Guest User!

You are not Sophos Staff.

This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Remote Access L2TP Ipsec VPN with redundant external interfaces

We have a UTM120, and I have configured and been working happily with L2TP IPsec remote access connections for a couple of months.

However, I have finally decided to try to set up a secondary ISP input to act as a backup VPN line to the system.

We have a single public-facing IP on an interface presented via Ethernet, and a second public-facing IP on an interface using PPPoE (so the logs show eth1 and ppp0 interfaces active).

Individually, the VPN will establish on either of these connections (we have vpn.companyname.com and vpn2.companyname.com set up to point at each connection).

However, in order to tie these two interfaces to listen on L2TP connection at once, I created a group with the two adapters contained.

Once I assign the group as the interface, only the highest-order adapter gets used. Whatever is lower down, complains:

initial Main Mode message received on x.x.x.109:500 but no connection has been authorized with policy=PSK

I guess, should the primary line go down, that the secondary VPN link will actually work - but it strikes me as odd that I can't actually connect via either connection (since I was tempted to try and use DNS round-robin to balance between both adapters).

Anyone else got the L2TP remote access VPN to bind to more than one input adapter at once?


This thread was automatically locked due to age.
Parents
  • GJ, there are different ways to resolve this depending on what you have on the other end.  The easiest is to configure the other side to the equivalent of "Respond only" so that it only listens for the UTM to connect to it, and that it does not "call" the UTM.  You also will want to bind IPsec traffic to the UTM's primary interface on the 'Multipath Rules' tab.

    If you were to look at the IPsec logs from both devices, you would see that the connection fails as Main Mode is attempted.  This is because the IP address of the UTM's second WAN interface is different from what the remote device is configured for.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Reply
  • GJ, there are different ways to resolve this depending on what you have on the other end.  The easiest is to configure the other side to the equivalent of "Respond only" so that it only listens for the UTM to connect to it, and that it does not "call" the UTM.  You also will want to bind IPsec traffic to the UTM's primary interface on the 'Multipath Rules' tab.

    If you were to look at the IPsec logs from both devices, you would see that the connection fails as Main Mode is attempted.  This is because the IP address of the UTM's second WAN interface is different from what the remote device is configured for.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Children
No Data