Routing über mehrere in Reihe stehende VPN

Hi Apo,

Gateway Routen bringen hier nichts. Du musst alle Netze in den Tunnel aufnehmen die über den Tunnel erreicht werden sollen.

Wenn du von Netz A über B zu Netz C möchtest musst du bei den Remote Netzen für das B Remote Gateway, Netz B und Netz C eintragen. Das gleiche dann auf allen anderen Tunneln abbilden. Nur die IPs die Teil der Tunneldefinition sind werden über den Tunnel geroutet.

Alternativ kannst du ein SNAT in den Tunnel machen.

vg

mod

Hallo mod,

ich dachte mit den Gateway Routen mache ich genau das: Der UTM sagen, dass jeder Traffic für das Netz 10.10.30.0/24 zu dem Gateway 10.10.30.x soll.

Vielen Dank für den Hinweis, bei den SSL VPNs mache ich es ja genau so, beim Site2Site VPN habe ich einfach nicht daran gedacht.

Es läuft nun, Danke für die Hilfe! :-)

Viele Grüße,

Apo

Hi Apo,

freut mich das es jetzt läuft. Noch ein kliener Hinweis, SSL VPN über einen IPSEC Tunnel auf einen Remote Standort geht auch nur wenn das SSL VPN Netz in den Tunnel Definitionen drinnen ist. Oder auch hier die Alternative das mit SNAT in den Tunnel natten. Bei IPSEC wird für jede Subnet Kombination eine SA erstellt in der genau definiert ist was da drüber laufen darf.

vg

mod

Nehmen wir an Du hast am WAN-Interface einer Sophos ein Netz, in dem sich 2 Router befinden, z.B. eine LTE-Fritzbox und eine Cisco ASA, die an einer 2MBit SDSL hängt, und worüber VPN läuft. In dem Fall würdest Du ein Gateway-Routing für das LAN des Remote-VPN Standorts an das Gateway "Cisco ASA" schicken und die LTE-Fritte wäre das Default Gateway.

Oder Du hast parallel zu einer UTM (Default Gateway) einen weiteren Router im LAN sitzen, dann würdest Du Gateway-Regeln für alle über diesen 2. Router zu erreichenden Netze definieren. Ich meine aber, das wären alles nur "ICMP Redirects", die man über die Gateway-Routen definiert.

"Nehmen wir an Du hast am WAN-Interface einer Sophos ein Netz, in dem sich 2 Router befinden, z.B. eine LTE-Fritzbox und eine Cisco ASA, die an einer 2MBit SDSL hängt, und worüber VPN läuft. In dem Fall würdest Du ein Gateway-Routing für das LAN des Remote-VPN Standorts an das Gateway "Cisco ASA" schicken und die LTE-Fritte wäre das Default Gateway."

-> Auch in dem Fall muss das Client Netz in den IPSEC VPN Tunnel der ASA aufgenommen werden. Was davor passiert ist normales Routing.

"Oder Du hast parallel zu einer UTM (Default Gateway) einen weiteren Router im LAN sitzen, dann würdest Du Gateway-Regeln für alle über diesen 2. Router zu erreichenden Netze definieren. Ich meine aber, das wären alles nur "ICMP Redirects", die man über die Gateway-Routen definiert."

-> Das ist auch normales Routing. "ICMP Redirects" werden nur bei asynchronischem Routing verwendet.

vg

mod

(Sorry, my German-speaking brain isn't creating thoughts at the moment. [:(])

Of course, mod's answer is the "right" way to do this with WebAdmin, but it is now possible to employ routing and Multipath rules with IPsec VPNs.  Since 9.1 (I think it was), there's been the option to bind an IPsec Connection to the local interface.

Sehe, zum Beispiel, Sophos UTM multiple S2S IPsec VPN mit Failover – Tutorial (DE).

MfG - Bob (Bitte auf Deutsch weiterhin.)

(Sorry, my German-speaking brain isn't creating thoughts at the moment. [:(])

Of course, mod's answer is the "right" way to do this with WebAdmin, but it is now possible to employ routing and Multipath rules with IPsec VPNs.  Since 9.1 (I think it was), there's been the option to bind an IPsec Connection to the local interface.

Sehe, zum Beispiel, Sophos UTM multiple S2S IPsec VPN mit Failover – Tutorial (DE).

MfG - Bob (Bitte auf Deutsch weiterhin.)