Guest User!

You are not Sophos Staff.

Thread Info
  • State Verified Answer
  • Locked Locked
  • Replies 7 replies
  • Subscribers 5 subscribers
  • Views 19239 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

DNS - Internes Netzwerk zu SSL VPN (gelöst)

Dennis Irle

Guten Tag zusammen, 

ich habe ein Problem mit meiner DNS-Auflösung von meinem internen Netzwerk zu den SSL VPN Clients.

Das ganze läuft über eine UTM 9 SG230 - 9.4...

 

Was funktioniert:

VPN Client --> PING IP --> interne Server/Clients

VPN Client --> PING NAME --> interne Server/Clients

VPN Client --> shares/rdp/etc --> interne Server/Clients

Interne Server/Clients --> PING IP --> VPN POOL IP des Clients

 

Wenn ich den Namen des VPN Clients anpinge, bekomme ich seine letzte interne IP-Adresse und nicht seine aktuelle VPN Adresse (10.242.2.X)...es geht auch alles weitere nicht...share/rdp/msra/etc...auch nicht wenn ich direkt die VPN IP eingebe und nicht den Namen.

Ich glaube nicht, dass es an meinen Einstellungen in der UTM liegt, da es ja in die andere Richtung zu 100% funktioniert, sondern eher noch etwas an meinem AD-DNS-Server eingestellt werden muss...oder ? 

Zuerst hatte ich in meinem AD-DNS-Server an die DNS-Weiterleitungen gedacht (Und auch Testweise die interne IP der UTM eingestellt)aber da mein AD-DNS die Client IP-Adresse ja auflösen kann (mit der "alten" internen IP) denkt er, dass der Client einfach Offline ist und leitet auch nichts weiter...wenn ich mich hier irre, korrigiert mich bitte. 

Das UTM Handbuch sowie diverse google Suchen haben mich leider nicht weiter gebracht :-( Vielleicht ja jemand von euch noch eine Idee!



This thread was automatically locked due to age.
Parents
  • +1

    Hi Dennis,

    ich vermute Du hast hier zwei voneinander unabhänige Probleme: einmal das DNS- und einmal ein Zugriffs-Problem.

    DNS-Problem
    Der VPN Client muss die IP Adresse des AD DNS Servers erhalten damit er weiß wo er sich mit der VPN IP registrieren, und DNS Anfragen hinsenden soll. Entsprechend muss die UTM den Zugriff aus dem UTM VPN Subnetz zum Server Subnetz für AD DNS erlauben.
    Falls bei Dir der AD DHCP Server die DNS Einträge registriert, müssen die UTM VPN Clients ihre IP Adresse vom AD DHCP Server bekommen und nicht von der UTM. Ich glaub das lässt sich nicht umsetzen, bin mir da aber nicht sicher. Alternativ kannst Du im AD DNS erlauben, das sich die Clients direkt registrieren dürfen.

    Zugriffs-Problem
    Wenn Du selbst per IP nicht auf die VPN Clients kommst, dann blockt hier vermutlich die UTM Firewall. Der Ping zwischen den Subnetzen wird je nach Einstellung in der Firewall generell erlaubt oder geblockt. Daher sagt der Ping Test erstmal nicht so viel aus.
    Hast Du bei der VPN Konfiguration das Häkchen gesetzt, dass er die Regeln für die Firewall automatisch erstellt? Dann existiert nur eine Regel für den Zugriff vom VPN Netz zum LAN. Für die umgekehrte Richtung legt die UTM keine Regel automatisch an.
    Falls Du den Haken nicht gesetzt, und alle Regeln selbst erstellt hast, passt hier vermutlich auch irgend etwas nicht. In beiden Fällen solltest Du im Firewall Monitor sehen können ob der Zugriff aus dem LAN zum VPN Subnetz geblockt wird. Ich empfehle den Haken für die automatische Firewall Konfiguration in der VPN Konfiguration nicht zu setzen, und die Regeln alle manuell zu erstellen, so wie Du sie brauchst. Alles andere ist zwar bequem, aber entspricht nicht dem Sicherheits-Gedanken.

    Gruß

    Jas Man

  • 0 in reply to Jas Man

    Vielen Dank an alle für die Antworten und Ideen!

    Hast du unter Netzwerkdienste > DNS > zugelassene Netzwerke VPN Pool (SSL) hinzugefügt ?

    Der Pool war hier bereits hinterlegt.

    Welchen DNS-Server bekommen die VPN Clients mitgegeben?

