på endepunkterne.

Afgrænsning: hvad du ikke kan konkludere ud fra port alene

At der bruges UDP port 500 (eller UDP port 4500) betyder ikke automatisk, at al VPN-trafik følger samme mønster. Portniveauet gælder primært for IKE-forhandlingsdelen, mens den senere dataudveksling kan foregå på andre måder og med andre protokol-/transportegenskaber.

Som tommelfingerregel: brug porten til at finde og forstå forhandlingsfasen—og brug andre oplysninger (såsom protokolidentifikation og konfiguration) til at beskrive resten af VPN-setup’et.