Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 5 replies
  • Subscribers 1 subscriber
  • Views 5591 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Remote Access IPSec VPN: How to force traffic through tunnel?

Moose
Hello everybody,

I migrated from IPCop which works for me over years now to ASG Ver 7.504 to get some praxis with this system. I'm running it as sw appliance on standard PC hardware.

What I want to do (and get running now) is the following thing:

I have 4 NICs

1 x internet
1 x intranet (LAN)
1 x extranet (WLAN)
1 x dmz

Because default WLAN encryption doesn't fit my needs I implemented a solution on my old IPCop which encpryts all traffic from LAN to WLAN and vice versa by IPSec. As mentioned above it works fine over years - but to establish it costs me a lot of time, sadly.

No I tried to built up the same configuration on my Astaro and got it running basically. This means I'm configured Client-to-Site with PSK on my ASG and made the related entrees in the Shrew Soft VPN client running on a client in WLAN.

I defined the related package filter rules on the ASG and all works fine as long as the tunnel is up. This means a tcpdump on the extranet interface shows EXP and 
ISAKMP packages only.

But, my problem is the following: When the tunnel is down, the packages are transmitted also - only unencrypted!

This is want I want to prevent. How can I change my configuration on the ASG so that the extranet interface accepts IPSec-Traffic (EXP & ISAKMP) only (may be accept DHCP queries to and send DHCP offers from the DHCP-Server too,  but this is no "must have").

This would mean the ASG WLAN inerface should accept the IPSec encrypted traffic only, should unencrypted it and then look if there are package rules which fit.

On the other hand let's say I'd like to do a RDP session from the intranet (LAN) over the IPSec tunnel to a client in the extranet (WLAN). This works fine and 
encrypted as long as the tunnel is up. 

But, it works also (but unencrypted) when the tunnel is down. I'd like to force my ASG to use the VPN tunnel - or stop sending traffic if the tunnel is down.

How to realize this? Any ideas? Any kind of help/support/hints would be greatly appreciated!

By for now

Guido


This thread was automatically locked due to age.
Parents
  • 0
    This means I'm configured Client-to-Site with PSK on my ASG and made the related entrees in the Shrew Soft VPN client running on a client in WLAN.

    You set up Astaro 'Remote Access >> IPsec' and you configured an IPsec client on a PC in the WLAN connected to the Astaro - correct?
    But, my problem is the following: When the tunnel is down, the packages are transmitted also - only unencrypted!

    Since this PC is on the Wireless LAN, the packets from it come through even when the tunnel isn't up - correct?

    If I have understood, then it seems like you can just use the firewalling of the Astaro.  Delete/modify any packet filter rule allowing traffic with the WLAN; now, the only traffic allowed through the interface will be that through the VPN defined on it.

    Is that what you're trying to do?

    Cheers - Bob
  • 0 in reply to BAlfson
    Dear Bob,

    first of all I'd like to thank your for your quick reply!

    Indeed, your two assumptions are right!

    If I have understood, then it seems like you can just use the firewalling of the Astaro.  Delete/modify any packet filter rule allowing traffic with the WLAN; now, the only traffic allowed through the interface will be that through the VPN defined on it.

    Is that what you're trying to do?


    Exactly that is what I want. But it doesn't work as expected and that's my problem. I don't know the right screw to turn ...

    Please, let me explain a little bit more in depth.

    I just have 3 package filters related to the extranet:

    1. intranet => Terminal Applications  => any       
    2. extranet => Web Surfing               => any
    3. extranet => "some services group" => intranet

    "some services group" mean DNS, SMTP, IMAP, NetBIOS, FTP, HTTP Proxy.

    But, if I disable rule 2. and 3. like you mentioned above all packages from the extranet are dropped (as viewed in life protocol) - anyway if the VPN tunnel is established or not. 

    Hope this help to understand my challenge a little bit better. If you need further information please let me know.

    Greetinx

    Guido
Reply
  • 0 in reply to BAlfson
    Dear Bob,

    first of all I'd like to thank your for your quick reply!

    Indeed, your two assumptions are right!

    If I have understood, then it seems like you can just use the firewalling of the Astaro.  Delete/modify any packet filter rule allowing traffic with the WLAN; now, the only traffic allowed through the interface will be that through the VPN defined on it.

    Is that what you're trying to do?


    Exactly that is what I want. But it doesn't work as expected and that's my problem. I don't know the right screw to turn ...

    Please, let me explain a little bit more in depth.

    I just have 3 package filters related to the extranet:

    1. intranet => Terminal Applications  => any       
    2. extranet => Web Surfing               => any
    3. extranet => "some services group" => intranet

    "some services group" mean DNS, SMTP, IMAP, NetBIOS, FTP, HTTP Proxy.

    But, if I disable rule 2. and 3. like you mentioned above all packages from the extranet are dropped (as viewed in life protocol) - anyway if the VPN tunnel is established or not. 

    Hope this help to understand my challenge a little bit better. If you need further information please let me know.

    Greetinx

    Guido
Children
No Data