remote ssl vpn conflits whith https

What version of Astaro?

What version of Astaro?

Problem seems to have disapeared! Today I tryed and it works!....
I am using version 7.401 (yesterday I made the update)

Thanks anyway!

For me remote access via ssl does not work if I DNAT https to internal server.
ASG ver. 7.401. Https to internal server works.

For me remote access via ssl does not work if I DNAT https to internal server.
ASG ver. 7.401. Https to internal server works.

so it was a bug of the previous version?

I don't know how it worked before 7.400, I didn't DNAT https then, but still remote ssl doesn't work if I DNAT https.

Your DNAT rule reroutes 443 to a specific internal IP, so an SSL VPN can't work on 443.  You must either change the public IP that's the target of your IP ('Additional Addresses') or change the 'Service' port you use for the VPN or HTTPS access.  An additional IP address is the "standard" solution.

Your DNAT rule reroutes 443 to a specific internal IP, so an SSL VPN can't work on 443.  You must either change the public IP that's the target of your IP ('Additional Addresses') or change the 'Service' port you use for the VPN or HTTPS access.  An additional IP address is the "standard" solution.

ok. but now I have the dnat rule 443 configured for my owa and no additional address and both works fine...strange

Wow!  Maybe Astaro is doing some magic.  Can you confirm that the 'Port' in 'Server settings' on the 'Settings' tab of 'Remote Access >> SSL' is 443?

Wow!  Maybe Astaro is doing some magic.  Can you confirm that the 'Port' in 'Server settings' on the 'Settings' tab of 'Remote Access >> SSL' is 443?

no...I change it to 444. But first it doesn't worked. Onde hour later it tested and it works fine

It wasn't the Astaro progammers who were doing magic, it was gnomme!  That's the right answer.

Thanks - Bob

Hi,

same experience here with 7.401. When I've the DNAT HTTPS rule for our Outlook Web Access site enabled, the SSL client cannot connect, 'connection reset' error. Once I disable the DNAT rule I can successfully connect, but of course the outlook web access site is inaccessible which is unwanted. So for now it one or the other.

Franc.

Hi,

same experience here with 7.401. When I've the DNAT HTTPS rule for our Outlook Web Access site enabled, the SSL client cannot connect, 'connection reset' error. Once I disable the DNAT rule I can successfully connect, but of course the outlook web access site is inaccessible which is unwanted. So for now it one or the other.

Franc.

Franc, the problem is that your DNAT captures anything that hits your SSL or OWA.  How would it know the reason you were connecting on port 443?

Has anyone tried changing the ssl vpn protocol to udp? Would that not allow you to keep your dnat for https tcp and use both on port 443?

Sorry, my mistake.. I thought it could do some 'magic' in determining if it's VPN traffic or normal HTTPS traffic and act upon it accordingly.

Franc.

Has anyone tried changing the ssl vpn protocol to udp? Would that not allow you to keep your dnat for https tcp and use both on port 443?

Yes, tried it, it works!

Thanks, dilandau & Jörgen.  You reminded me that there was a discussion last fall about this: https://community.sophos.com/products/unified-threat-management/astaroorg/f/58/t/53204.

In googling about this just now, I found some claims of dramatic increases in throughput with UDP, but I would think that there would be situations where that wouldn't be true.

Yes, tried it, it works!

[:O]Worked?? I tried and didnt work!

Did you delete the client from your PC, then re-install it?

Did you delete the client from your PC, then re-install it?

no...I edit the config client and changed the port to 443

Same problem: Have an internal web server that I changed to require https: and changed DNAT rule accordingly. Now SSL clients do not work and the portal is inaccessible, because port 443 is routed to the web server.

So, it's clear where to change the Remote Connection port and protocol. I changed it to UDP, but the client does not connect. I do not see anywhere to edit the client config for protocol? I am reluctant to change the port because of remote firewall issues (home and hotel firewalls may block obscure ports)

That still would not resolve the problem of connecting to the portal to download a new client.

If there is no happy solution to the portal issue, I could request an additional ip address for my webserver.