Sophos XGS2100 Site-to-Site Tunnel Problem

Mach einen Packet Capture auf dem Webadmin und schau dir die Pakete an. 
https://www.youtube.com/watch?v=P7irxR4Sh3g&t=32s&pp=ygUYU29ocG9zIHhnIHBhY2tldCBjYXB0dXJl 
Wenn du Pakete in den Tunnel siehst (Also Out ipsec0) ist es kein Sophos Problem. 

Guten morgen LuCar Toni,

Also ich denke mal das es aus der Sophos heraus geht. Hier mal ein Screenshot:

Doch kann es sein das ich zusätzlich noch eine NAT Regel in der Sophos erstellen muß? Sorry das ich das Frage, aber

ich habe bisher noch nicht soviel erfahrungen im Aufbau und Konfiguration von Site-to-Site Tunnel wo noch eine FritzBox

zwischen ist.

Guten Morgen Hans-Juergen Guenter ,

siehst du in den Logs der Fritzbox etwas, wenn du den Ping absetzt?

siehst du auch in den Logs der Cisco Firewall etwas?

Für was hängt die Fritzbox noch vor der Sophos, weshalb betreibst du die Sophos nicht als direktes Gateway?

Guten Morgen Hans-Juergen Guenter ,

siehst du in den Logs der Fritzbox etwas, wenn du den Ping absetzt?

siehst du auch in den Logs der Cisco Firewall etwas?

Für was hängt die Fritzbox noch vor der Sophos, weshalb betreibst du die Sophos nicht als direktes Gateway?

Hallo Thomas_XG,

also auf der FritzBox sehe ich nichts in den Logs. Auf der Meriaki habe ich auch nichts gefunden.
Kann das ganze auch nur Remote testen, da ich nicht vorort bin.

Die Fritzbox hängt vor der Sophos weil die Telekom dort kein Modem sondern die Fritzbox als
Übergabepunkt gesetzt hat.

Was mich halt wundert ist das ich aus dem Standort wo die Meriaki FW steht heruaus ohne Probleme
Pingen kann und das ohne Paketverluste. Deswegen denke ich mal das ich vielleicht noch irgendwas
aus der Sophos Seite vergessen habe zu konfigurieren.

Muß ich vielleicht eine NAT Regel erstellen für die Site-to-Site VPN Verbindung?

Wenn du von der Sophos aus ein trace route auf den Server am Standort B machst, passt hier der weg?

Eine NAT-Regel ist nicht notwendig, außer du hast ein eigens VPN-Netz das umgesetzt werden muss oder du ein 1:1 NAT machen musst.

Ich nehme an, bei dir gibt es nur ein Subnet mit 192.168.0.0/24?

LuCar Toni eine Verständisfrage meiner Seite: muss unter Device access in der VPN-Zone Ping/Ping6 aktiv sein, wenn man einen Ping nach extern setzen möchte, oder gilt das nur für Eingehende requests?

Hallo Thomas_XG,

sorry das ich das frage, aber wie mache ich ich Traceroute direkt von der Sophos aus?

Thomas_XG 

Danke Dir, habe das komplett übersehen :-)

 Thomas_XG 

Hallo Thomas,

also ich habe ein Traceroute von der Sophos aus gemacht, da gab es kein erfolgreiches Ergebnis. Auch ein
Ping von der Sophos zu einem Client im Remote Netzwerk brachte 100% Packet verluste.

Thomas_XG LuCar Toni 

Ich habe mal eine Routenauflösung gemacht dabei kam folgendes Ergebnis:

Schau mal ob im IPsec Tunnel ein NAT konfiguriert ist, wie es LuCar gesagt hat:

Thomas_XG 

Nein dort ist kein NAT konfiguriert.

Mach mal bitte einen Screenshot von deinen NAT-Rules