Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 12 replies
  • Subscribers 1 subscriber
  • Views 19294 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

SSL VPN to Mikrotik

florianmulatz
Hallo Leute,

Vorerst möchte ich mal danke dafür sagen für so ein "geiles" Teil an Software [[[[:)]]]]

Ich habe mir in einem Rechenzentrum eine Virtelle-Maschine gemietet die ich sozusagen als "VPN-Knotenpunkt" verwenden will (in weiterer Folge soll vielleicht noch ein TeamSpeak Server für unsere kleine Runde entstehen)

Nun habe ich ein Problem dem ich leider nicht Herr werde - bzw. vielleicht einfach nur nicht vollumfänglich die Funktionsweise der Sophos verstehe.

Folgende Ausganssituation: 

WAN-IP-Rechenzentrum: 1.1.1.1 (obfuscated [[[[:)]]]])

LAN-IP-Rechenzentrum: 192.168.96.100



WAN-IP-Kumpel 1: 2.2.2.2 (obfuscated [[[[:)]]]])

LAN-IP-Kumpel 1: 192.168.97.100



WAN-IP-Kumpel 2: 3.3.3.3 (obfuscated [[[[:)]]]])

LAN-IP Kumpel 2: 192.168.98.100


Nun können beide "Kumpels" ordnungesmäß eine SSL-VPN-Site-to-Site Verbindung zur Sophos im RZ aufbauen (Tunnel steht). 

Ich kann allerdings nur jeweils das Rechenzentrum ansprechen. Sprich ein Ping von 192.168.97.100 an 192.168.98.100 oder umgekehrt funktioniert nicht (auch keine anderen Dienste) - allerdings von jeder Seite ein Ping auf 192.168.96.100 funktioniert sehr wohl. 

Ich kanns mir nicht erklären. 

Als Info: Ich habe bereits mit statischen Routen, Masquerading usw usw. probiert - nicht's funktioniert. Aktuell habe ich (nachdem ich wohl etwas "totkonfiguriert" habe die Sophos wieder auf Werkseinstellungen zurückgesetzt und ausschließlich die SSL-Tunnel eingerichtet (FW-Rules habe ich auf automatisch gestellt))

Ich hoffe ich habe mich halbwegs klar ausgedrückt und hoffe auf eure kompetente Hilfe.

LG Florian


This thread was automatically locked due to age.
  • 0
    Ich geh mal davon aus, dass du in den Local Networks alles drin hast.
    Verlass dich bei der UTM und Win7++ nicht nur aufs Pingen. Pings müssen in der UTM zugelassen sein und die Windows-Firewall akzeptiert aus anderen Netzen auch nicht immer einen Ping (Netzwerkerkennung / Datei-Druckerfreigabe usw. usw.). Du könntest einfach mal andere Dienste testen, z.B. RDP oder SMB erlauben. Der alte SNAT Trick würd bestimmt auch gehn [:D].
  • 0
    Hey,

    Zuerst mal danke für deine Hinweise.
    Ich habe natürlich nicht einen Client hinter den jeweiligen "Kumpel-Routern" getestet sondern immer nur den jeweiligen Router selbst gepingt (beider sind prinzipiell per Ping erreichbar). Die Thematik mit Windows-Vista ++ mit inkl. Firewall ist mir natürlich klar. Durch meinen Job als Sys-Admin bei einem Finanzinstitut glaub ich zumindest ein Basiswissen über Netzwerktechnik zu besitzen [:)]

    Ich habe natürlich unter den jeweiligen Local-Networks in der SSLVPN Config das jeweils "fremnde" Netz + Internal Network der UTM eingetragen. (Ich denke dass es wohl passen wird dass ich einfach für jede "Site" ein Network-Object angelegt habe welches das gesamte Netz des jeweiligen Standorts als /24 inkludiert).

    PS: Selbstverständlich war auch mein erster Gedanke dass ICMP vielleicht einfach nicht durch die UTM hindurch funktioniert aber zum ersten habe ich dies explizit aktiviert, und zum zweiten habe ich natürlich auch andere Dienste getestet.

