Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 15 replies
  • Subscribers 1 subscriber
  • Views 9752 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

VPN clients cannot access Site-to-Site server

screamingpotato
We can access it from within the LAN, but when I connect via VPN with my test laptop the name resolves to the correct IP address but there's no reply to ping requests. From what I understand this worked previously, but I'm not sure how long it's been broken. I'm new to Astaro so reluctant to go in and start changing things on a whim, hoping for some guidance as to where I need to look for a problem such as this as I don't want to make it worse.


This thread was automatically locked due to age.
Parents
  • 0
    I tried a MASQ rule VPN Pool -> External which the "far side" should be seeing as our source

    This definately won't work. The far side is seeing the source of the tunnel itself as being your external address, but not the source for traffic within the tunnel.
  • 0 in reply to Scott_Klassen
    Masqing shouldn't be necessary.  Scott's prescription should work; I'm pretty sure your problem was that the other end of the site-to-site also needs to add the VPN Pool(s) to the tunnel.  Take a look at this KnowledgeBase article: Howto - Allow Remote Access Users to Reach Another Site via a Site-to-Site Tunnel 

    Cheers - Bob


    I've confirmed with the remote site that they only have our internal LAN enabled to access their systems. They also stated that only one subnet per customer is allowed so they will not add my VPN pool to accept connections. This confuses me because I'm told that our L2TP VPN connections used to work without a problem, but now L2TP doesn't work nor my newly implemented SSL VPN. 

    I'll give that a thorough read through, thx. 

    This definately won't work. The far side is seeing the source of the tunnel itself as being your external address, but not the source for traffic within the tunnel.


    I tried Internal as well but still did not have any luck with that. I didn't figure it would helps, but the L2TP (which supposedly worked previously) was setup with a Masq for External so I just tried it for kicks.

    EDIT: See reply on next page for an update
Reply
  • 0 in reply to Scott_Klassen
    Masqing shouldn't be necessary.  Scott's prescription should work; I'm pretty sure your problem was that the other end of the site-to-site also needs to add the VPN Pool(s) to the tunnel.  Take a look at this KnowledgeBase article: Howto - Allow Remote Access Users to Reach Another Site via a Site-to-Site Tunnel 

    Cheers - Bob


    I've confirmed with the remote site that they only have our internal LAN enabled to access their systems. They also stated that only one subnet per customer is allowed so they will not add my VPN pool to accept connections. This confuses me because I'm told that our L2TP VPN connections used to work without a problem, but now L2TP doesn't work nor my newly implemented SSL VPN. 

    I'll give that a thorough read through, thx. 

    This definately won't work. The far side is seeing the source of the tunnel itself as being your external address, but not the source for traffic within the tunnel.


    I tried Internal as well but still did not have any luck with that. I didn't figure it would helps, but the L2TP (which supposedly worked previously) was setup with a Masq for External so I just tried it for kicks.

    EDIT: See reply on next page for an update
Children
  • 0 in reply to screamingpotato
    OK so I was just going through checking on settings and I see now that when I add the site-to-site tunnel to the local networks on the remote access\ssl\global tab it creates a new entry in my site-to-site IPSEC tunnels that's disabled, this new entry contains my VPN SSL Pool subnet. I never noticed this before. I'm assuming this should be enabled, lol, but I can't test it now because I gave all my aircards out to traveling users and they won't be back until Monday so I don't have a dirty line to test with. 

    Am I on the right track now? 

    Screenshot of the newly created entry that I never noticed was there: