Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 17 replies
  • Subscribers 1 subscriber
  • Views 8800 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

User/Group based SSL-VPN access to specific networks

philwett
Hello community

We have an ASG-220 (8.203) with Full Guard running in place and would like to set up remote access for users to specific networks we have set up inside the ASG.

Networks:
Internal LAN (eth0): 10.1.0.x
XX LAN (eth4) 10.1.1.x
YY LAN (eth5) 10.1.2.x
ZZ LAN (eth6) 10.1.3.x

Groups:
VPN-Internal
VPN-XX
VPN-YY
VPN-ZZ
Users are bound to that groups.


Now I would like to set up the VPN access so the Group VPN-Internal can only access the Internal LAN (10.1.0.x), the VPN-XX can only access the XX LAN (10.1.1.x) and so on.

What I've tried so far but didn't work:

Under Remote Access -> SSL:
- I've put the groups above to the Users and Groups.
- I've put all the networks above to the Local networks
- I've unchecked the Automatic Firewall rules checkbox

Under Network Security -> Firewall:
I've made new rules for every network for example:
Source: VPN Internal (Users Group Network)
Service: Any
Destination: Internal LAN (Network)
Action: Allow


I've I login with a users from the Group Internal LAN I can access the Internal LAN but the others as well? Do I miss something here? I don't think I the masq or NAT to configure that?!


Second questons:
I've got this standard VPN (SSL) pool. Is it possible to have for each network it's own pool? I would like that VPN users who accesses the Internal LAN network get an IP from the DHCP Server for 10.1.0.x. Same thing for the other networks.


Thanks
Phil


This thread was automatically locked due to age.
Parents
  • 0
    Ciscoman, Say you have Active Directory with two Security Groups: SSL-US and SSL-DE.  In Astaro, you create two Backend Groups with each limited to one of the AD Security Groups: "US Team" and "DE Team".

    When you create these Astaro definitions, WebAdmin creates a network object for each: "US Team (User Group Network") and "DE Team (User Group Network)".  In 'Remote Access >> SSL', you include "US Team" and "DE Team" in 'Users and Groups'.

    Once a user logs into the SSL VPN, his assigned IP will be mapped to either "US Team (User Group Network)" or "DE Team (User Group Network)".  That's why you can use "US Team (User Group Network) and "DE Team (User Group Network)" in Firewall (Packet Filter) rules to determine which Team can access specific networks.  For example:

    US Team (User Group Network) -> Any -> US Team Infrastructure : Allow



    Make sense now?

    Cheers - Bob
    (Corrected per hallowach's post below.)
Reply
  • 0
    Ciscoman, Say you have Active Directory with two Security Groups: SSL-US and SSL-DE.  In Astaro, you create two Backend Groups with each limited to one of the AD Security Groups: "US Team" and "DE Team".

    When you create these Astaro definitions, WebAdmin creates a network object for each: "US Team (User Group Network") and "DE Team (User Group Network)".  In 'Remote Access >> SSL', you include "US Team" and "DE Team" in 'Users and Groups'.

    Once a user logs into the SSL VPN, his assigned IP will be mapped to either "US Team (User Group Network)" or "DE Team (User Group Network)".  That's why you can use "US Team (User Group Network) and "DE Team (User Group Network)" in Firewall (Packet Filter) rules to determine which Team can access specific networks.  For example:

    US Team (User Group Network) -> Any -> US Team Infrastructure : Allow



    Make sense now?

    Cheers - Bob
    (Corrected per hallowach's post below.)
Children
  • 0 in reply to BAlfson

    When you create these Astaro definitions, WebAdmin creates a network object for each: "US Team (User Group Network) and "DE Team (User Group Network)".  In 'Remote Access >> SSL', you include "US Team (User Group Network) and "DE Team (User Group Network)" in 'Users and Groups'.


    Hi Bob,

    are you sure about this point? I've used the "US Team" and "DE Team" Group Objects (not the '(User Group Network)' ) in the allowed Users and the '(User Group Network)' Objects in the paketfilter rules. I think you cannot drag&drop the network objects into that section.

    Regards
    Manfred