S2S VPN, Firewall in Branchoffice BO erreicht keine Adressen im Head Office (Für Clients kein Problem)

ja, du benötigst für den Traffic, den die Firewall SELBST erzeugt, ein eigenes Regelwerk:

https://support.sophos.com/support/s/article/KB-000035607?language=en_US oder https://docs.sophos.com/nsg/sophos-firewall/18.5/Help/en-us/webhelp/onlinehelp/AdministratorHelp/VPN/SiteToSiteVPN/VPNConfigureSiteToSiteIPsecNAT/index.html

Wobei die Artikel schlecht verständlich sind.

Erstelle auf der BO Firewall (hat sie die 192.168.10.1?)

auf der advanced shell:

system ipsec_route add net 192.168.0.0/255.255.255.0 tunnelname einTunnelName

set advanced-firewall sys-traffic-nat add destination 192.168.0.0 netmask 255.255.255.0 snatip 192.168.10.1

Fertig

Danke,

warum brauch ich das auf dem BO und nicht HO?

Im HO gibt es so einen Eintrag nicht...

sicher, dass es da nicht schon eingetragen ist? probier mal die oben genannten Settings aus und berichte.

Ich finde das Verhalten der XG in diesem Fall ungewöhnlich, aber das wäre nicht das erste Mal...

Im HO ist das nicht drin, da läuft aber auch eine XG 18.5.2
wir haben das mehrfach geprüft.
Ich mache heute Abend ein Update im BO auf 18.5.2 vielleicht wird es dann besser.

unwahrscheinlich. wir haben kürzlich einen neuen Standort mit 18.5.2 an die Zentrale mit gleicher Firmware angebunden, und es mussten an der Remote Firewall wieder diese Sachen eingetragen werden, damit die Firewall in der Zentrale Mails abwerfen oder den Domaincontroller erreichen kann.

unwahrscheinlich. wir haben kürzlich einen neuen Standort mit 18.5.2 an die Zentrale mit gleicher Firmware angebunden, und es mussten an der Remote Firewall wieder diese Sachen eingetragen werden, damit die Firewall in der Zentrale Mails abwerfen oder den Domaincontroller erreichen kann.

Muss ich also diese Einträge so verstehen, das die BO Firewall weiß, wie sie das HO erreicht?

Die Clients im BO haben da ja keine Probleme Server im HO anzusprechen.

Für 2 Ziel Netze habe ich solche Einträge ja schon über system ipsec_route add  erstellt.

Wir haben selbst das Netz 192.168.0.0 und das Zielnetz ebenso (192.168.0.0).
Daher habe ich  ein VLAN 192.168.5.0 und biege mit dem Eintrag und einer NAT IP 192.168.5.100 alles in den VPNB Tunnel um.
Das läuft dann schon ..

Aber das 192.168.10.0 muss ich ja nicht naten...

wenn du das snat nicht machst, will die BO FW die Pakete über ihr Default Gateway rausschicken und die kommen dann i.d.R. beim ISP Router an

Danke schön!

Habs im BO eingestellt und geht.