AMIT IDG500 LTE Router SSL-VPN Standort-zu-Standort. Benutzername/Kennwort zu lang

Hello Roman,

I apologize for the inconvenience you have faced, As of now, SSL VPN site to site will work between SF to SF and between SF to UTM9, But not with SF/UTM9 to any other FWs

You may want to consider IPsec site-to-site:  https://doc.sophos.com/nsg/sophos-firewall/18.5/help/en-us/webhelp/onlinehelp/AdministratorHelp/VPN/SiteToSiteVPN/VPNCreateSiteToSiteIPsecVPN/index. html#add-an-ipsec-connection-at-the-branch-office

Many thanks for your time and patience and thank you for choosing Sophos

Cheers,

Hallo Raphael,

danke für die Rückmeldung.

IPsec geht leider nicht, da der LTE Router eine dynamische IP Adresse vom Internet Provider erhält.

Wenn ich die Verbindung als SSL-VPN (Fernzugriff) einrichte kann ich mich mit dem LTE Router als Client mit der XG verbinden.

Auch die Kommunikation mit einem PC am LTE Router zum Server über die XG funktioniert.

Ich benötige aber den Zugriff rückwärts.

Ich möchte vom Server auf Geräte hinter dem LTE Router über SSL-VPN zugreifen.

Cheers

Roman

Hallo Raphael,

danke für die Rückmeldung.

IPsec geht leider nicht, da der LTE Router eine dynamische IP Adresse vom Internet Provider erhält.

Wenn ich die Verbindung als SSL-VPN (Fernzugriff) einrichte kann ich mich mit dem LTE Router als Client mit der XG verbinden.

Auch die Kommunikation mit einem PC am LTE Router zum Server über die XG funktioniert.

Ich benötige aber den Zugriff rückwärts.

Ich möchte vom Server auf Geräte hinter dem LTE Router über SSL-VPN zugreifen.

Cheers

Roman

Hello Roman,

If the remote site has only dynamic IP, The way this could be achieved is by using IPsec site-to-site, but you need to have DDNS on the remote end (should the remote router support it) , otherwise ths would not be feasible. 

Many thanks for your time and patience and thank you for choosing Sophos

Cheers,

Wir bauen häufig IPSec verbindungen von Geräten mit dynamischer IP zur Sophos Firewall.

Was genau geht denn da nicht?

Wird auf der XG "auf Verbindung warten" eingestellt, kann als Remote IP ein Stern (*) angegeben werden und die Remote-IP ist egal.

Hallo

sorry für die späte Rückmeldung.

Mit IPsec hatte ich noch nicht viel zu tun gehabt...hab mich aber gleich darauf gestürzt und der Tunnel steht.

Jetzt habe ich ein weiteres Problem...

Ich kann in beider Richtungen Pingen aber andere Dienste gehen nicht.

Ich möchte vom Server über den Tunnel auf die Weboberfläche der Messgeräte zugreifen.

Auf dem Server sehe ich auch (Edge/Firefox und Co.) das versucht wird die Seite aufzubauen...

Ich habe zwei Firewall Regeln angelegt.

Eine für Inbound eine für Outbound.

Lokale Netz: 172.16.5.0/24

Remote Netz: 192.168.123.0/24

Zu diesen FW Regeln habe ich noch zwei NAT Regeln angelegt.

In der Protokollansicht der XG sehe ich auch wie die ICMP Packe über die angelegten Regeln durchgelassen werden.

Allerdings keine Webseite

Manchmal sehe ich auch, das die Anfrage nach draußen schon geblockt werden.

Da ICMP in beiden Richtungen durchgehen schließe ich ein Routingproblem aus.

Allerdings scheint es mir so, als ob die angelegten FW Regeln nicht greifen.

Evtl. hat jemand eine Idee dazu.

Besten Dank

Roman

Invalid traffic könnte bedeuten, dass die antwort-pakete nicht daher kommen, wo sie sollten.

Bei ICMP ist das egal, daher funktioniert das oft in solchem fall.

Gibt es einen 2. weg. den die pakete nehmen könnten?

Ist es evtl. ein testaufbau ohne internet, bei welchem die pakete auch ohne tunnel durchkommen könnten?

Ansonsten bei den regeln die zonen auf "any" lassen und nur mit adress-bereiche verwenden.