This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

SSL-VPN and Packet Filter Rules

Hi there,

For testing SSL-VPN I created a new user and it's automatically generated X509 Cert. After this I've downloaded the SSL-VPN client via LAN from the portal and installed it a separated client without any connected network.

The SSL connection dont' use autmotically generated packet filter rules. The traget network is set to ANY

In "Remote Access -> Advanced" our DNS were set. During connection to our ASL via modem I could read that the ASL sent the IPs for DNS and WINS.

For testing version 7(.304) I put my computer behind the ASL and don't use any skiplist for it. For the connected SSL-VPN user (from the separated client) no rules were defined. PF-Live Log shows dropped packets for DNS or SAP. But calling the local website on my computer it was successfully shown. After that I put my computer in web proxy's skiplist and tried to call my website again. Like expected Live Log shows dropped packets and so I created a activated rule for HTTP: [ssl-vpn-user] -> HTTP -> [my computer]. Recalling the website show allowed packets but the browser ended up with time out... The same happend for SAP or DNS requests to our servers. SAP ends with time out and no names were resolved (imho).

I don't have any ideas for a solution... Maybe it's a problem with the SSL-VPN client like written in an other thread? Can anybody help me with this problem?
-- 
TIA and regards, Steffen


This thread was automatically locked due to age.
Parents
  • often discussed if it's needed or not: did you NAT (masq) the ssl-pool against internal net?? (in my experience it's needed!)
    rest have to work; 'user network' - 'service' - 'lan-destination' is the needed pfr - be sure to have no effects by proxying or dns!
    rgds, andre
  • Hi Andre,

    Should I use a masquerading against internal too if the ASL is in bridged mode? Using Astaro's VPN features is new to me. So please excuse my question(s)...

    -- 
    Regards, Steffen
  • oh, bridge - that's quite different; no sense for masq then i think...
    but the ssl-pool is on a different net, right?!
    rgds, andre
  • VPN SSL Pool is on 10.242.2.0/24.

    Our internal Network is in 10.1./16...

    I asked a tech for his opinion and he said to try it with SNAT using a specified internal ip for the ssl user. But nothing changed. I see allowed packets in live log  but nothings gone back to the client...
    -- 
    Regards, Steffen
  • if the astaro runs in bridge mode i guess is not the default gateway of the client - but the packets to the 10.242... net will be send there, because is not lan..
    so try to give client or dgw a route where to find the ssl pool
    rgds, andre
Reply
  • if the astaro runs in bridge mode i guess is not the default gateway of the client - but the packets to the 10.242... net will be send there, because is not lan..
    so try to give client or dgw a route where to find the ssl pool
    rgds, andre
Children
No Data