Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 11 replies
  • Subscribers 1 subscriber
  • Views 6792 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Site to Site SSL VPN setup question?

JohnKenny
Hi,

I have setup a Site to Site SSL VPN between our 2 UTM's at 2 Sites, the link establishes but when i try to browse a web server on the other site I just get a sophos timed out error page in chrome.  Should it have automatically set up the routing tables and created Firewall rules as i ticked the box to do that?  Is there anything else I have to do myself to get traffic flowing across the Site to Site VPN?

The auto rules look OK but from looking at the live logs it does appear to be dropping traffic, The rules it automatically created were for 

see image for actual screen shot : -
UTM 1 main


UTM 2 branch


when i look at the logs on the receiving site UTM the request is going to the right IP of the WWW server but the source is an IP from my SSL VPN POOL and it drops those, should it have created rules for traffic from the SSL VPN POOL addresses used by each site aswell?  Also where do I find the actual Virtual IP used by each Sites UTM on the StS SSL VPN?  when i look at the Site to Site page on the web admin it only shows me the Ext IP's used by each site to connect to each other and the local network ranges underneath, I dont see the IP they use from the VPN pool?

So anyone have any ideas why im still not able to communicate to hosts on the other sites network?

Should I use a RED tunnel instead, its just the guide article from sophos has a lot more steps to setup inc setting up virtual interfaces then setting up static routes and also NAT rules for each UTM.  Shouldn't there be more steps for the site to site VPN rather than setting up the profiles on each site?

If anyone knows where I might find a decent guide article on setting up a Site to Site SSL VPN or a guide you know works, I'd really appreciate it as i can make sure I set mine up correctly.  I can only find RED tunnel articles in sophos Kb.
Thanks

JK

PS FYI i have googled this!


This thread was automatically locked due to age.
  • 0
    Please click Go Advanced and add your screenshots in Manage Attachments.  External links to files are frowned upon.  Are you using the Web Filtering Proxy and putting the VPN networks in Allowed Networks in that profile?  WAF?  What do you have set for Local and Remote Networks on each side and are the networks on different IP ranges?  By chance do you have any of the hosts bound to a specific interface?  Finally, for now, check your MASQ, SNAT, and uplink balancing rules, if applicable.
    __________________
    ACE v8/SCA v9.3

    ...still have a v5 install disk in a box somewhere.

    http://xkcd.com
    http://www.tedgoff.com/mb
    http://www.projectcartoon.com/cartoon/1
  • 0
    Ok img's are now on tinypic rather than dropbox so now OK.

    JK

    CompKickers

  • 0
    JK, we don't know the level of tinypic's security, but we do know the security of images and files uploaded here.  Please honor Scott's request.  I'm sorry, but I deleted the external links in your post. Please [Edit] that post, click on [Go Advanced] and attach your images to the post. We can't know if that external site is properly protected. The only malware I've gotten in over 10 years was from an external link to a picture in this forum several years ago.

    SSL VPNs: Changing the Protocol to UDP will speed up the tunnel and reduce latency to almost that of a RED tunnel.  Still faster and more flexible (think QoS) than both are IPsec tunnels.  I only recommend RED tunnels where the same subnet needs to exist on both sides.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    sorry didnt realise i could add with just this alone, I will look into ipsec tunnel then.  Thanks.

    JK

    JK

    CompKickers

  • 0
    OK so I set up an IPSEC Site to Site VPN, the connection is established but i cant reach any hosts on the other network.  Do i need to manually add Static Routes?

    What do I need to add at each site?  What IP does the IPSEC Site to Site use for each site?  Does it use the IPSEC Pool?  Would I need to use those IP addresses in the Routes or the Ext Int IP's that actually show in the Site to Site connection status?

    Im still at the same point I had with SSL VPN no traffic between sites, I didnt follow the IPSEC article on Sophos Kb exactly as I use different subnets at each site, do I still have to set up some kind of NAT rules aswell at each end?

    For the Remote Gateways at site 1 i used the Ext int IP of site 2 as the gateway and added site 2 LAN Range for remote network and the other way around for site 2.  Does this sound right?  Its just the guide said to use Fake IP's but as i dont use the same subnet I used the Ext IP's of each UTM.

    See below 


    I have tried reaching a www on the other site LAN but it times out and the tracert tool on the webadmin gui also doesnt find a route.  I must be missing something.  The Site to Site IPSEC VPN has auto created rules OK which are Local LAN - Any - Remote site LAN at both ends.

    Do i need to do anything else to get traffic across the tunnel?  I need all traffic thats destined for the other LAN to go accross it.  I dont quite know how to use NAT rules as the VPN uses the EXT int on both UTM;s.  How would i actually define the VPN to be used?

    Thanks

    JK

    JK

    CompKickers

  • 0
    right so I went back to my site to site SSL VPN and added the SSL VPN POOL in Local networks along with local lan and then exported the config file and uploaded that to site 2 site to site SSL VPN.

    That seems to have solved my problem with access WWW hosts on the other site lan, but why wouldnt i be able to browse files on remote hosts using Explorer?  The firewalls were set to allow any traffic.

    So after learning I had missed the VPN POOL range for the SSL VPN, would the same apply with an IPSEC Site to Site VPN?  Does that also use the POOL?

    Thanks

    JK

    JK

    CompKickers

  • 0
    First, thanks for going back again and getting those images uploaded here. [;)]

    Yes, good thinking!  The same "trick" applies in all cases of wanting to use remote access to reach things on the other side of a site-to-site - see How to allow remote access users to reach another site via a Site-to-Site Tunnel.  The same approach is used for tying two sites together when each has a tunnel to a third, central site.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0
    hmm when i try to add the ipsec pool to the local networks it just tries to create 2nd tunnel.  Its not the same as ssl vpn, does the site to site ipsec use the pool?

    JK

    CompKickers

  • 0
    thanks, i took another shot at RED tunnel!

    Got it going.  Works OK, was able to set up static routes now I had clearly defined Interfaces.

    JK

    CompKickers

  • 0
    hmm when i try to add the ipsec pool to the local networks it just tries to create 2nd tunnel. Its not the same as ssl vpn, does the site to site ipsec use the pool? 

    I'm not sure what that means.  Correctly configured there is no need for additional routing.

    With a Site-to-Site SSL VPN and SSL VPN Remote Access used together, you might have routing conflicts caused by the fact that both use the same pool of addresses.  It's possible that the developers took that into account, but I would be on the lookout for such issues.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Unfiltered HTML