This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

SSL VPN to Mikrotik

Hallo Leute,

Vorerst möchte ich mal danke dafür sagen für so ein "geiles" Teil an Software [[[[:)]]]]

Ich habe mir in einem Rechenzentrum eine Virtelle-Maschine gemietet die ich sozusagen als "VPN-Knotenpunkt" verwenden will (in weiterer Folge soll vielleicht noch ein TeamSpeak Server für unsere kleine Runde entstehen)

Nun habe ich ein Problem dem ich leider nicht Herr werde - bzw. vielleicht einfach nur nicht vollumfänglich die Funktionsweise der Sophos verstehe.

Folgende Ausganssituation:

WAN-IP-Rechenzentrum: 1.1.1.1 (obfuscated [[[[:)]]]])

LAN-IP-Rechenzentrum: 192.168.96.100

WAN-IP-Kumpel 1: 2.2.2.2 (obfuscated [[[[:)]]]])
LAN-IP-Kumpel 1: 192.168.97.100

WAN-IP-Kumpel 2: 3.3.3.3 (obfuscated [[[[:)]]]])
LAN-IP Kumpel 2: 192.168.98.100


Nun können beide "Kumpels" ordnungesmäß eine SSL-VPN-Site-to-Site Verbindung zur Sophos im RZ aufbauen (Tunnel steht). 

Ich kann allerdings nur jeweils das Rechenzentrum ansprechen. Sprich ein Ping von 192.168.97.100 an 192.168.98.100 oder umgekehrt funktioniert nicht (auch keine anderen Dienste) - allerdings von jeder Seite ein Ping auf 192.168.96.100 funktioniert sehr wohl. 

Ich kanns mir nicht erklären. 

Als Info: Ich habe bereits mit statischen Routen, Masquerading usw usw. probiert - nicht's funktioniert. Aktuell habe ich (nachdem ich wohl etwas "totkonfiguriert" habe die Sophos wieder auf Werkseinstellungen zurückgesetzt und ausschließlich die SSL-Tunnel eingerichtet (FW-Rules habe ich auf automatisch gestellt))

Ich hoffe ich habe mich halbwegs klar ausgedrückt und hoffe auf eure kompetente Hilfe.

LG Florian


This thread was automatically locked due to age.
Parents
  • Hey,

    Zuerst mal danke für deine Hinweise.
    Ich habe natürlich nicht einen Client hinter den jeweiligen "Kumpel-Routern" getestet sondern immer nur den jeweiligen Router selbst gepingt (beider sind prinzipiell per Ping erreichbar). Die Thematik mit Windows-Vista ++ mit inkl. Firewall ist mir natürlich klar. Durch meinen Job als Sys-Admin bei einem Finanzinstitut glaub ich zumindest ein Basiswissen über Netzwerktechnik zu besitzen [:)]

    Ich habe natürlich unter den jeweiligen Local-Networks in der SSLVPN Config das jeweils "fremnde" Netz + Internal Network der UTM eingetragen. (Ich denke dass es wohl passen wird dass ich einfach für jede "Site" ein Network-Object angelegt habe welches das gesamte Netz des jeweiligen Standorts als /24 inkludiert).

    PS: Selbstverständlich war auch mein erster Gedanke dass ICMP vielleicht einfach nicht durch die UTM hindurch funktioniert aber zum ersten habe ich dies explizit aktiviert, und zum zweiten habe ich natürlich auch andere Dienste getestet.

    Was ist der "alte SNAT Trick" ? Um ehrlich zu sein ist NAT nicht unbeding meine Stärke - ich komm immer durcheinander :/ 
    Hier wäre mir mit einem kleinen Beispiel wirklich geholfen.

    LG & Danke
Reply
  • Hey,

    Zuerst mal danke für deine Hinweise.
    Ich habe natürlich nicht einen Client hinter den jeweiligen "Kumpel-Routern" getestet sondern immer nur den jeweiligen Router selbst gepingt (beider sind prinzipiell per Ping erreichbar). Die Thematik mit Windows-Vista ++ mit inkl. Firewall ist mir natürlich klar. Durch meinen Job als Sys-Admin bei einem Finanzinstitut glaub ich zumindest ein Basiswissen über Netzwerktechnik zu besitzen [:)]

    Ich habe natürlich unter den jeweiligen Local-Networks in der SSLVPN Config das jeweils "fremnde" Netz + Internal Network der UTM eingetragen. (Ich denke dass es wohl passen wird dass ich einfach für jede "Site" ein Network-Object angelegt habe welches das gesamte Netz des jeweiligen Standorts als /24 inkludiert).

    PS: Selbstverständlich war auch mein erster Gedanke dass ICMP vielleicht einfach nicht durch die UTM hindurch funktioniert aber zum ersten habe ich dies explizit aktiviert, und zum zweiten habe ich natürlich auch andere Dienste getestet.

    Was ist der "alte SNAT Trick" ? Um ehrlich zu sein ist NAT nicht unbeding meine Stärke - ich komm immer durcheinander :/ 
    Hier wäre mir mit einem kleinen Beispiel wirklich geholfen.

    LG & Danke
Children
No Data