Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 16 replies
  • Subscribers 5 subscribers
  • Views 1852 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Internet trafik über VPN Route

AyhanGünay

Hallo Zusammen,

habe zwischen eine Sophos XGS 2100 und Draytek mittels Ikev2 ein Site to Site Tunnel aufgebaut.

Das routing der Subnetze funktioniert einwandfrei in beide richtungen.

Firewallregen wurden auch entsprechend konfiguriert.

Nun möchte ich aber, dass bestimmte clienten auf Sophos seite über den VPN Tunnel ins Internet gehen, quasi die Internetleitung der Draytek nutzen.

Wie kann ich diese realisieren ?

Bei der Draytek ging es ziemlich einfach mittels route policy aber bei der Sophos habe ich es nicht hinbekommen.

man hat mir vor Ort gesagt, dass dies nicht möglich ist, was ich aber nicht glaube.

wäre für jede hilfe dankbar



This thread was automatically locked due to age.
Parents Reply Children
  • 0 in reply to AyhanGünay

    Wie sicher bist du, dass es nicht an dem Peer liegt? 

    Einfach auf der Firewall ein Packet Capture machen. Dabei schauen, ob das Paket korrekt die Firewall auf IPsec0 verlässt. Wenn das richtig aussieht, dann ist es Problem vom Peer und dort stimmt etwas nicht. 

    __________________________________________________________________________________________________________________

  • 0 in reply to LuCar Toni

    Packet Capture zeigt verstoß an - ich komme aus der Firewall nicht raus ergo ich mache was an der Firewall verkehrt.

    Packet Capture = Ping zu VPN Router Draytek

    Wenn ich die automatisch generierte VPN Rule benutze können meine Endgeräte über ipsec0 die Firewall verlassen und erreichen auch die Gegenseite

    Sobald ich aber die SD-WAN Rule in spiel nehmen, komme ich nicht mehr raus.

    Mein Fehler liegt vermutlich darin, dass ich der SD-WAN Richtlinie InternetIPv4 nicht richtig sagen kann wie er durch den Tunnel gehen soll.

    Habe SD-WAN Regel eingestellt so wie hier : https://community.sophos.com/sophos-xg-firewall/f/recommended-reads/129512/xml-import-for-internetv4-objects

    Dann habe ich unter Regeln und Richtlinien folgende Regel eingestellt

    Quellezone: LAN

    Quelle Netz: InternetIPv4 ( SD-WAN )

    Ziel Netz: Subnet von Draytek

    Ziel Zone: WAN

    Linked Nat / Verknüpfte NAT mit MASQ und ohne probiert

    Ich denke sehr stark dass hier irgendwo der Wurm liegt.

    Ich muss ja der PBR SD WAN InternetIPv4 ( SD-WAN ) sagen, dass er durch den Tunnel gehen soll, genau wo mach ich das ?

  • 0 in reply to AyhanGünay

    Die SD_WAN Regel muss wie folgt aussehen:

    __________________________________________________________________________________________________________________

  • 0 in reply to LuCar Toni

    So sieht es aus 

    Client 192.168.1.68 soll über das VPN Draytek zum Internet

    Das ist die Firewall Regel

    Dort sage ich dass die Quelle Internet IPv4 in der Lan Zone über das Subnet der Draytek "CorluLan" ins WAN soll

    Mit Linked Nat verknüpft.

    Wenn hier alles soweit i.O ist, dann kann die Sophos wirklich nicht mit der Draytek zusammenarbeiten außer das normale Routing oder fehlt mir noch ne Einstellung / Konfiguration ?

  • 0 in reply to AyhanGünay

    Die Objekte sind wahrscheinlich falsch. 

    Du musst WAN - ANY nutzen. 

    Dann musst du in der Firewall Regel und in der SD-WAN Regel auch mit dem Internet v4 arbeiten (überprüfe auch, dass du das ANY objekt verwendest, wo alle Internet V4 Objekte drin sind). 

    __________________________________________________________________________________________________________________

  • 0 in reply to LuCar Toni

    Habe auch die Internet V4 probiert

    Was meinst du mit WAN - ANY ? Zielnetzwerk und Zielzone in der Firewall Regel ?

  • 0 in reply to AyhanGünay

    WAN zone und ANY Object für Network. 

    __________________________________________________________________________________________________________________

  • 0 in reply to LuCar Toni

    Ich verstehe nur Bahnhof wenn ich in der Firewall Regel WAN zu ANY mache, woher weis dann InternetIPv4 dass der Ausgang über Tunnel ist, wenn ich nirgendswo eine Regel habe, der den Tunnel und die InternetIPv4 miteinander verbinde.

    Dann muss ich nicht mit Linked NAT arbeiten sondern eine eigene NAT Regel auch noch schreiben - ist das richtig ?

  • 0 in reply to AyhanGünay

    Hast du einen Route based VPN? Oder alten Policy based? 

    Du musst von der Perspektive der Firewall denken. (Wenn du einen Route based VPN Tunnel hast). 

    Für die Firewall möchtest du folgendes machen: 

    Client geht ins Internet und soll über den IPsec Tunnel gehen.

    Das heißt: 

    LAN // Client 

    WAN // ANY 

    Service ANY

    Allowed. 

    NAT brauchst du nicht zwangläufig, wenn die Gegenstelle das korrekt macht.

    Dann brauchst du eine SD-WAN Regel:

    Client 

    Internetv4

    ANY 

    Gateway vom Ipsec tunnel (das musst du anlegen). 

    Ich würde aber empfehlen, einen Sophos Partner zu involvieren. 

    __________________________________________________________________________________________________________________

  • 0 in reply to LuCar Toni

    Habe Policy Based

    Da ist dass Schlagwort, habe das Gateway vom IPsec Tunnel nicht angelegt - ich muss erstmal ein Gateway anlegen muss aber mich durchlesen wie ich das am besten machen, denn der VPN Tunnel zur Draytek hat ja keine Schnittstelle

    Danke nochmals für deine Zeite und Mühen

Cookie Information Banner