SSL VPN-Datenverkehr über einen vorhandenen IPsec-Tunnel

Hi snowfreakxxl

Wie von LuCar Toni erwähnt, liegt das Problem in der Konfiguration der SSL-VPN-Richtlinie (Fernzugriff) und im Routing.

SSL-VPN-Richtlinie bearbeiten (Fernzugriff)

Gehen Sie zu VPN > SSL VPN (Fernzugriff).
Bearbeiten Sie die bestehende SSL-VPN-Fernzugriffsrichtlinie und fügen Sie das IPsec-Fernnetz unter Erlaubte Netzwerkressourcen hinzu.
Klicken Sie auf Übernehmen.

Erstellen eines IP-Netzwerkobjekts für den IPv4-Lease-Bereich des SSL-VPN-Fernzugriffs

So ermitteln Sie den aktuellen IPv4-Lease-Bereich für SSL VPN (Fernzugriff):
1. gehen Sie zu Konfigurieren > VPN.
2. klicken Sie auf VPN-Einstellungen anzeigen.

3. suchen Sie den IPv4-Lease-Bereich

In diesem Beispiel ist der aktuelle IPv4-Lease-Bereich 10.81.234.5 - 10.81.234.55

4.Erstellen Sie unter System > Host und Dienste > IP-Host ein Netzwerkobjekt für den IPv4-Lease-Bereich.

5. Klicken Sie auf Speichern.

Adding a firewall rule

1. Gehen Sie zu Regeln und Richtlinien > Firewall-Regeln > Firewall-Regel hinzufügen > Neue Firewall-Regel.
2 Konfigurieren Sie die Einstellungen wie unten gezeigt:

Quellzonen :VPN
Quellnetzwerke und -geräte : SSL-VPN-Fernzugriff IPv4-Lease-Bereich

Ziel-Zonen: VPN
Ziel-Netzwerke: IPsec-Fernnetzwerk
Dienste: ANY

Klicken Sie auf Verknüpfte NAT-Regel erstellen.

Klicken Sie im Feld Translated Source (SNAT) auf die Dropdown-Liste und dann auf Create New > IP Address und erstellen Sie einen Eintrag für die IP der lokalen LAN-Schnittstelle

.

Klicken Sie auf "Speichern".
Der folgende Screenshot zeigt die verknüpfte NAT-Regel. Klicken Sie auf "Speichern".

Klicken Sie auf Speichern, um die Firewall-Regel zu speichern.

Hinzufügen einer IPsec-Route

Greifen Sie über SSH auf die Sophos Firewall CLI der Hauptniederlassung zu.
Wählen Sie Option 4 für Device Console aus dem Menü.
Fügen Sie die IPsec-Route mit dem folgenden Befehl hinzu:

console> system ipsec_route add net 10.xxx/255.xxx tunnelname IPsecTunnel (Name des IPsec-Tunnels)

d.h.: console> system ipsec_route add net 10.1.10.0/255.255.255.0 tunnelname To_Branch_Office

Hinweis: 10.1.10.0 ist nur ein Beispiel. Fügen Sie das Subnetz des tatsächlichen Remote-Netzwerks hinzu, das auf dem IPSEC Site to Site Tunnel beworben wird.

Um zu überprüfen, ob die IPsec-Route erfolgreich hinzugefügt wurde, geben Sie den folgenden Befehl ein:

console> system ipsec_route show tunnelname host/network netmask to_branch_office 10.1.10.0 255.255.255.0

Vielen Dank und beste Grüße

Hallo

Danke für die Anleitung die kenne ich schon :) 

Frage zur IPsec Route über SSH

Warum genau muss ich den die IPsec Route über ssh anlegen ? ich hab doch schon eine IPSec route zum gerät. gibt es da nicht ne andere Lösung ? ich müsste es ja dann fast für 50 Externe Geräte machen wo zu uns eine Verbindung aufbauen.

Hallo Bharat J

Danke das du die hier einbringst 

Also auf der gegenstelle ist das SSL VPN Subnetz eingetragen und verbunden

(nur zum Verständnis :) , die gegenstelle sind kein Sophos FW es sind Mobilfunkrouter von WELOTEC wo mit unserer Anlage beim Kunden Verbunden sind und ein IPsec Tunnel aufbauen um ein Paar Daten ins LAN Netzwerk zu uns liefern zu Auswerten usw. dies Funktioniert auch sehr gut.)

Es muss also an den Regeln bei liegen da ja die Verbindung zum SSL VPN Subnetz steht

Hast du kein NAT Regel erstellt müssen? 

I suspect a problem with your WELOTEC cellular router

Do you manage the same WELOTEC cellular router or do you have access to it?

You can check if you can add a static route for the SSL VPN network to route traffic from WELOTEC's cellular router.

If you receive the following traffic flow from Sophos XG, it means that Sophos XG traffic is forwarded with ICMP request packets but no response packets are received from the remote end WELOTEC cellular router due to wrong or missing configuration 

If the routes from the cellular router are correct, Sophos XG will receive the following packet flow:

Share that you had a look 

Der Datentransfer in unser LAN Netzwerk (192.168.xx.xx Funktioniert super , da liegt ja nicht das Problem. 

Der Datentransfer in unser SSL VPN Netzwerk 10.xx.xx.xx (Homeoffice User) zu unseren Externen Geräte  172.xx.xx.xx da funktioniert es nicht. 

Im Externen Gerät ist das SSL VPN  Netzwerk bekannt, sonst wäre ja die Verbindung Rot 

snowfreakxxl said:

Im Externen Gerät ist das SSL VPN  Netzwerk bekannt, sonst wäre ja die Verbindung Rot 

The connection shows you the GREEN IPSec VPN tunnel on the Sophos XG page, although you have added subnets, but the routing problem with the WELOTEC cellular router still persists.

You can check this by placing Sophos XG in place of the cellular router. I think you do not have access to the cellular router 

Regards

Also das kann nicht sein da die Externen Geräte  mit unser FW kommunizieren  und zwar in unser LAN Netzwerk da gibt es keine Probleme. 

Sie meinen also, der WAN-zu-LAN-Verkehr funktioniert gut, aber der VPN-zu-LAN-Verkehr funktioniert nicht?

Ja WAN zu LAN und LAN zu WAN funktioniert über IPsec Verbintung gut (Kommuniziert in beide Richtungen). 

Jetzt soll es auch über SSL-VPN funktionieren also vom Mitarbeiter aus dem Homeoffice auf das 172.xx.x.x. Netz.

Ich werde morgen mal eine Zeichnung machen , vielleicht ist das besser für das Verständnis  

Warum fügen Sie dann in diesem Szenario für die Regel WAN to LAN nicht die VPN-Zone zusammen mit der WAN-Zone in der Quellzone hinzu?

Noch einmal. Das hat absolut nichts mit der Firewall zu tun. 

Es ist die SSLVPN Konfiguration.

Der SSLVPN Client entscheidet, was er durch den Tunnel schickt. Das wird in den "Permitted Networks" in SSLVPN entschieden.

Danach kannst du in der SSLVPN Config bzw. wenn du den SSLVPN tunnel startest, schauen, ob die Route zu 172. gesetzt wird.

Wenn nicht, brauchst bzw. kannst du auf der Firewall so viel machen wie du willst - der Client schickt keine Daten zur Firewall. 

