Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 18 replies
  • Subscribers 10 subscribers
  • Views 2400 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Admin-GUI Zugriff in anderen Standort (IPSec Side2Side)

Joerg Frenker

Hallo

wir sind aktuell dabei unsere vorhanden Geräte eines Mitbewerbers gegen Endgerät von Sophos auszutauschen und stoßen dabei auf ein Problem:

- Der Zugriff auf die Management-Webseite im Remotestandort ist nicht möglich, die Verbindung timed einfach aus

An der lokalen Firewall wird der Traffic korrekt an den anderen Standort übergeben, aber auf der Firewall am Remotestandort sieht man auch in den Logs nichts, die "Haken" in "Administration/Device Access" sind für VPN gesetzt, die Verbindung via SSH funktioniert auch anstandslos, lediglich der Zugriff auf die Weboberfläche möchte nicht. Neugestartet wurde das Gerät bereits. Aus dem Remotestandort kann ich auch Problemlos auf das Gerät via Webbrowser zugreifen.

Ich habe einen vergleichbaren Thread hier im Forum gefunden (https://community.sophos.com/sophos-xg-firewall/f/discussions/104507/site-tosite-vpn-cannot-access-xg-on-remote-site-using-normal-4444-port/389685#389685) das hat aber leider auch nicht funktioniert.

Alle anderen Zugriffe & Dienste "hinter" der Sophos funktionieren ohne Probleme, ausschließlich der Zugriff auf die Admin-Webseite der Sophos will nicht.

Technische Daten:

Sophos XG330 im HA Modus am Hauptstandort 

Sophos XG115 im Remotestandort

Firmwareversion: SFOS 18.5.2 MR-2 Build 380

HTTPS Port: 4444

Tunnel: IPSec mit IKEv2 Policy (Zertifikatsauthentifizierung), Policies sind nicht angepasst

Kein Webproxy innerhalb des Routings (Internes Netz <-> Remotestandort)

Vielleicht hat ja jemand einen Tipp wie man das lösen kann :-)



Added TAGs
[edited by: Erick Jan at 5:23 AM (GMT -7) on 30 May 2023]
  • 0

    Mit Central wäre die Administration ohne den ganzen Aufwand möglich (sicher durch Rückkanal-Verbindungen) und man kann Backups verwalten, Gruppen erstellen, Templates nutzen uvm. Central Firewall Management ist kostenfrei

    www.youtube.com/watch

  • 0

    Das Problem ist bekannt und wird vom Webadmin selbst ausgelöst. Die MTU Size vom Webadmin Website ist nicht korrekt, daher "passen" die Pakete nicht durch den Tunnel. 

    Ein Route Based VPN Tunnel sollte das Problem lösen und wäre auch die bessere Technologie. Alternativ auch Central Management. 

    __________________________________________________________________________________________________________________

  • 0 in reply to LuCar Toni

    Hallo

    Erstmal einmal vielen Dank für die Antworten

    Den Tunnel in Routing Modus kann ich in der Niederlassung leider nicht einrichten, da wir da hinter einer anderen Firewall stehen und die Verbindung von der RemoteSite initiiert werden muss.

    Muss man bei der MTU Size "probieren" bis man den passenden Wert bekommt oder gibt es da einen Wert womit ist "garantiert" funktioniert?

    CentralManagement ist angedacht, allerdings haben wir uns das noch nicht angesehen.

  • 0 in reply to LuCar Toni

    Hi Toni,

    das erklärst du mir mal bitte! Die MTU-Size ist doch eine Eigenschaft am physischen Interface, wie soll ein Webdienst das falsch verwenden?

    Mit freundlichem Gruß, best regards from Germany,

    Philipp Rusch

    New Vision GmbH, Germany
    Sophos Silver-Partner

    If a post solves your question please use the 'Verify Answer' button.

  • 0 in reply to PhilippRusch

    Tunnel technologien haben oft das Problem, wenn ein Paket eine Packet Size von 1500 haben, dass sie fragmentiert werden und dann durch den Tunnel geschickt werden. Wenn das fragmentieren nicht gemacht wird, ist das Paket 1500 bytes groß, aber der Tunnel kann beispielsweise nur 1472 abhandeln. Dadurch wird das Paket vom ISP verworfen, da der ISP ein Tunnel Paket nicht fragmentieren kann in diesem Szenario. Die Firewall macht hier kein MTU Path discovery. 

    Wenn man nun die MSS auf 900 oder ähnliches schaltet, wird das Paket automatisch vorher kleiner gepackt und wird somit nicht verworfen. 

    Siehe auch der Workaround auf der Shell: 

    iptables -t mangle -I POSTROUTING -d 192.168.190.1/32 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 900

    Damit erzeugst du vom SYN Paket eine kleinere MSS und es wird nicht im großen Paket geschickt.

    Anwendungen können defakto auch DF Flags setzen. 

    Wird auch hier beschrieben: https://www.elektronik-kompendium.de/sites/net/0812211.htm#:~:text=Unterschied%3A%20MTU%20und%20MSS&text=Die%20MTU%20gibt%20die%20Gr%C3%B6%C3%9Fe,Also%20zusammen%20mindestens%2040%20Byte.

    __________________________________________________________________________________________________________________

  • 0 in reply to LuCar Toni

    Hi,

    das war nicht meine Frage, ich habe den Zusammenhang zum Webadmin Dienst nicht verstanden.

    Der existiert auch offenbar nciht. Der Rest der Erklärung ist "normale Technik".

    OK - ich bin beruhigt, nix Neues!

    Mit freundlichem Gruß, best regards from Germany,

    Philipp Rusch

    New Vision GmbH, Germany
    Sophos Silver-Partner

    If a post solves your question please use the 'Verify Answer' button.

  • 0 in reply to PhilippRusch

    Der Webadmin arbeitet mit einer MSS von 8960. Damit sprengt er in der Regel jeden Tunnel. Wer das runterschaltet, sollte damit Erfolg haben. 

    __________________________________________________________________________________________________________________

  • 0 in reply to LuCar Toni

    muss das lediglich auf der RemoteSite oder auf beiden Seiten eingestellt werden? Wie bereits oben beschrieben, habe ich das bereits getestet und es führte nicht zum Erfolg.

  • 0 in reply to Joerg Frenker

    Ich würde sowieso auf Central zurückgreifen. Das ist die bessere Alternative. 

    __________________________________________________________________________________________________________________

  • 0 in reply to LuCar Toni

    ja und nein, Cloud-Management ist nicht wirklich eine Option, wir würden da eher auf den Firewall Manager zurückgreifen - der aber EoL ist :/

Unfiltered HTML