Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 64 replies
  • Subscribers 1 subscriber
  • Views 57852 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

SSL VPN connects, but doesn't route traffic or do much at all

bhall7
I recently upgraded to ASG 7.500.  Prior to the upgrade, my SSL VPN worked fine; however, after the upgrade, it is no longer working properly.  I downloaded and installed the latest client from the user portal (for Windows 7 RTM x64), and ran it as Administrator.   It connects to my ASG and gives me an IP address from the VPN Pool (SSL), but it doesn't tunnel my network traffic through the VPN connection (for example, my external IP address does not change, like it used to when it was working properly).  The Astaro client shows that it connects properly and everything looks like it's working, but nothing actually happens with the network traffic.

I checked the network addresses and subnet masks of all other VPN Pools (Cisco, IPSec, L2TP, and PPTP) and they are all properly subnetted into non-conflicting and separate networks. (With a /24 subnet mask)

Under Network Security --> NAT, Masquerading, there is a rule to allow VPN Pool (SSL) -> External (WAN).  I have not changed any configuration settings--I have only upgraded to 7.500.

When I view the live SSL VPN log, it shows everything connecting properly and doesn't show any errors.  The last line shows "Peer Connection Initiated with x.x.x.x"

Could it be that my campus is blocking SSL VPN connections somehow?  If I understand correctly, they would have to block port 443 (which my ASG is configured to use for SSL VPN connections), which would also disallow secure connections to web sites, etc.

The problem exhibits itself on both Windows (with the Astaro/OpenVPN client) and Mac OS X using (using Tunnelblick).  I had the VPN working properly with Windows 7 RTM x64 before the upgrade to ASG 7.500.

Any suggestions would be greatly appreciated.


This thread was automatically locked due to age.
  • 0 in reply to BAlfson
    I did not see that 7.501 was out as  it is not listed on my dashboard yet.  Although I just did a license renewal a few days ago so I am wondering if that caused me not to see any new updates being pushed down.  I see that the update time stamp is 15th has it been out that long? 

    I'll manually download it and give it a spin. I see that it is out there on ftp, but I see no mention of it on the up2date site??

    -Scott
  • 0 in reply to ScottL
    never mind. I just read about it on the up2date forum. I guess I am a little behind on the forums  ;-)

    -Scott
  • 0
    I assume that problem of bhall7 is related to known problem.
    The new ssl vpn client seems to have problems to add the default route, if the "local network" definition in the SSL VPn is "Any" or - like in bhall7´s setup "Internet" (which is basically the same like ANY, i.e. 0.0.0.0/0).
    Ask Astaro support whether they have a fix already.

    Meanwhile, you should be able to help you with this workaround:
    create two netowrk definitions - one called "internet lower half", with a definition 
    of 0.0.0.0/1, and the second one with "internet upper half", witrh a definition of 128.0.0.0/1. Hopefully you can convice the SSL VPN client to add the routes with this trick (didn´t test it so far)
  • 0
    Follow-up: the trick with the "lower" and "upper" Internet-networks is not working either. ASG seems to have a problem with the "lower half" definition (strange: not with the "upper" half definition"!).

    But I found a workaround:

    edit /var/chroot-openvpn/etc/openvpn/openvpn.conf-default

    directly under  the line
    []

    insert the line:
    push "route 0.0.0.0 0.0.0.0"

    then change something in the openvpn config (in Webadmin) and press Apply to enforce the new config file is beeing created.
    Then connec to to the ASG with the SSL VPN client.
    You will get assigned (pushed) the ASG as new default gateway .

    Don´t forget to remove  this dirtly hack after Astaro has published a fix!!  Support may be voided!
  • 0 in reply to Ölm
    Here is Astaro's response:

    you are affected by a bug (or essentially 2 bugs) in the SSL VPN system.  With
    the new client, routes will not be added properly if you are trying to full
    tunnel.  Also, there is a bug in which "any" can not be used in the local
    networks list.  Both of these issues will be resolved in an upcoming release.
    For the moment, there are 2 options that we have seen work.  First, you can
    take out the internet definition and split tunnel and routes will be written
    properly.  Alternatively, you can revert back to the previous client which
    will still connect with the ASG, but will have all of the Vista/Win7
    incompatibilities that come with the previous version.

    If you need a copy of the previous client, you can download it from here:
    http://www.openvpn.net/release/openvpn-2.1_rc4-install.exe

    Best regards,

    Astaro Technical Support Team
  • 0
    ScottL can you try whether  the workarounds Astaro suppoirt has provided are working for you?

    I doubt it is that easy - as described in my previous post, I already tried it with a "internet/any definition split in two halfs" and it didn´t really work.
    I also doubt the trick with the "old" SSL VPN client will solve the problem - as from  what I see, the openvpn.conf file is wrongly created on the SERVER and not on the client, so changing the client will probably not change very much.

    But give it a try!!
  • 0 in reply to Ölm
    Ölm,

    Thanks for your replies to this post!  I just tried to add push "route 0.0.0.0 0.0.0.0" under the [] section in /var/chroot-openvpn/etc/openvpn/openvpn.conf-default, and unfortunately, I am still not getting a default gateway pushed to my client.  I guess at this point all I can do is wait for Astaro to fix the bug, as I am a little reluctant to downgrade OpenVPN, but I might have to.

    Thanks again for everyone's replies to this thread.  Is there any word on when the new version will be here with the fix?  If anyone else has any workarounds in the meantime, please post!
  • 0 in reply to bhall7
    Well I know for a fact that the older openvpn client is working cause that is what I am running at home on Vista64 although I do need to run it as Administrator.

    I am not sure if I want to deploy split tunneling as I like the idea that when one of my users is on a wifi spot that their entire connection is encrypted even for stuff like normal web browsing. Most of my users are still on XP and working fine on the Astaro 1.3 openvpn client.  I only have 2 users I need to worry about that are on Vista and only one of them as the latest 1.5 client.  So I think I am going to hold off on the split tunneling and just give the one user the old client and make sure to show him he has to use run it as Admin.

    In regards to when the new client will be available...no idea. Sorry.

    -Scott
  • 0 in reply to ScottL
    Thanks Scott,

    I'm glad to know that the older client seems to be working for you.  The split tunneling technique didn't make any sense to me, so I think I'm going to hold off.  Is it a bug in OpenVPN or in the Astaro implementation of OpenVPN?

    I'll stay tuned!  Thanks again for your helpful and informative post.
  • 0
    try changing the port, and or the protocol (try maybe UDP 5522 or something for just testing) this should tell you if your provider is taking liberties...

    I use our SSL VPN almost every day, and see no troubles with either the latest openvpn build or our own build connecting from windows 7 to 7.500 or 7.501...
Unfiltered HTML