Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 12 replies
  • Subscribers 2 subscribers
  • Views 6448 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Uplink Monitoring Action to Enable backup IPSec Tunnel

joel.alfredo
Hello,
We have two Sites with an Internet Connection and a WAN connection each one. Right now, we have there two Cisco ASA FW routing the internal network traffic through the WAN link, and, in case of a WAN failure, a "track" detects that failure, turns off the static route, and the traffic goes to the other site through a S2S IPSec tunnel permanently established. 

Now we want to replace the main office ASA with a Sophos UTM 220, and we have a lab testing this scenario. I have attached a diagram describing this  lab.
We have configured the tunnel and it works fine. We also have configured Uplink balancing using WAN (Internal interface) and External (Internet interface) with Multipath Rules to route traffic to the branch office through the Internal interface (WAN), and Uplink Monitoring to detect WAN failure with an action to enable the S2S tunnel in case of failure.

The uplink monitoring detects when the WAN is OFFLINE, but the configured action does not enable the tunnel. If I manually enable the S2S IPSec tunnel then the traffic goes through the tunnel as it should.

Could you please tell me what I'm doing wrong. 

Thank you very much.

Regards.


This thread was automatically locked due to age.
Parents Reply Children
  • 0 in reply to joel.alfredo
    Hi Bob, 

    I think I have found what the problem is. It seems that the uplink actions only takes effect when ALL the UPLINKS are in error state. In my case, only the Intranet interface went into Error state because the host monitored was associated to that interface, as it should, because the other uplink Interface (Internet) should be monitored with the default monitoring behavior (some host in the way up to root DNS servers).
    Well, I have disassociated the monitored host from the Internal interface, and now, every time the monitored host goes down, both interfaces (Internal, and External) go into Error state, and the tunnel gets enabled. I think it doesn't makes any sense, because the external interface is the interface I use to establish the tunnel, but it works only when both interfaces are in Error state. I will do some other tests, and if it works I think I can go ahead with this configuration.

    Thank you very much for your help.

    Best regards.