IPSec VPN Hostname Verbindung klappt nicht

Kann man Sophos nicht irgendwie sagen dass er sozusagen alles was auf firma.local endet via VPN an die Firewall wendet? Alles durch den VPN senden will ich nicht wenn es nicht nötig ist.

Ja, kann man man. Man muss nur unter Fernzugriff-VPN --> IPsec --> Erweiterte Einstellungen den Schalter "Als Standardgateway verwenden" ausschalten (und natürlich dem Sophos-Client die geänderte Config unterjubeln). Dann schickt diese tatsächlich nur den Traffic des Fernzugriffs durchs VPN, aller Rest geht ins Inet. Das sollte auch per Namen gehen.

Hallo

So verwende ich es gerade. Wenn ich z.B.: server.firma.local eingebe, kommt er nicht auf den server (datenserver z.b)

LG Gian Duri

Wenn du einen internen DNS Server angegeben hast, welcher die gewünschten Namen eigentlich auflösen sollte, teste das mal mit "nslookup deinServer.deinedomäne.anhang" . 

Wenn das funktioniert ... und nur die "kurzen" Namen nicht aufgelöst werden, musst du in den Verbindungseinstellungen  unter "Assign client DNS suffix" die interne DNS-Domäne angeben.

Hallo Dirk

Danke für deine Nachricht.

Die aufzulösenden EInträge sind in der Firewall selbst unter Netzwerk --> DNS eingetragen.

Der DNS-Suffix ist anggeben, wird aber seitens VPN Ignoriert wie es aussieht, da ein nslookup fehlschlägt.

LG Gian Duri

Hallo Dirk

Danke für deine Nachricht.

Die aufzulösenden EInträge sind in der Firewall selbst unter Netzwerk --> DNS eingetragen.

Der DNS-Suffix ist anggeben, wird aber seitens VPN Ignoriert wie es aussieht, da ein nslookup fehlschlägt.

LG Gian Duri

Aber der DNS-Server antwortet dir schon ...?

nslookup (ohne parameter)

www.heise.de 

was kommt da zurück?

deinserver.deinedomain.irgendwas

was kommt da zurück?

Am besten den output posten.

Wenn der DNS Server nicht reagiert ... ist unter administration / device access / DNS für die Zone (VPN) zugelassen?

PS: die manuellen Einträge unter "Netzwerk --> DNS " müssen natürlich auch Voll Qualifiziert (incl. Domänenanteil) gemacht werden.

Hallo dirk

Ich habe ein NSLookup machen können. Untenstehend Bilder vom CMD und dem Firewall DNS.

LG Gian Duri

ok, würde der DNS Dienst nicht antworten, gäbe es ein timeout.

Kann die Fw den Namen lokal auflösen? Diagnostics / Tools / Name lookup  (anderer Server : 192.168.34.1)

Hallo Dirk

Die Firewall kann den namen Aufläsen.

Kann es sein, dass es ein Problem ist, dass bei der Firewall selber als DNS localhost (127.0.0.1) angegeben ist?

192.168.33.1 ist das Netzwerk vom Router vor der Firewall... (FRITZ!Box)

LG Gian Duri

Du verwirrst "192.168.33.1" ist kein Netzwerk, sondern ein Host. Ist dies die Fritzbox? Spielt die für das durch die Sophos geschützte Netzwerk den DNS-Server? Warum sitzt die vor der Sophos? Was macht die, wozu braucht man die überhaupt? Ich glaube, Du solltest das Netzwerk, welches Durch den VPN-Clienten erreicht werden soll, einmal aufskizzieren/erklären. 

An sonst - das Problem "Kann man Sophos nicht irgendwie sagen dass er sozusagen alles was auf firma.local endet via VPN an die Firewall wendet?"  muss man -zumindest nach meiner unmaßgeblichen Meinung- aufseiten des VPN-Clienten regeln. Der hier zuständige DNS Dienst/Server muss wissen, wie und wo er sozusagen den Präfix firma.local auflösen könnte. Schließlich gibt er dann vor, wohin irgendeine Anwendung den Traffic schickt soll, entweder lokal, in den Tunnel oder ins Inet. Auch hier wäre es schön, wenn man wüsste, wie es bei Dir auf der Client-Seite aussieht.

Sorry

Hallo

Keine Ursache, sag mir was du brauchst und ich sende es dir in den Chat als Nachricht.

WIr haben ein Glasfaseranschluss an der Wand. Dieser hat ein Kabel in ein Media Converter.

Der Media Converter schickt ein RJ45 Signal raus. Ein Kabel geht vom Media Converter in eine FRITZ!Box 4040.

Die FRITZ!Box hat ein eigenes Netzwerk mit 3 Geräten.

An einem Port der FRITZ!Box ist die Firewall angeschlosen.

Diese Firewall hat statisch konfiguriert 192.168.33.2/24 konfiguriert.

DIe FIrewall sendet als Internes Netzwerk von der Firewall kontrolliert 192.168.34.0/24 heraus.

Mein Notebook hat z.B.: 192.168.34.192

Der Datenserver haz t.B.: Stazisch konfiguriert 192.168.34.96 und im DNS auf der Firewll cloud.workaut.local konfiguriert.

LG Gian Duri

So wie ich das als interessierter Laie sehe, spielt bei Dir die Fritzbox den DNS-Server - und die Sophos verweist auf diese. Die Frage ist, ob die Fritz dann auch die Adressen aus dem 34er Netz auflösen kann, was ich erst einmal nicht annehme und deshalb auch das "unknown".

Soll dann die Sophos als DNS-Server für das 34er Netz dienen, muss die Loopbackadresse als erster DNS-Verweis eingetragen sein und erst danach die Fritzbox. So sollte die Sophos die Adressen im 34er Netz auflösen können und auch die, welche aus dem VPN hereinschneien und was sie dann nicht findet, geht an die Fritz.

Was ich allerdings nicht verstehe ist, warum nutzt Du nicht die Sophos als Borderrouter und hängst die Fritz dahinter, falls Du diese z.B. für VoIP benötigst. Spart Dir doppeltes NAT und eben auch DNS-Probleme. Mich wundert ohnehin, dass Du IPsec durch die Fritz durchbekommen hast, normalerweise müssten dann hier andere Ports Verwendung finden.

Hallo

Ich ändere das mal. Wir haben bei uns einfach eine Bürogemeinschaft und die einten Mitglieder haben gewüscht, dass sie nicht mehr hinter der Firewall agieren.

Telefone sind VoIP und gehen halt 2x geroutet.

LG Gian Duri

Hallo,

Keine Veränderung..

Ergänzung:

Ist das nicht bei der IPSEc Konfiguration mitanzugeben?

LG G…

Wieso, die Fritzbox ist doch auch ne Firewall? Wenn es ums Separieren geht, dass kann man doch in der Sophos mit Subnetzen/Vlans realtiv einfach erledigen.