    Hier ist einmal der intere AD-DNS-Server und dann die UTM hinterlegt, WINS haben wir nicht.

    Das DNS Best Practice hatten wir nach der Anleitung umgesetzt: community.sophos.com/.../120283

     

    Jas Man hat den Nagel schon ganz gut auf den Punkt getroffen. 

    Alternativ kannst Du im AD DNS erlauben, das sich die Clients direkt registrieren dürfen.

    Das ist bei uns eingestellt, aber trotzdem konnte sich der Client nicht registrieren...EventLog auf dem Client war nicht sehr aussagekräftig (ID 8018)

    http://www.eventid.net/display-eventid-8018-source-Microsoft-Windows-DNS-Client-eventno-11315-phase-1.htm

    Ich habe dann in den Eigenschaften der AD-DNS-Zone die Dynamischen Updates von "Nur sichere" auf "Nicht sichere und sichere" gestellt und dann wurde auf dem interne AD-DNS-Server die IP des Clients aktualisiert und die 10.242.2.X dem Client zugeordnet. Namensauflösung hat somit funktioniert. 

    Hast Du bei der VPN Konfiguration das Häkchen gesetzt, dass er die Regeln für die Firewall automatisch erstellt? Dann existiert nur eine Regel für den Zugriff vom VPN Netz zum LAN. Für die umgekehrte Richtung legt die UTM keine Regel automatisch an.

    Hier war nur die automatische Regel in eine Richtung aktiv, die automatisch angelegt wurde. 

    Habe jetzt eine neue, manuelle Regel und damit gehen auch die Freigaben/RDP etc...

     

    Allerdings möchte ich meine Konfiguration im DNS nicht auf "Nicht sichere und sichere" stehen lassen, da hierdurch ja auch nicht AD-Clients in den DNS kommen. 

    Die VPN-Client-Computer sind alle Domänencomputer und die Benutzer der VPN-Verbindung sind Domänenbenutzer trotzdem scheint es hier ja ein Problem mit der AD-Authentifizierung vorzuliegen. 

    Hier sind die Einstellungen zu dem AD-Auth...und mit dem VPN Benutzer getestet. 

  • +1 in reply to Dennis Irle

    Hi Dennis,

    die AD-Authentifizierung der UTM dürfte hier keine Rolle spielen, da die AD Clients ihre DNS Einträge mit ihrem Domänen-Computerkonto eintragen bzw. aktualisieren. Das siehst Du wenn Du dir die Sicherheits-Einstellungen von so nem DNS Eintrag mal anschaust. Owner müsste Computerkonto$ sein.

    Hab so spontan auch keine Idee warum der Client sich nicht registrieren kann. Könnte es vielleicht sein, dass man das Subnetz des VPNs zu einer AD-Site hinzufügen muss damit es vom AD als sicher angesehen wird?

    Ansonsten schalte den Debug Log vom AD DNS Server mal an. Dort sollte man weitere Details sehen können.

    Gruß

    Jas

  • 0 in reply to Jas Man

    Hey Jas, 

    im AD-DNS Log habe ich tatsächlich gesehen, dass sie miteinander reden... aber der Owner war nicht Computerkonto$ !

    Dies war bei meinem Testkonto der Fall, und nachdem ich dem Computerkonto die Berechtigung zum ändern gegeben habe, funktioniert nun alles! 

    Dann schaue ich mir jetzt einmal an, warum die Berechtigung bei dem Eintrag nicht gegeben war. 

     

    VIELEN DANK !!! :) 

Reply
  • 0 in reply to Jas Man

    Hey Jas, 

    im AD-DNS Log habe ich tatsächlich gesehen, dass sie miteinander reden... aber der Owner war nicht Computerkonto$ !

    Dies war bei meinem Testkonto der Fall, und nachdem ich dem Computerkonto die Berechtigung zum ändern gegeben habe, funktioniert nun alles! 

    Dann schaue ich mir jetzt einmal an, warum die Berechtigung bei dem Eintrag nicht gegeben war. 

     

    VIELEN DANK !!! :) 

Children
  • 0 in reply to Dennis Irle

    Kann sein das Du für die Zone in den Sicherheitseinstellungen die Domänencomputer / - benutzer als Schreibberechtigt eintragen musst ("Authentifizierte Benutzer" oder "Domänencomputer" oder so ähnlich). Meine eigentlich das wäre automatisch gegeben.

    Hauptsache Du bist auf dem richtigem Weg :)

    Viel Glück.

    Jas

Share Feedback
×

Submitted a Tech Support Case lately from the Support Portal?