Important note about SSL VPN compatibility for 20.0 MR1 with EoL SFOS versions and UTM9 OS. Learn more in the release notes.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 18 replies
  • Subscribers 38 subscribers
  • Views 5973 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

ASG 8.x und Cisco 800 Series VPN DMZ

FischerFrank
Hallo,
ich hoffe das mir jemand helfen kann oder mir nen passenden "wink" mit dem Zaunpfahl geben kann [:)]

Folgendes Szenario  in Betrieb ist eine ASG 8.3x mit 3 Interfaces ( LAN 1 Intern , LAN 2 DMZ , LAN 3 WAN )

Internet und VPN alles funktioniert.

Jetzt mein Problem
auf der DMZ hängt eine Cisco 800 Box, die soll bzw muss per VPN erreichbar sein also habe ich alles was Entsprechend benötigt wird weiter geleitet 1:1 an die Cisco box.

Protokoll   Port
---------   ----
GRE (47)
ESP (50)
AH  (51)
udp (17)    500,4500
tcp (6)     10000


Hintergrund Firma X greift per VPN auf diese Box zu um später über diese wieder ins Netzwerk LAN 1 zu kommen. ( gaga ich weiß aber wird so gewünscht )

Allerdings wird keine Verbindung aufgebaut, hat mir jemand einen Tip?
Weiterleitung funktioniert da auf gleichem Weg, SSH auf das System also der Cisco möglich ist.

gruß und danke 
Frank


This thread was automatically locked due to age.
  • 0
    Wir haben das Problem gelöst!

    'Dateverkerziel' muss "External (Address)" sein - das Objekt das von WebAdmin erzeugt wurde als die Schnittstelle definiert war.  Wenn es nicht gewechselt soll, sollte man 'Zieldienst' immer leer lassen; in diesem Falle macht es nichts, aber es ist eine gute Gewohnheit zu pflegen.

    MfG - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    Hallo Bob,

    ok für 
    habe ich nun Datenverkehrsziel von Internet nach External WAN Address geändert.

    Möglichkeit das das das mit dem VPN auch zusammenhängt?
    da sieht nämlich alles wie folgt aus


    Kannst du mir erklären warum?

    Edit:
    ich hab gerade mal wieder ins LiveLog gesehen
    gleicher Eintrag wieder 
    Connection using NAT ist erlaubt IP : PORT nach IP : PORT SYN LEN=60
    die 2 nächsten Einträge 
    sind dann wieder gleich wie oben mit IP und PORT aber da steht dran DEFAULT DROP allerdings LEN=40



    gruß
    Frank
  • 0
    Sorry, Frank, my German-speaking brain isn't working again. [:(])

    In the Paketfilter log, you see fwrule="60001" - this means that the packet was dropped out of the INPUT chain.  That just confirms that the misconfiguration is the Traffic Selector in the NAT rule.

    In every DNAT, the Datenverkehrziel must always be an "(Address)" object created by WebAdmin when an Interface or an Additional Address is defined.  There are times when this isn't necessary, but always following that rule will keep you out of trouble.

    I don't see evidence of the following, so it's a precautionary note: Another common error is binding Host/Network definitions to a specific interface.  Always leave the definition with 'Interface: >' ('Schnitstelle: >').

    MfG - Bob (Bitte auf Deutsch weiterhin !)
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0
    :thumbsup: [H] - Perfekt !

    MfG - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    hm ok.
    nun mal prüfen und abwarten wie das mit dem IPSEC und der Cisco weiter gehen soll. 

    Danke schon mal für deine Hilfe Bob!

    gruß
  • 0
    Hey Bob,
    hoffe du kannst mir nochmal helfen.
    Ich hab von außen ja den Port für IPSEC z.B. 4500 weitergeleitet an intern Cisco Router.

    Warum und wie finde ich diese Regel 60021 ?


    2012:09:02-08:51:00 gateway ulogd[5479]: id="2000" severity="info" sys="SecureNet" sub="packetfilter" name="Packet logged" action="log" fwrule="60021" initf="ppp0" srcip="217.5.***.***" dstip="217.86.***.***" proto="17" length="140" tos="0x00" prec="0x00" ttl="250" srcport="4500" dstport="4500" 

    gruß und danke
  • 0
    name="Packet logged" action="log" fwrule="60021"

    "60021" => wegen 'Initpakete protokollieren' in der NATregel : Packetfilter logfiles

    MfG - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Unfiltered HTML