This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Sophos UTM 9.4 - VPN zu FritzBoxen ohne Funktion

Seit dem Update meiner UTM von 9.3 auf 9.4 habe ich das Fehlverhalten, dass die IPsec VPN's zu FritzBoxen nicht mehr aufgebaut werden. 

Im IPsec Log passiert nach dem aktivieren der VPN-Verbindung genau das:

2016:07:13-08:40:42 swyx-fra-02 pluto[5594]: added connection description "S_VPN_Fritz!Office"

2016:07:13-08:40:42 swyx-fra-02 pluto[5594]: "S_VPN_Fritz!Office" #27527: initiating Main Mode
2016:07:13-08:40:42 swyx-fra-02 pluto[5594]: ERROR: "S_VPN_Fritz!Office" #27527: sendto on eth0 to 123.123.123.123:500 failed in main_outI1. Errno 1: Operation not permitted
Anbei die cfg-Datei aus der FB:

vpncfg {
connections {
enabled = yes;
conn_type = conntype_lan;
name = "Sophos UTM";
always_renew = yes;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 0.0.0.0;
remotehostname = "fqdn-sophos";
localid {
fqdn = fqdn-fritzbox;
}
remoteid {
fqdn = fqdn-sophos;
}
mode = phase1_mode_idp;
phase1ss = "alt/all-no-aes/all";
keytype = connkeytype_pre_shared;
key = "IchBinDerKey";
cert_do_server_auth = no;
use_nat_t = no;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.0.0;
mask = 255.255.255.0;
}
}
phase2ss = "esp-3des-sha/ah-no/comp-no/pfs";
accesslist = "permit ip any 123.123.123.0 255.255.255.0"; 
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}

Wie bereits erwähnt, wurde an den Konfigs der FritzBoxen nichts verändert. 

Über Hilfe und Unterstützung freue ich mich.



This thread was automatically locked due to age.
Parents
  • (Sorry, my German-speaking brain isn't creating thoughts at the moment. [:(])

    Hi, Christian, and welcome to the UTM Community!

    If the Fritzbox is behind a NAT, it's not "signing" packets with the public IP the UTM is trying to reach.  When that error immediately follows the Main Mode message, the problem is almost certainly either that or an incorrect PSK.

    If the Fritzbox is behind a NAT, you have two options.  The easiest is to use a "Respond only" Remote Gateway.

    The other solution is to use a PSK or RSA key in an "Initiate connection" Remote Gateway.  Select 'VPN ID Type: IP Address' and use the local IP of the Fritzbox like 'VPN ID: 192.168.x.y'.

    MfG - Bob (Bitte auf Deutsch weiterhin.)

     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • Ich finde das alles sehr merkwürdig, da mit einer UTM 9.3 noch alles geklappt hat. Seit dem Update auf 9.4 (momentan 9.404-5) geht es nicht mehr und ich bekomme es auch, mit allen im I-Net gefundenen, verschiedensten Konfigs nicht mehr ans laufen.

    Die IPsec Verbindungen, mit denen es funktionierte wurde anhand dieser Anleitung eingerichtet:

    https://www.bergercity.de/networking/sophos-astaro-lan-lan-mit-fritzbox/

    Das IPsec Log der UTM zeigt aktuell folgendes an:

    2016:07:15-08:27:05 swyx-fra-02 pluto[5559]: loaded PSK secret for 85.184.248.88 80.157.177.158

    2016:07:15-08:27:05 swyx-fra-02 pluto[5559]: loading ca certificates from '/etc/ipsec.d/cacerts'
    2016:07:15-08:27:05 swyx-fra-02 pluto[5559]: loaded ca certificate from '/etc/ipsec.d/cacerts/Certum Global Services CA.pem'
    2016:07:15-08:27:05 swyx-fra-02 pluto[5559]: loaded ca certificate from '/etc/ipsec.d/cacerts/VPN Signing CA.pem'
    2016:07:15-08:27:05 swyx-fra-02 pluto[5559]: loading aa certificates from '/etc/ipsec.d/aacerts'
    2016:07:15-08:27:05 swyx-fra-02 pluto[5559]: loading ocsp certificates from '/etc/ipsec.d/ocspcerts'
    2016:07:15-08:27:05 swyx-fra-02 pluto[5559]: loading attribute certificates from '/etc/ipsec.d/acerts'
    2016:07:15-08:27:05 swyx-fra-02 pluto[5559]: Changing to directory '/etc/ipsec.d/crls'
    2016:07:15-08:27:05 swyx-fra-02 pluto[5559]: "S_VPN_FritzOffice": deleting connection
    2016:07:15-08:27:05 swyx-fra-02 pluto[5559]: "S_VPN_FritzOffice" #935: deleting state (STATE_MAIN_I1)
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: forgetting secrets
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: loading secrets from "/etc/ipsec.secrets"
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: loaded PSK secret for 85.184.248.88 212.185.16.155
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: loaded PSK secret for 85.184.248.88 FQDN.fritz.box
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: loaded PSK secret for 85.184.248.88 80.157.177.158
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: listening for IKE messages
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: forgetting secrets
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: loading secrets from "/etc/ipsec.secrets"
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: loaded PSK secret for 85.184.248.88 212.185.16.155
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: loaded PSK secret for 85.184.248.88 FQDN.fritz.box
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: loaded PSK secret for 85.184.248.88 80.157.177.158
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: loading ca certificates from '/etc/ipsec.d/cacerts'
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: loaded ca certificate from '/etc/ipsec.d/cacerts/Certum Global Services CA.pem'
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: loaded ca certificate from '/etc/ipsec.d/cacerts/VPN Signing CA.pem'
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: loading aa certificates from '/etc/ipsec.d/aacerts'
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: loading ocsp certificates from '/etc/ipsec.d/ocspcerts'
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: loading attribute certificates from '/etc/ipsec.d/acerts'
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: Changing to directory '/etc/ipsec.d/crls'
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: added connection description "S_VPN_FritzOffice"
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: "S_VPN_FritzOffice" #936: initiating Main Mode
    2016:07:15-08:27:11 swyx-fra-02 pluto[5559]: ERROR: "S_VPN_FritzOffice" #936: sendto on eth0 to 88.217.5.137:500 failed in main_outI1. Errno 1: Operation not permitted
    Auch das Verändern der VPN-ID von Hostname FQDN.fritz.box auf die interne LAN-IP der FritzBox bringt leider nichts
  • welche FritzOS Version hast du denn auf den Fritten laufen? 

    Wie gesagt, mit der Anleitung die ich schon verlinkt hatte klappt es wunderbar. 

    ---

    Sophos UTM 9.3 Certified Engineer

  • Getestet mit Fritz OS 06.06 und 06.051


    Es hat ja bis zur 9.3 alles wunderbar funktioniert.

    Ich sehe wohl eher das Problem in der 9.4, als in den FritzBoxen.

  • meine 2 fritten laufen bis 6.5x - da hat sich immer mal was geändert. Ich bin auch auf der UTM 9.4 und hab 0 Stress mit dem FritzVPN.

    ---

    Sophos UTM 9.3 Certified Engineer

Reply Children
No Data