SSL VPN-Datenverkehr über einen vorhandenen IPsec-Tunnel

Ja, wir brauchen kein NAT für die VPN-zu-VPN-Regel, nur für VPN-zu-LAN lassen Sie sogar das Quellnetzwerk und das Zielnetzwerk auch beliebig sein > klicken Sie auf Linked NAT und wählen Sie dann einfach MASQ in SNAT!
Stellen Sie sicher, dass diese Regeln ganz oben stehen!

Du kannst kein MASQ für den Tunnel definieren.

Du musst ein Object dort erstellen, welches aus dem IPsec Tunnel (Local Network) entspricht. Das heißt, erstell einfach eine IP Host aus dem 192.168. Netz von dir und wähle es im NAT als Translated to aus.

Das sollte funktionieren.

Siehe auch: www.youtube.com/watch

Hallo Toni, 

danke für die Info , mit dem MASQ hat es nicht funktioniert. 

meinst du einfach irgendein IP aus dem LAN netz 192.168.xx.x in SNAT eintragen ? 

Genau. Am besten eine, die nicht existiert bzw. aktiv verwendet wird. 

vom SSL VPN Client kann ich leider immer noch kein Ping an das Externe Gerät senden , Paketerfassung in der FW zeit nichts an

Wenn ich vom LAN netz ein Ping auf das Externe Gerät setzt zeit er aber jetzt im der Packeterfassung den Ping an aber mit der Quell-IP wo ich der NAT Regel im SNAT eingetragen hab. das ist doch nicht Korrekt oder. 

Ich komm langsam nicht mehr klar :) 

Wenn du im Packet Filter der Firewall nichts siehst, stimmt dein SSLVPN Config nicht. In der SSLVPN Config vom User musst du auch das Remote Netz von dem anderen Standort angeben. Ansonsten schickt der Client nichts zur Firewall. 

Verwenden Sie die oben erwähnte KBA für die Paketerfassung, die dabei hilft, den Verkehrsfluss zu bestimmen

Hi snowfreakxxl

Wie von LuCar Toni erwähnt, liegt das Problem in der Konfiguration der SSL-VPN-Richtlinie (Fernzugriff) und im Routing.

SSL-VPN-Richtlinie bearbeiten (Fernzugriff)

Gehen Sie zu VPN > SSL VPN (Fernzugriff).
Bearbeiten Sie die bestehende SSL-VPN-Fernzugriffsrichtlinie und fügen Sie das IPsec-Fernnetz unter Erlaubte Netzwerkressourcen hinzu.
Klicken Sie auf Übernehmen.

Erstellen eines IP-Netzwerkobjekts für den IPv4-Lease-Bereich des SSL-VPN-Fernzugriffs

So ermitteln Sie den aktuellen IPv4-Lease-Bereich für SSL VPN (Fernzugriff):
1. gehen Sie zu Konfigurieren > VPN.
2. klicken Sie auf VPN-Einstellungen anzeigen.

3. suchen Sie den IPv4-Lease-Bereich

In diesem Beispiel ist der aktuelle IPv4-Lease-Bereich 10.81.234.5 - 10.81.234.55

4.Erstellen Sie unter System > Host und Dienste > IP-Host ein Netzwerkobjekt für den IPv4-Lease-Bereich.

5. Klicken Sie auf Speichern.

Adding a firewall rule

1. Gehen Sie zu Regeln und Richtlinien > Firewall-Regeln > Firewall-Regel hinzufügen > Neue Firewall-Regel.
2 Konfigurieren Sie die Einstellungen wie unten gezeigt:

Quellzonen :VPN
Quellnetzwerke und -geräte : SSL-VPN-Fernzugriff IPv4-Lease-Bereich

Ziel-Zonen: VPN
Ziel-Netzwerke: IPsec-Fernnetzwerk
Dienste: ANY

Klicken Sie auf Verknüpfte NAT-Regel erstellen.

Klicken Sie im Feld Translated Source (SNAT) auf die Dropdown-Liste und dann auf Create New > IP Address und erstellen Sie einen Eintrag für die IP der lokalen LAN-Schnittstelle

.

Klicken Sie auf "Speichern".
Der folgende Screenshot zeigt die verknüpfte NAT-Regel. Klicken Sie auf "Speichern".

Klicken Sie auf Speichern, um die Firewall-Regel zu speichern.

Hinzufügen einer IPsec-Route

Greifen Sie über SSH auf die Sophos Firewall CLI der Hauptniederlassung zu.
Wählen Sie Option 4 für Device Console aus dem Menü.
Fügen Sie die IPsec-Route mit dem folgenden Befehl hinzu:

console> system ipsec_route add net 10.xxx/255.xxx tunnelname IPsecTunnel (Name des IPsec-Tunnels)

d.h.: console> system ipsec_route add net 10.1.10.0/255.255.255.0 tunnelname To_Branch_Office

Hinweis: 10.1.10.0 ist nur ein Beispiel. Fügen Sie das Subnetz des tatsächlichen Remote-Netzwerks hinzu, das auf dem IPSEC Site to Site Tunnel beworben wird.

Um zu überprüfen, ob die IPsec-Route erfolgreich hinzugefügt wurde, geben Sie den folgenden Befehl ein:

console> system ipsec_route show tunnelname host/network netmask to_branch_office 10.1.10.0 255.255.255.0

Vielen Dank und beste Grüße

Hallo

Danke für die Anleitung die kenne ich schon :) 

Frage zur IPsec Route über SSH

Warum genau muss ich den die IPsec Route über ssh anlegen ? ich hab doch schon eine IPSec route zum gerät. gibt es da nicht ne andere Lösung ? ich müsste es ja dann fast für 50 Externe Geräte machen wo zu uns eine Verbindung aufbauen.

Funktioniert es denn nach der Änderung oben? 

Die IPsec Route ist nicht notwendig, wenn du mit einem NAT arbeitest, welches "existiert". Das bedeutet, wenn du mit dem Local Network von dir arbeitet.