Sophos XGS2100 Site-to-Site Tunnel Problem

Mach einen Packet Capture auf dem Webadmin und schau dir die Pakete an. 
https://www.youtube.com/watch?v=P7irxR4Sh3g&t=32s&pp=ygUYU29ocG9zIHhnIHBhY2tldCBjYXB0dXJl 
Wenn du Pakete in den Tunnel siehst (Also Out ipsec0) ist es kein Sophos Problem. 

Guten morgen LuCar Toni,

Also ich denke mal das es aus der Sophos heraus geht. Hier mal ein Screenshot:

Doch kann es sein das ich zusätzlich noch eine NAT Regel in der Sophos erstellen muß? Sorry das ich das Frage, aber

ich habe bisher noch nicht soviel erfahrungen im Aufbau und Konfiguration von Site-to-Site Tunnel wo noch eine FritzBox

zwischen ist.

Guten morgen LuCar Toni,

Also ich denke mal das es aus der Sophos heraus geht. Hier mal ein Screenshot:

Doch kann es sein das ich zusätzlich noch eine NAT Regel in der Sophos erstellen muß? Sorry das ich das Frage, aber

ich habe bisher noch nicht soviel erfahrungen im Aufbau und Konfiguration von Site-to-Site Tunnel wo noch eine FritzBox

zwischen ist.

Guten Morgen Hans-Juergen Guenter ,

siehst du in den Logs der Fritzbox etwas, wenn du den Ping absetzt?

siehst du auch in den Logs der Cisco Firewall etwas?

Für was hängt die Fritzbox noch vor der Sophos, weshalb betreibst du die Sophos nicht als direktes Gateway?

Hallo Thomas_XG,

also auf der FritzBox sehe ich nichts in den Logs. Auf der Meriaki habe ich auch nichts gefunden.
Kann das ganze auch nur Remote testen, da ich nicht vorort bin.

Die Fritzbox hängt vor der Sophos weil die Telekom dort kein Modem sondern die Fritzbox als
Übergabepunkt gesetzt hat.

Was mich halt wundert ist das ich aus dem Standort wo die Meriaki FW steht heruaus ohne Probleme
Pingen kann und das ohne Paketverluste. Deswegen denke ich mal das ich vielleicht noch irgendwas
aus der Sophos Seite vergessen habe zu konfigurieren.

Muß ich vielleicht eine NAT Regel erstellen für die Site-to-Site VPN Verbindung?

Wenn du von der Sophos aus ein trace route auf den Server am Standort B machst, passt hier der weg?

Eine NAT-Regel ist nicht notwendig, außer du hast ein eigens VPN-Netz das umgesetzt werden muss oder du ein 1:1 NAT machen musst.

Ich nehme an, bei dir gibt es nur ein Subnet mit 192.168.0.0/24?

LuCar Toni eine Verständisfrage meiner Seite: muss unter Device access in der VPN-Zone Ping/Ping6 aktiv sein, wenn man einen Ping nach extern setzen möchte, oder gilt das nur für Eingehende requests?

Kannst du bitte unter Administration - Licensing überprüfen, ob deine Lizenz aktiv ist? 

Hallo LuCar Toni,

ja die Lizenz ist Aktive

Hallo Thomas_XG,

sorry das ich das frage, aber wie mache ich ich Traceroute direkt von der Sophos aus?

Wieso wird dann ein NAT gemacht im Tunnel? 
Hast du über die CLI ein NAT konfiguriert? 

LuCar Toni 

nein ich habe über die CLI nichts konfiguriert. Alles nur über die Weboberfläche und ich habe kein NAT Konfiguriert.

Also wir sehen hier im Packet Capture ein NAT, das wird wahrscheinlich das Problem auslösen. 

Die Frage ist, woher es kommt. Du siehst rechts keine NAT ID, also greift die NAT Regeln nicht. Kann also nur noch eins der folgenden Dinge sein: 
Lizenz abgelaufen
CLI NAT: https://doc.sophos.com/nsg/sophos-firewall/19.5/help/en-us/webhelp/onlinehelp/CommandLineHelp/DeviceConsole/Set/index.html#advanced-firewall 
NAT im IPsec selbst (Tunnel) konfiguriert.