Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 2 replies
  • Subscribers 1 subscriber
  • Views 2542 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

PPTP VPN - DHCP Server by Windows Server - Conflicting IP handouts

AlexanderTsui
Hello, folks.

My friend and I are experiencing a problem and it as been a problem from the start (so it doesn't matter when we really started attempting this.)

Consider the following scenario:
Using firmware: 9.201-23. 
Running under VMware ESXi 5.1.0
Two networks: Internal (LAN) and External (WAN), directly connected to modem.

PPTP settings under remote access are as follows:

  • Variable users and groups added
  • Assign IP addresses by DHCP Server running Windows Server 2012 R2 
  • via interface Internal
  • Authentication via Local
  • IP Pool: 10.1.1.200-254 in Windows Server DHCP Scope


LAN Network is on 10.1.1.0/8

Consider a new device joining via Ethernet. DHCP server gives it a lease of 10.1.1.200. Consider another new device joining via PPTP from the WAN. It is assigned 10.1.1.201. Consider a third new device joining via PPTP following the second device. It is assigned 10.1.1.201 as well. The MAC address seem to match.

We do not know why Sophos UTM 9 is passing the same MAC to Windows Server DHCP server, but we are even more puzzled at the fact that it is an invalid MAC address by lookup (as in not being in any databases.) We expect Sophos to pass along the MAC address of the origin host so that, in theory, that very first example host that connected via Ethernet can connect to the VPN and receive the same DHCP-give IP again (assuming it is connected via Ethernet to the VPN over the Internet.)

We have reason to believe that VMware is partially the culprit, but the MAC addresses say otherwise... 

While we are not technically forced to switch from ISC DHCP (the built-in DHCP server on UTM9), we would like to integrate our UTMs with the DHCP server we already have with the PPTP VPNs.

Thanks, in advance, for looking into this and answering, guys. Really gonna appreciate it!


This thread was automatically locked due to age.
Parents
  • 0
    Hi, Alexander, and welcome to the User BB!

    Do not use the same DHCP server for the PPTP address pool as for any other subnet attached to the UTM.  Use the default subnet assigned to "VPN Pool (PPTP)."  

    Some unsolicited advice for staying out of trouble with routing conflicts...  Do not use 10/8 for anything.  The 10. address spaces should be reserved for use by only the largest enterprises.  Reserve the 192.168. subnets for homes and public hotspots.  You should use a /24 subnet in 172.16.0.0/12 for your LANs.

    If you want to have two separate sites running off the same DHCP server, construct a RED tunnel between the two UTMs and bridge the LANs via the RED.

    Cheers - Bob
    PS It's not clear from your description, but you should not have more than one interface connected to any Ethernet segment.
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Reply
  • 0
    Hi, Alexander, and welcome to the User BB!

    Do not use the same DHCP server for the PPTP address pool as for any other subnet attached to the UTM.  Use the default subnet assigned to "VPN Pool (PPTP)."  

    Some unsolicited advice for staying out of trouble with routing conflicts...  Do not use 10/8 for anything.  The 10. address spaces should be reserved for use by only the largest enterprises.  Reserve the 192.168. subnets for homes and public hotspots.  You should use a /24 subnet in 172.16.0.0/12 for your LANs.

    If you want to have two separate sites running off the same DHCP server, construct a RED tunnel between the two UTMs and bridge the LANs via the RED.

    Cheers - Bob
    PS It's not clear from your description, but you should not have more than one interface connected to any Ethernet segment.
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Children
  • 0 in reply to BAlfson
    Hi, Alexander, and welcome to the User BB!

    Do not use the same DHCP server for the PPTP address pool as for any other subnet attached to the UTM.  Use the default subnet assigned to "VPN Pool (PPTP)."  

    Some unsolicited advice for staying out of trouble with routing conflicts...  Do not use 10/8 for anything.  The 10. address spaces should be reserved for use by only the largest enterprises.  Reserve the 192.168. subnets for homes and public hotspots.  You should use a /24 subnet in 172.16.0.0/12 for your LANs.

    If you want to have two separate sites running off the same DHCP server, construct a RED tunnel between the two UTMs and bridge the LANs via the RED.

    Cheers - Bob
    PS It's not clear from your description, but you should not have more than one interface connected to any Ethernet segment.


    Thanks for the info, Bob!

    Right, well, me and my friend are now sticking to the internal DHCP server. We were considering using RED, but we haven't gotten around to working with it yet. 

    Also, the connection would be that VMware has a vSwitch that handles the internal LAN network with a Cisco switch connected to one of the two physical Ethernet NICs on the server. The other port connects to WAN/Modem. That's how the network is running. Sorry about leaving out some of those details.

    Again, thanks for your answer, Bob!
Unfiltered HTML