    Was ist der "alte SNAT Trick" ? Um ehrlich zu sein ist NAT nicht unbeding meine Stärke - ich komm immer durcheinander :/ 
    Hier wäre mir mit einem kleinen Beispiel wirklich geholfen.

    LG & Danke
  • 0
    Testweise ausgehende Packete in die VPNs mit der IP Adresse der UTM markieren.
    Nur weil ICMP zugelassen sein soll, muss es nicht so sein. Und die Router als Tunnelendpunkte zum Testen mit ICMP sind nicht immer eine gute Wahl. Hier könnte man die ICMP Konfiguration der UTM mal dekonfigurieren und dafür die entsprechen PFL Regeln erstellen.

    Wenn alles selbstverständlich richtig konfiguriert ist und es keine Einträge im PFL Log gibt, wäre tcpdump das nächste Level.

    Ansonsten alle relevanten Konfigeinträge posten.
  • 0 in reply to K.N.
    Testweise ausgehende Packete in die VPNs mit der IP Adresse der UTM markieren.
    Nur weil ICMP zugelassen sein soll, muss es nicht so sein. Und die Router als Tunnelendpunkte zum Testen mit ICMP sind nicht immer eine gute Wahl. Hier könnte man die ICMP Konfiguration der UTM mal dekonfigurieren und dafür die entsprechen PFL Regeln erstellen.

    Wenn alles selbstverständlich richtig konfiguriert ist und es keine Einträge im PFL Log gibt, wäre tcpdump das nächste Level.

    Ansonsten alle relevanten Konfigeinträge posten.


    Hey K.N.,

    Danke vorerst mal für deine Antwort. Hier müsste ich dich vielleicht doch um eine etwas ausführlichere Beschreibung bitten. Wie gesagt - Basiskentnisse in Netzwerktechnik, bin eher im Windows-Server udgl. Bereich zu Hause.

    Was meinst du mit "ausgehende Packete in die VPNs mit der IP Adresse der UTM markieren"

    Du verwendest die Abkürzung PFL - ich komm nicht drauf ... :-|

    Thx
  • 0 in reply to duckek
    Howdy Leute,

    Schande über mich ... Ich habe soeben festgestellt dass alle Clients "hinter" den jeweiligen Routern sehr wohl über das Netz kommunizieren können.

    Ist zwar erfreulich aber ich verstehe nicht wieso das so ist. Kann mich hier jemand kurz aufklären?

    LG & Danke für eure Hilfe!
  • 0
    Supi, dass es klappt - danke für die Rückmeldung.
    Welche Router nutzen den deine Kollegen? Vielleicht ist dort der Ping deaktiviert?
    Kommst du auf deren Webinterface? (Sofern über VPN erlaubt)
    Die können ja bei sich genau so Regeln definieren, was du darfst und was nicht.

    LG
  • 0
    Stand im Titel [:)] Wir haben beide jeweils einen Mikrotik zu Hause. Ich verwalte diese Teile ja und weiß definitiv dass diese pingbar sind. 

    Webinterfaces hab ich bei den Geräten prinzipiell abgeschaltet aber ich kann es durchaus mal testen. 

    Es sind keine Regeln definiert die den Zugang aus den jeweils anderen Netzen verbietet.

    LG
  • 0 in reply to florianmulatz
    Stand im Titel [:)]


    Achso [:D] wusste nicht, dass MikroTik ein Routerhersteller ist, dachte das ist der RZ Hoster der virtuellen UTM [:$]

    Du kannst ja bereits die UTM pingen. Hast du auch mal versucht von der UTM per SSH oder dem Webinterface in die Gegenrichtung zu pingen? (sowohl auf MikroTik, als auch Client).

    Hast du in den Firewall Regeln zwischen den Netzen eine ANY Regel oder sind nur bestimmte Dienste erlaubt?

    Du könntest mal noch versuchen die MTU auf dem UTM-Adapter zu verringern auf 1492 bzw. 1300, das hatte mal bei einem anderen User mit Pingproblemen + SSL funktioniert.

    LG
  • 0
    Mal aus neugier, wo hostest du die UTM?
Cookie Information Banner