[7.260] Astaro and vpn imcompatibility [NOTABUG]

Which VPN client?  SSL, PPTP, L2TP?

taking this down..sorry for the tensions and issues.

taking this down..sorry for the tensions and issues.

taking this down..sorry for the tensions and issues.

taking this down..sorry for the tensions and issues.

William,

Jus to be clear, I'm assuming that you're uing L2TP/IPSec from your windows machine, through an Astaro, to some other endpoint.  Astaro is not the L2TP server that you are connecting to. That was implied, but never fully stated.

Also, you mentioned that this same problem existed in 7.201, so this doesn't really belong in this forum, and insisting this should be tagged as a 7.300 bug doesn't make much sense. 

Even calling this a bug is pretty hard to do, since the essential part of what you are trying to do works fine. I have customers who do the same as you are describing. For them it works fine. This means that there must be something else involved that make Astaro's behavior different from ipcop. For example, Is there high packet latency on the isp? Is Nat Traversal enabled on the L2TP server? Does ipcop have an IPSec passthru option enabled?

taking this down..sorry for the tensions and issues.

Hi William,

Looking through this thread there seems to be only one NAT masq specified.  Does your L2TP vpn use the same network pool as your internal network as assigned by DHCP or is it using the default L2TP VPN pool network?

If using L2TP Vpn pool network you will need a second NAT Masq for the VPN network to the external interface in order to pass traffic to the external world.

Also if you are using this ASG box as your non-default gateway for your internal PCs try setting a SNAT rule such as:
Source: L2TP network
Destination: Internal(network)
Service: Any
Change Source: Internal(address)

This will effectively masq the L2TP pool as the ASG address for return traffic.

William,

I am using IPSEC and L2TP through my ASG beta no problem.

I use the Cisco IPSEC client with zero problems, and the Windows L2TP no problem.

Off topic, can I ask why you are always pushing that ipcop crap on here so much? For the free OSS firewalls there are much better than ipcrap.

William,
Off topic, can I ask why you are always pushing that ipcop crap on here so much? For the free OSS firewalls there are much better than ipcrap.

ymmd and ++

William,

I am using IPSEC and L2TP through my ASG beta no problem.

I use the Cisco IPSEC client with zero problems, and the Windows L2TP no problem.

Off topic, can I ask why you are always pushing that ipcop crap on here so much? For the free OSS firewalls there are much better than ipcrap.

Ipcop is great because of it's extensibility but for most folks they just want something that goes..ipcop does that.  Untangle is another good one that far more full featured out of hte box.  Ipcop is my FW distro i fall back to if there's an issue..because it simply works.  I've put ipcop onto 50 machine networks and 5 machine networks...it's always simply worked..even with a ton of addons..it just works.  It's stable, well maintained and works across a huge range of hardware(including 486's).  Most of the tweaks I have posted on here have been researched and tested on various IPCOP machines first and then tested in ASL.  For 2.6 kernel tuning i used my centos 5 servers.

Hi William,

Looking through this thread there seems to be only one NAT masq specified.  Does your L2TP vpn use the same network pool as your internal network as assigned by DHCP or is it using the default L2TP VPN pool network?

If using L2TP Vpn pool network you will need a second NAT Masq for the VPN network to the external interface in order to pass traffic to the external world.

Also if you are using this ASG box as your non-default gateway for your internal PCs try setting a SNAT rule such as:
Source: L2TP network
Destination: Internal(network)
Service: Any
Change Source: Internal(address)

This will effectively masq the L2TP pool as the ASG address for return traffic.

uh..no you're putting things into my statements that aren't there.  I format the server and install asl.  I then use the wizard to install the masq rule and the single anything outgoing is allowed pf rule.  This is the least restrictive..turns off the proxies and everything(makes it act as much like ipcop as it can). the ask is NOT the endpoint for the vpn the vpn just needs to pass through.  The asl IS the default gateway for my network.  

Untangle works just fine as well as ipcop.  I have burned the asl beta cd at 1x just as a precaution and done an md5 comparison and they all match up.  I've removed all nics and bought new nics to eliminate that possibility.  I've swapped out ram sticks, swapped out multiple optical and hard drives and hdd cables.  Short of changing cpu and mobo(which i doubt is the issue since it's only asl that has this issue) I think I've done everything that can be done.  YMMV mine's just gone down to zero for asl.  It works for others..that's great..[:)]

Hi William,

Looking through this thread there seems to be only one NAT masq specified.  Does your L2TP vpn use the same network pool as your internal network as assigned by DHCP or is it using the default L2TP VPN pool network?

If using L2TP Vpn pool network you will need a second NAT Masq for the VPN network to the external interface in order to pass traffic to the external world.

Also if you are using this ASG box as your non-default gateway for your internal PCs try setting a SNAT rule such as:
Source: L2TP network
Destination: Internal(network)
Service: Any
Change Source: Internal(address)

This will effectively masq the L2TP pool as the ASG address for return traffic.

uh..no you're putting things into my statements that aren't there.  I format the server and install asl.  I then use the wizard to install the masq rule and the single anything outgoing is allowed pf rule.  This is the least restrictive..turns off the proxies and everything(makes it act as much like ipcop as it can). the ask is NOT the endpoint for the vpn the vpn just needs to pass through.  The asl IS the default gateway for my network.  

Untangle works just fine as well as ipcop.  I have burned the asl beta cd at 1x just as a precaution and done an md5 comparison and they all match up.  I've removed all nics and bought new nics to eliminate that possibility.  I've swapped out ram sticks, swapped out multiple optical and hard drives and hdd cables.  Short of changing cpu and mobo(which i doubt is the issue since it's only asl that has this issue) I think I've done everything that can be done.  YMMV mine's just gone down to zero for asl.  It works for others..that's great..[:)]