Probleme mit Sophos XGS IPsec-VPN (iPadOS) und Deutsche Telekom

EDIT: Wir haben die ganze Konfiguration bei einem anderen Kunden mit gleicher Hardware getestet. Dort haben wir das gleiche Szenario.

IPsec-Verbindung über iPadOS und SIM der Telekom DE = funktioniert nicht oder nur kurzzeitig - nicht reproduzierbar

IPsec-Verbindung über iPadOS und WLAN = funktioniert

IPsec-Verbindung über iPadOS und Hotspot von iPhone (Telekom DE) = funktioniert

Hi Dome96  - Could you help us to get the /log/charon.log from the device and also the logs from the Ipad in the failure case. Also the tcpdump for port 500 and 4500 on the SFOS will help.

Hi,

ich hab grade auch ähnliche Probleme, Sophos Support ist der Ansicht, die Telekom hat Routing Probleme.
Zumindest bei mir werden VPN Tunnel nicht korrekt geroutet.

Hatte gestern auch mit der Telekom telefoniert (Support für Company Connect IP Strecken).
Von den Zweigstellen und im Head Office gibt es da Probleme.

Von einem VDSL Zugang der Telekom läufts wiederum.

Hi,

ich hab grade auch ähnliche Probleme, Sophos Support ist der Ansicht, die Telekom hat Routing Probleme.
Zumindest bei mir werden VPN Tunnel nicht korrekt geroutet.

Hatte gestern auch mit der Telekom telefoniert (Support für Company Connect IP Strecken).
Von den Zweigstellen und im Head Office gibt es da Probleme.

Von einem VDSL Zugang der Telekom läufts wiederum.

Hi juergenb52  - Hast du noch immer die Probleme? Komischerweise besteht das Problem nur bei iPads, die über LTE der Telekom DE versuchen den IPsec-VPN aufzubauen. iPhone und Windows funktionieren einwandfrei .. 

VielenDank 

Hi,

nein,

meine Problem sind nach einem Reboot des XGS2100 HA Clusters und eines CISCO Switches (vor der Firewall) verschwunden.
Der Reboot der Telekom Router hatte keinen Einfluss.

Aber es gibt einen VPN/IKeV2 Bug im SFOS.

Reduzier mal die Anzahl der DH Gruppen auf < 4, die SFOS läuft da in einen Bug (finde den KB Artikel grade nicht).

 juergenb52 

The log you posted - is it in the successful tunnel establishment case or failure case? the log is incomplete, it only says IKEv1 session is up, no logs to indicate if RA client (iPad) gets virtual ip or not and there is no log related to Child SA establishment.

And your point related to "Reduce the number of DH groups to < 4, the SFOS runs into a bug (can't find the KB article right now)." - did you try this (reducing the no. of DH groups in your IPsec profile by cloning the DefaultRemoteaccess) while connecting your iPad with SFOS using IPsec RA and you ran into some issue? what is the issue you are running into?

This KB note mentions about reducing the number of DH group - https://support.sophos.com/support/s/article/KBA-000009744?language=en_US; this is a workaround for now, it will be fixed in v21.5 release and this is applicable to IKEv2; IPsec RA uses IKEv1.