Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 7 replies
  • Subscribers 1 subscriber
  • Views 4102 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

SSL VPN over IPSec Tunnel issues

Gsiner
We have an Astaro Security Gateway at both our data center and our office. We have an IPSec site-to-site VPN tunnel setup between them. At our datacenter is a db server that all of our users use. The db server is connected to the DMZ port on the firewall.

From outside the office all users VPN to the office location and go over the tunnel to use the db server. 

Using the PPTP VPN everything works correctly. From within the office everything works correctly.

Using the SSL VPN, users can get to internal office resources, but can't get to the db server. This is happening on Windows XP, Vista, and 7. The Vista and 7 machines I've made sure it's running as administrator. Looking in the logs the client actually adds the routes without any errors, but I've noticed that on the route for the db server, the subnet mask is wrong. When doing an ipconfig I also notice there is no default gateway listed on the SSL VPN adapter (not sure if there should be or not).

Looking at the settings on the firewall, I've made sure the packet fileters and any rules are the same for the PPTP and the SSL VPN's on both firewalls. On the IPSec tunnel settings I've made sure that all relevent networks are in the correct places on the local and remote gateways. Doing a tracert to the db server it tried to go out over the PC's internet connection. If I manually change the route to have the correct mask then it will get from the client to the firewall (10.242.2.1) but then can't get any further. 

I've added packet filters to allow any traffic for the SSL VPN users through. I've tried messing around with NAT settings, I'm just not sure where to go. PPTP VPN users work like a charm. I've looked through the logs on the firewall, but I'm not sure which ones to check. Packet filter doesn't show anything. SSL VPN log shows the connection, but not the attempts to hit the db server. 

Any thoughts or help would be awesome. Thanks!

Gideon


This thread was automatically locked due to age.
  • 0
    Hmmm - maybe the DB Server does not have a route back to the IP Adresses in the SSL VPN Pool and/or the SSL VPN Poll is not masqueraded to a routed network. Have you checked this?

    Regards
    Manfred
  • 0
    Would SSL need a different settings from PPTP? I checked the NAT/DSNAT as well as masquerading settings for SSL and it is set the same way PPTP is. So all of the masquerade/NAT rules for SSL match the setings for PPTP. I also checked all of the routers in the way and they all have the correct routes in there for the networks as well. Oh and I did make sure the ports are allowed as well.
  • 0
    I think, the routes on the SSL VPN Client are based on the network objects in the 'local networks' config section in Remote Access->SSL VPN. Maybe it solves the problem, if you add a host object for the db server to that so that the client receives a direkt route to that network/host. A default gateway is not set on the ssl vpn client unless you add the 'any' or 'internet' object to the local networks section. 

    I don't have used PPTP - how are the routes pushed out to the client with this config?

    Does a traceroute from client show how far the packets are routed?

    Regards
    Manfred
  • 0
    I added a host object into the local networks on the SSL VPN page, but it still doesn't work. I'm not sure that PPTP pushes routes out since it works differently then the SSL. The packets get to the office firewall, but then don't get any further. 

    We use the standard network for SSL (10.242.2.0/24) tracert gets me:

    C:\>tracert 10.10.20.6

    Tracing route to 10.10.20.6
    over a maximum of 30 hops:

      1    19 ms    19 ms    22 ms  10.242.2.1
      2     *        *        *     Request timed out.
      3     *        *        *     Request timed out.
      
    and so on. 

    Conneted with the PPTP VPN this is what I get:

    C:\>tracert 10.10.20.6

    Tracing route to 10.10.20.6
    over a maximum of 30 hops:

      1    22 ms    17 ms    16 ms  10.10.225.1
      2    21 ms    21 ms    22 ms  10.10.21.1
      3    24 ms    21 ms    24 ms  10.10.20.6

    Trace complete.

    10.10.21.1 is the DMZ NIC on the astaro at our datacenter.
  • 0
    Ok - out of ideas error, sorry. 

    Maybe it helps, if you make some screenshots of the used configuration objects or someone has a idea how to tcpdump that (I have not enough knowledge to do that...)

    Regards
    Manfred
  • 0
    What is 10.10.225.1?  Are both tests being done from the same device located in the same place?

    Cheers - Bob
  • 0 in reply to BAlfson
    What is 10.10.225.1?  Are both tests being done from the same device located in the same place?

    Cheers - Bob



    our PPTP VPN is using the 10.10.225.0/24 network, so the 10.10.225.1 is the firewall. Yes all tests are being done from my home PC. I have tried from other PC's with the same result.