Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 15 replies
  • Subscribers 40 subscribers
  • Views 4428 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IP Masquerading bei Verbindung über VPN

Stefanie Leisestreichler

Hallo zusammen.

Ich habe folgendes Setup:

Externer Rechner (verbunden über VPN, tun0 10.242.2.2) <-> Sophos UTM9 <-> SiteToSite VPNs.

Die SiteToSite-VPNs gestatten Rechnern aus dem privaten Netzwerk in dem die UTM9 auch steht (deren Interface hat in meinem privaten Netz die IP 192.168.77.252) den Zugriff auf die dahinter liegenden Rechner, bspw. auf 192.168.1.22. Dies ist jedoch nur möglich, wenn ich mit meinem Rechner physisch in meinem privaten Netz hänge und bspw. die IP 192.168.77.13 habe. Sobald ich mich jedoch irgendwo von unterwegs aus per VPN verbinde, muss ich mich um Zugriff auf eine Maschine auf 192.168.1.22 zu bekommen zunächst auf eine Maschine im 77er Netzwerk einloggen um Zugriff darauf zu bekommen.

Ich möchte jedoch gerne mit meiner per VPN angebundenen Maschine direkten Zugriff auf das Netzwerk 192.168.1.0/24 haben. Das müsste doch gehen, wenn ich meine IP für diesen Fall umschreibe, bspw. auf die der Sophos, oder liege ich da falsch?

Wisst Ihr Rat?

Vielen Dank für Eure Hilfe.
Steffi



This thread was automatically locked due to age.
  • 0

    Hallo Steffi,

    wir haben ein ähnliches Szenario wie du es beschreibst. 

    Hinter unserer UTM, an der sich die Kollegen per SSLVPN von extern verbinden, befinden sich diverse Subnetze, auf die teilweise zugegriffen werden muss.
    Um den Zugriff darauf zu ermöglichen brauchst du aber kein NAT oder Masquerading, sondern lediglich die Subnetze in den erlaubten lokalen Netzwerken freischalten.

    Das kannst du wie folgt:

    Remote Access --> SSL --> SSLVPN Profil auswählen

    Dort kannst du unter Local Networks die gewünschten Subnetze hinterlegen.

    Bei der Anmeldung am SSLVPN bekommt dein Laptop das notwendige Routing übertragen und du kannst auf die PCs dahinter zugreifen.

    Gruß

    Matthias

    Cheers,

    Matt

  • 0 in reply to Matt928

    Danke für Deine Antwort, Matthias.

    Ich habe das so konfiguriert, wie Du gesagt hast.

    Dass die Routen übertragen werden, kann ich sehen. Sie werden auch in der Routing Tabelle des Hosts, der die VPN-Verbindung aufmacht, angezeigt.
    Pingen kann ich jedoch leider keinen Host hinter meinem lokalen 77er Netzwerk. Die Hosts dahinter sind nicht erreichbar.

    LG
    Steffi

  • 0 in reply to Stefanie Leisestreichler

    Hast du den Haken "Automatic firewall rules" zu deiner Config im SSLVPN Profil mit aktiviert?
    Ggf. fehlt dir nur noch das entsprechende Firewalling.

    Gibt das Log nähere Informationen her?

    Cheers,

    Matt

  • 0 in reply to Matt928

    Ich habe den Haken für "Automatic firewall rules" weg genommen und nochmals probiert, leider ohne Erfolg.

    Die Logs der Firewall und SSL zeigen keine Einträge für die IP 192.168.7.1, die ich zu pingen versuchte...

  • 0 in reply to Stefanie Leisestreichler

    OK, hast du die Firewall Rules mal geprüft?

    Kannst du die relevanten IPs über die UTM pingen? (Support --> Tools --> Ping Check)?

    Wenn du einen Trace Route auf dem über SSLVPN eingewählten PC machst - wie weit kommst du denn? Bis zur UTM solltest du kommen.

    Viele Grüße

    Matthias

    Cheers,

    Matt

  • 0 in reply to Matt928

    Die 192.178.7.1 von der UTM aus zu pingen funktioniert einwandfrei mit einer round trip time von ca. 19 ms

    Das Trace mit der IP 192.168.7.1 auf dem per OpenVPN verbundenen Laptop zeigt mir, dass ich bis zur IP 10.242.2.1 komme. Das wird sicherlich die IP der UTM auf der anderen Seite des Tunnels sein. Hier ist die round trip time ca. 26 ms.

  • 0 in reply to Stefanie Leisestreichler

    OK, dann sollte das soweit alles passen.

    Die Windows Firewall ist auf den betreffenden PCs deaktiviert bzw. entsprechend konfiguriert?

    Prüfe mal bitte Folgendes:

    - Pinge den betreffenden PC auf dem über SSL VPN angemeldeten PC
    - öffne parallel das Firewall Log (Logging & Reporting --> View Logfiles --> Firewall --> Live Log)
    - siehst du hier den Traffic ankommen?
    - wird der Traffic geblocked (rot) oder geht das Firewalling soweit durch (grün)?

    Viele Grüße

    Matthias

    Cheers,

    Matt

  • 0 in reply to Matt928

    Ich habe parallel die 192.168.7.1 gepingt und das Firewall Live Log angesehen.

    In dem Firewall Log ist zu diesem Zeitpunkt kein einziger ICMP-Request aufgepoppt, weder accept noch deny.

  • 0 in reply to Stefanie Leisestreichler

    OK, das würde aber bedeuten, dass dein SSLVPN Host die Route nicht findet und deshalb die ICMP Requests nicht an der Firewall ankommen.

    Siehst du dein Netz aufgeführt, wenn du auf dem Host einen "route print" im cmd ausführst?

    Cheers,

    Matt

  • 0 in reply to Matt928

    Ja, sehe ich:

    192.168.7.0/24 via 10.242.2.1 dev tun0

    Der Client, der derzeit verbunden ist, ist eine Linux-Box. Aber das ist ja egal.

Unfiltered HTML