Statischer DNS eintrag über VPN (CISCO) nicht erreichbar V9.403-4

Wir reden nicht von S2S? Wie sieht die VPN Konfiguration aus? Wie sieht die Konfiguration für DNS auf dem Client aus. Hast Du im nslookup auf den Client die Option Server verwendet? Was steht im Firewallogß Wie ist der DNS der UTM konfiguriert? Funktioniert die Namensauflösung von der UTM aus?

Was bedeutet "kann dieser nicht erreicht werden"? ping hostname oder ping host.domain.tld?

Nein wir reden nicht von S2S, sondern von IPSec (Cisco).

Sophos DNS: Allgemein: Internes Netzwerk, als zugelassendes Netzwerk

DNS-Forwarder: IP vom hintergelagerten Router (WAN)

Keine Anfragerouten

Statische Einträge: Host und domain vom zu erreichenden Server (intern funktioniert das erreichen)

Kein DynDNS

Client: Hier die Simulation der gleichen Konfiguration vom Smartphone auf einem Mac, WLAN (hotspotüber Mobilfunk) bekommter (logischer weise) seine IP, DNS, GW, etc. Der  VPN-Client bekommt sein IP und gut ist. Internet ist weiterhin möglich. Ein manuelles eintragenvom DNS auf dem VPN-Client bringt auch nicht das gewünschte Ergeniss.

Kein nslookup, da hier primär ein Smartphone im einsatz ist.

Der Ping vom Client, ip zum Server funktioniert, domaine ist nicht erreichbar.

Ping an die domaine von der Sophos (console) funktioniert

Ich hoffe ich konnte auf die Schnelle alle fragen beantworten

Das heißt, das Subnet vom VPN ist nicht berechtigt, den DNS Server der UTM zu nutzen?

D.h. was genau?

Als Zugelassendes Netzwerk ist JETZT das Subnetz (VPN Pool) mit eingetragen. Ohne das gewünschte ergebniss. Ich kann auch nichts im Logfile erkennen.

Also vom "Client" funktioniert keine Namensauflösung, weil "ping Host.Domain.tld" nicht funktioniert? Was heißt das? Fehlermeldung? Ausgabe? Das Smartphone hat keine Tools für so was?

Wie soll da die Fehlersuche funktionieren? Du musst doch erstmal feststellen, ob die Anfragen überhaupt an der UTM ankommen und was sie dann damit macht? Deine Konfigbeschreibung ist nicht hilfreich.

Gibt es andere Clients mit VPN, auf den wenigsten erforderliche Tools vorhanden sind? Wenn nicht, was hindert Dich daran?

Hast Du schon mal auf der UTM das ganze mit tcpdump angeschaut?

Irgendwie vermisse ich hier Einsatz, Wille, Ehrgeiz und Mitdenken. Bei einem Kunden weiß ich, dass der mich das fragt, weil er mich dafür bezahlt, dass ich so was weiß und kann und sich selbst um seine Aufgaben kümmert. Wie ist das bei Dir?

Da es um ipsec geht, ist es espdump statt tcpdump.

Das VPN Subnetz hast Du ja bereits zu den erlaubten Netzen im DNS hinzugefügt, das war schon mal gut :)

Ich vermute Du lässt nicht sämtlichen Verkehr über den VPN Tunnel routen, da ansonsten auch Internet bei einer bestehenden VPN Verbindung nicht gehen dürfte. Daher hätte ich noch folgende Vorschläge:

- Remote Access -> Advanced: Der DNS Server ist die .1 aus dem Subnetz des VPN IP Pools, nicht die IP des LAN Adapters.

- Remote Access -> Advanced: Trag hier mal den DNS Suffix deines LANs ein. Ansonsten schickt der VPN Client die DNS Anfragen via Any-Route direkt ins Internet. Nur wenn der VPN Adapter den DNS Suffix des LANs kennt, kann er die DNS Anfragen über den VPN Adapter schicken.

Gruß

Jas Man

Hallo Jas Man,

ersteinmal vielen Dank für Deine Vorschläge. Leider wird die .1 einem VPN-Client zugewiesen und würde dann leider so nicht funktionieren. Ursrünglich sollte der gesammte Verkehr über VPN laufen (ist aber z.Zt. abgeschaltet).

ich habe einmal versucht über tcpdump / espdump irgend etwas zu sehen. Entweder ich setz einen falschen Filter ein oder ein falsche Interface oder was auch immer. Ich sehe einfach den verkehr vom tunnel nicht. Auch ein Spezielles Tunnelinterface auf der Sophos gibt es ja nicht (zu mindestens nicht einaus dem Subnetz). Hast Du mal eine Idee zumThema tcpdump / espdump und vpn (cisco)?

Ach, das war mein Fehler. Ich war bei (meinem) SSL VPN. IPsec hat keinen eigenen Adapter, daher gibt es auch keine .1. Trotzdem müsste sowas wie eine Suchdomain für die VPN Verbindung auf dem Client geben damit er weiß, wann er diese Verbindung nutzen soll.
Wenn Du allerdings sagst, dass normalerweise der komplette Verkehr über VPN laufen sollte, gehe ich mal davon aus, das es da mit der Auflösung von internen Namen auch nicht klappt. D.h. die Suchdomain sollte momentan keine Rolle spielen, da DNS auch nicht funktioniert wenn der gesamte Verkehr über VPN geschickt wird.

Bzgl. tcpdump wirst Du nicht viel sehen können, weil der Verkehr auf den Interfaces ja verschlüsselt ist. Das espdump hab ich heut zum ersten Mal gehört. Daher kann ich Dir dazu nix sagen, sorry.

Falls mir noch was einfallen sollte, meld ich mich. Ich probier das gleich mal aus ob ich auf die Schnelle einen IPsec VPN mit meinem Androiden hin bekomme.

Gruß
Jas

Macht ja nichts, einder der meine "unfähigkeit" wenigsten versucht zu lösen. Also wozu eigentlich gas ganze. Ich versuche einen exchangeserver per VPN-Verbindung mt einem iOS-Gerät zuerreichen, damit der Weg von außen nach innen dicht gemacht werden kann. iOS-Geräte können nur per IPSec eine verbindung bei bedarf (dial on demand) mit einer domain und (leider) nicht mit einer ip-Adresse herstellen. Inter läuft ja auch soweit alles (im sinne von der DNS-Auflösung). Aber leider kann man in den VPN-Einstellungen nicht wirklich viel einstellen. Und verdamt noch mal, muss es doch irgend wie von Extern per Tunnel funktionieren. Die IP-Adresse ist ja auch über den Tunnel vom Server erreichbar.

espdump funktionier im prinzip. D. h. ich kann sehen, dass über den Tunnel eine Anfrage per IP an den Server geht. Anfragen, die per DNS (domaine) getätigt werden, da ist nicht annähernd irgend eine Bewegung zu erkennen.

Das mit dem gesamten Verkehr ist ersteinmal zweitrangig und nicht so wichtig. Das andere hat absolute Prio