Guest User!

You are not Sophos Staff.

This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

SSL VPN not working after upgrade to 9.309-3

Hi,

I manage 2 UTM 9 connected one another with site-to-site SSL vpn. Apart from this, both are also reachable through SSL VPN client.

I updated this weekend one of them from to v 9.309-3 and left the other one still at v 9.308-16. Result is that site-to-site between the two still works fine but if i try to do ssl vpn from any computer through vpn client to the one with v 9.309-3, i can get connected (light turns green) but cannot reach and/or ping any of the devices behind its internal network. SSL vpn on the other one v 9.308-16 still works without any issue.

Keeping in mind that:
-I didn't change anything in the configuration...i merely performed the update
-If i log the traffic going to the vpn, i see that the pings (or eg rdp requests) are marked green and the destination addresses are correct
-I compared the configuration side-by-side of the working one with the other and i don't see any difference...dns and so remained the same on both sides
-I reissued the configuration file for the existing user I was trying and even created a new user on a nother computer, tryed to connect but...no joy

I repeat, The client connects and the requests and packets actually reach the utm (I can see that through the green logs) but I cannot do anything...no rdp, no shared folders, negative pings.

I searched around but didn't find any useful article so fare and is quite surprising that i am the only one having this issue.

Can anyone please shed some light on this or suggest what possible other steps i can take other then restoring a conifg previous to the upgrade.

Of coure also all the packet filterings rules had been turned off during the tests (and i didn't expect to have any benefit, since they have been always on even before the upgrade).

Braking my head on this. Need some advice.

Thanks

Ed


This thread was automatically locked due to age.
Parents
  • I did resolve this for me, too and it was also a kind of "duplicate IP".

    Just for the records:

    In my case it is HA-related.

    Reason: 
    I noticed that it was always the first IP from the IPSEC-IP-Pool which could not route any traffic through the tunnel.
    First I thought that there is some device in the DMZ using this IP but could not find any.
    So I changed the IP Pool to a different one and now it was working as expected.
    During further investigation I came to over entry in ipsec.log:

    ""D_REF_IpsRoaMwxtest2_0"[190] 79.228.236.174:4500 #1502: ERROR: netlink XFRM_MSG_NEWPOLICY response for flow tun.0@79.228.236.174 included errno 17: File exists""


    Google pointed me to  this old topic and that makes sense.

    hth - Chris
Reply
  • I did resolve this for me, too and it was also a kind of "duplicate IP".

    Just for the records:

    In my case it is HA-related.

    Reason: 
    I noticed that it was always the first IP from the IPSEC-IP-Pool which could not route any traffic through the tunnel.
    First I thought that there is some device in the DMZ using this IP but could not find any.
    So I changed the IP Pool to a different one and now it was working as expected.
    During further investigation I came to over entry in ipsec.log:

    ""D_REF_IpsRoaMwxtest2_0"[190] 79.228.236.174:4500 #1502: ERROR: netlink XFRM_MSG_NEWPOLICY response for flow tun.0@79.228.236.174 included errno 17: File exists""


    Google pointed me to  this old topic and that makes sense.

    hth - Chris
Children
No Data