Lancom WAN Gateway SSL VPN

Moin,

ich bin mir nicht ganz sicher. Aber bei der Portforwarding Regel im Lancom kannst du nicht 0-0 eingeben.
Sondern 1-442, 444-1024, etc. Du musst halt die Zugriffsports für deinen Lancom ausklammern, sonst sperrst du dich aus! 
Map-Port darf bei 0 bleiben wenn du einen Bereich angibst.

Hallo,

das dachte ich mir auch, das war nur zum probieren, ich hatte mal nur den SSL VPN Port drin gehabt.

Das Port-Forwarding ist richtig. Evtl. die Firewall von Lancom.

Das Lancom Gateway ist in der XG auch aktiv? Siehe "Routing -> Gateways" wenn es als Backup konfiguriert ist, nimmt die XG hier nichts an.

Das Gateway steht auf Backup, falls mal die WAN Verbindung ausfällt vom anderen.

Sicher das die XG nichts entgegennimmt? Wie gesagt direk am Lancom angeschloßen und es geht. Oder sieht die XG dann die Externen IP's und sagt sich nein ist nicht mein Haupt-Wan?

Geht das überhaupt das ich dann 2 Gatways auf Active habe?

Warum es funktioniert wenn du direkt am Lancom hängst wundert mich, da könntest du recht haben dass die XG unterscheidet ob LAN oder WAN Traffic.

Zwei aktive Gateways geht natürlich. Abgehend wird der Traffic 50/50 aufgeteilt oder wie man es halt in "Network -> WAN Link Manager" einstellt.
Sinnvoller sind aber SD-WAN Regeln. Hier legst du fest, welches Netz über welches WAN ins Internet geht. Z.B. TK-Netz über den Lancom wenn die TK-Anlage selber die SIP Registrierung machen soll über den Anschluss.

So sollte es gehen (ist etwas älter):

Hallo, eigentlich wollen wir noch keine aufteilung vom WAN Traffic machen, da der Haupt-WAN Kabel Provider uns eine 1000k/50k Leitung bereit hällt.

Der Lancom soll nur wirklich ein paar SSL-VPN User abnehmen. Die TK-Anlage ist direkt mit dem Lancom am S0/S1 angeschloßen, denke mal die können wir getrosst ignorieren.

Ja dann genügt eine SD-WAN-Regel. Alle Netze über den anderen WAN laufen lassen. Somit wird der Lancom WAN nur bei Ausfall genutzt.
Hauptsache der Lancom WAN Anschluss steht nicht mehr auf Backup sondern auf aktiv.

Also sowas? Alles auf Any lassen, oder muss ich noche eine ausnahme machen, nicht das am ende mein VPN User über den Lancom reinkommt und dann der Traffic am anderen WAN Gateways zurückgeschickt wird.

Ja passt, bin mir nur nicht sicher ob du Incoming Interface auf Any lassen kannst.
Am besten dein LAN Interface auswählen. Ans falsche WAN wird hier nichts zurückgeschickt.

Also mit SD WAN Route, und Gateways auf Active hat jetzt keine Änderung gemacht. Wenn ich nur wüste wie ich im Lancom schauen kann ob das ankommt und ob es weitergeleitet wird, frustierend.

Zusätzlich kommt jetzt noch dazu unsere IPSec Site-To-Site VPN zu unsere Tochterfirma hatte jetzt merkwürdige Probleme, auf dem SMB Server kam ich ganz normal drauf, aber komischerweise konnten die Leute sich nicht mehr auf unseren Terminalserver per RDP draufschalten. (Aber in der Sophos Log, stehen sie drin??)

Hab jetzt das SD WAN Route draußen und wieder auf Backup, ich geh stark von aus 8443 wird belegt vom Lancom, mal schauen ob ich im Openvpn ein Custom Port angeben kann.

Hab jetzt das SD WAN Route draußen und wieder auf Backup, ich geh stark von aus 8443 wird belegt vom Lancom, mal schauen ob ich im Openvpn ein Custom Port angeben kann.

Hi,

beim Lancom siehst du hier welche Ports er für die eigenen Dienste nutzt.

Den SSL VPN Port änderst du in den XG Einstellungen:

Edit: So wie es in den Screenshots ist würde es nicht funktionieren, da der Lancom den Port 8443 für den HTTPS Zugriff nutzt und nicht weiterleitet.

Ich hab jetzt den 25565 auf 8443 gemacht, und es in der Config.Datei geändert, aber der verbindet sich trotzdem nicht. Woran kann das liegen, das Userportal geht aber nicht der SSL-VPN?

Nicht nur in der Config Datei ändern, auch auf der XG. Die weiß ja gar nicht dass über den Port was ankommt. Aber Achtung, betrifft dann alle SSL VPNs.

So sollte das auch ohne umändern der XG gehen oder nicht?

Ich werd verrückt, jetz habe ich alles beim Lancom rausgemacht und wollte es mit dem 25565 port testen, und hab alles wie oben wieder gemacht und jetzt sehe ich nicht mal das Userportal

Nevermind, man darf anscheinden keine Gegenstelle angeben, oder gebenfalls die richtige, dachte das wäre nur ein Name.

Jetzt geht auch das OpenVpn auf der 25565

Vielen lieben dank @Philipp Greindl für deine großartige Hilfe.

Gerne doch!