Hallo Toni, 

ja der Meinung bin ich auch, komm langsam voll durcheinander:) 

werde morgen nochmals die ganze regeln und config durchgehen. 

in der ssl vpn config vom Client wird das 172 Netz nicht aufgelistet obwohl ich es in der ssl vpn Fernzugriff in der FW hinzugefügt habe ,und die neue Client config beim Client installiert hab, es wird nur das 192 Netz aufgelisteten 

nur noch zur Info , wir benutzen noch die alte vpn Client Software nicht die connect 2 aber ich denk mal das hat nicht damit zutun 

Hallo Toni, 

ja der Meinung bin ich auch, komm langsam voll durcheinander:) 

werde morgen nochmals die ganze regeln und config durchgehen. 

in der ssl vpn config vom Client wird das 172 Netz nicht aufgelistet obwohl ich es in der ssl vpn Fernzugriff in der FW hinzugefügt habe ,und die neue Client config beim Client installiert hab, es wird nur das 192 Netz aufgelisteten 

nur noch zur Info , wir benutzen noch die alte vpn Client Software nicht die connect 2 aber ich denk mal das hat nicht damit zutun 

Wie von LuCar Toni erwähnt, hat dies absolut nichts mit der Firewall zu tun.

Um Ihnen weiter zu helfen, können wir den Paketfluss besprechen. Bitte teilen Sie den Screenshot von SSL VPN wie unten und überprüfen Sie den Paketfluss wie im Snapshot:

Go to MONITOR & ANALYZE-->Diagnostics-->Packet Capture Click on configure Enter BPF string host 192.168.3.10 and proto ICMP and turn of Capture and click on Refresh and share the screenshot

Share the output for : 

console> system ipsec-acceleration show

Regards

Hab jetzt beim Client auch SophosConnect_2.2.75 installiert 

Also der Client mit der SSL-VPN Verbindung bekommt die Subnetz IP nicht zugeteilt :( 

In der SSL VPN Fernzugriff an der FW ist das Subnetz eingetragen 

Kannst du uns alle SSLVPN Profile bitte mal zeigen? 

sorry das ich so dumm frag was meinst du genau ? in der FW die SSL-VPN-Einstellungen oder beim Client die log 

Du editierst die ganze Zeit ein SSLVPN Profile auf der Firewall. Ist es das einzige Profile? 

Und könntest du uns deine Global SSLVPN Configs zeigen? 

Könnte das dein Problem auslösen: https://support.sophos.com/support/s/article/KB-000043900?language=en_US

Ja wir haben nur ein Profil .. SSL VPN Access (Fernzugriff)

Global SSLVPN Config

SFOS 18

Sie haben nur ein SSL-VPN-Profil unter VPN > SSL-VPN (Fernzugriff), das ist seltsam ?

Bitte gehen Sie zu MONITOR & ANALYZE-->Diagnostics-->Packet Capture Klicken Sie auf configure Geben Sie BPF string : host 192.168.28.10 und proto ICMP ein und schalten Sie Packet Capture ein und klicken Sie auf Refresh mit kontinuierlichem Ping an 192.168.28.10 nach der Benutzerverbindung und teilen Sie einen Screenshot

Ja wir haben nur ein user Profil / Natürlich haben wir User Gruppen usw. 

Irgendwie hab ich das Gefühl das ich über das User Portal nicht die Aktuellen Client Config Downloaden kann.

Ich hab aus der SSL-VPN Config (Fernzugriff) das Hausnetz weg raus gemacht und hab nur das EXT244 Netz drinnen gelassen, und die User Config am Client neu installiert. Es War immer noch das 192.168.28. netz drin statt das 172.30.xxx.0 .

Okay, das sieht gut aus. Erstellen Sie nun eine neue SSL-VPN-Richtlinie, fügen Sie die Subnetze 192.x.x.x/22 und 172.x.x.x/24 mit dem Typ "Netzwerk" hinzu, speichern Sie das Profil und fügen Sie es demselben Benutzer oder einem neuen Benutzer hinzu. 

Erstellen Sie ein neues Host-Netzwerk für 172.x.x.x/24 und wenden Sie auf SSL VPN eine neue SSL VPN-Richtlinie an. 

OK hab ich gemacht