Sophos XGS2100 Site-to-Site Tunnel Problem

Hallo Hans-Juergen Guenter ,

hast du bei Standort A unter Administration -> Device access -> bei VPN den Punkt "Ping/Ping6" aktiviert?

EDIT: Bitte vergiss meine Antwort, ich habe es falsch gelesen. Am Standort A steht ja eine Meraki. Passt bei Standort A die Firewall-Rule, sodass ICMP durchgelassen wird?

Hallo Thomas_XG,

kann das Problem vielleicht die Fritzbox sein die dazwischen ist am Standort B? Das deswegen die Ping-Pakete nicht wieder zurück kommen zum Server HAN an Standort B.

Hier mal die Netze die aktuell da sind:

Standort A (192.168.0.0) - (Feste IP aus 192.168.0.x) Meriaki (Öffentliche IP) - INTERNET - (Öffentliche IP) Fritzbox (192.168.178.0) - (Feste IP 192.168.178.x) Sophos (Feste IP 172.16.16.x) - (172.16.16.0) Standort B

Wenn laut Sophos der Ping über das Interface hinaus geht, muss das Problem nach der Sophos sein. Kannst du mal einen Screenshot des logs machen?

Was erscheint bei der Meraki-Firewall und der Fritzbox zum Zeitpunkt des Pings?

Hat es einen Grund, wieso die Sophos im Doppel-NAT betrieben wird?

Hier mal ein Beispiel von mir, wo zwei XG's Home einen IPSec-Tunnel haben:

Hier sieht man das der Ping raus geht über den IPSEC Tunnel

Ist das ein richtiger Site-To-Site Tunnel oder Einwahl via IPsec?

Bei der Sophos wäre der Tunnel unter "Configure" -> "Site-to-site VPN" -> IPsec

Ja es ist ein richtiger Site to Site Tunnel via IPSec

Hallo Hans-Jürgen,

der Klassiker mit der Fritzbox ist meistens, dass das Netzwerk "hinter" der Sophos-Firewall (von der Firtzbox aus gesehen) nicht in der Fritzbox als Netzwerk hinterlegt ist, so dass dorthin keine Route in der Routing-Tabelle der Fritzbox existiert. Dann kann man den Tunnel von der Firewall aus aufbauen, erreicht aber keine Systeme dahinter. So wie es momentan bei dir aussieht.

Wenn du nicht weisst, wie das geht, sende ich einen Screenshot.

PhilippRusch 

Hallo Phillpp,

doch warum kann dann ein Ping vom Standort A (Meraki FW) den Server im Standort B (Sophos FW)
per Ping erreichen? Nur wenn ich vom Server Standort B pinge gehts nicht das ich Server am Standort A
erreiche?

Wenn dem so ist wie es Philipp sagt, könntest du evtl. noch überlegen die Fritzbox in den Bridge-Mode schalten zu lassen, sodass, die Public IP direkt auf der Sophos liegt.

Dann fungiert die Fritzbox nur mehr als reines Modem.

Thomas_XG 

Also ich habe mal wie es PhilippRusch geschrieben hat die Route von der Fritzbox zum Server B Netzwerk
gesetzt, trotzdem kommt kein Ping zurück. Möchte aktuell nur ungerne die Fritzbox in den Bridge Modus setzen,
denn wenn das nicht klappt wäre ich gerne Vorort um das Rückgängig machen zu können.

Verstehe ich durchaus. Meine Meinung nach wäre das die sauberere Lösung für Business-Infrastrukturen, außer es gibt einen notwendigen Grund, dass man Double-NAT fahren muss.

Thomas_XG 

wir hatten ja auch gedacht das die Telekom dort ein Modem aufstellt. Aber sie haben dann
eine FritzBox (Heißt natürlich bei der Telekom anders ) hingestellt und es ist nicht mal
möglich dort an die erweiterten Einstellungen zu kommen. Deswegen denke ich wird es
schwierig die vom Routing-Mode in den Bridge-Mode zu setzen.

Thomas_XG 

wir hatten ja auch gedacht das die Telekom dort ein Modem aufstellt. Aber sie haben dann
eine FritzBox (Heißt natürlich bei der Telekom anders ) hingestellt und es ist nicht mal
möglich dort an die erweiterten Einstellungen zu kommen. Deswegen denke ich wird es
schwierig die vom Routing-Mode in den Bridge-Mode zu setzen.

Habe auf jetzt mal mit der ersten Googlesuche folgendes gefunden (ich weiß natürlich nicht, welches Modell der Fritzbox du hast)  und das wäre eine nicht supportete Möglichkeit:

Fritzbox: Bridge-Modus aktivieren – wie geht das? (giga.de)

Für ein paar Modelle gibt es einen "inoffiziellen" Bridge-Mode, welchen man durchs runterladen der Config-Datei und bearbeiten aktivieren kann.

Aber am besten mit der Telekom mal drüber sprechen und evtl. etwas Druck ausüben.

Thomas_XG 

also wüstest Du jetzt auch nicht woran es liegen kann das die Verbindung nicht richtig funktioniert? Habe mal
auf die Site-to-Site Verbindung geschaut da wo das [i] bei der Verbindung steht und dort steht auch das die
verbindung zwischen den beiden Netzwerken besteht.
Bin auch recht ratlos warum es von der einen Seite funktioniert nur halt aus Richtung Sophos Netzwerk nicht.

Wie LuCar schon erwähnt hat, verlässt der Traffic die Firewall.

Mir würde einfach nur mehr einfallen, dass die Fritzbox auf einem LAN-Interface ein 192.168.0.0 Netz kennt und es dorthin versucht zu routen.

Hast du auch schon in der CLI nachgesehen, ob hier evtl. ein NAT vorhanden ist?

Wie sieht der tracerout aus, wenn du diesen vom Server aus machst? Das wäre noch interessant.

Thomas_XG 

Hier mal das Tracert vom Server aus:

Es geht zur Sophos und dort wird es dann verschluckt :-(

Zeig mir bitte mal die Hosts Einträge die du auf der Firewall eingetragen hast, stimmen dort die Subnets auch? Nehme an, die 192.168.0.x ist auf beiden Seiten ein /24 Netz?

Thomas_XG 

Ja das Netzwerk ist ein 192.168.0.0/24

Thomas_XG 

Danke Dir,

aber dort steht schon das man dann mindestens 2 Öffentliche IP Adressen benötigt
und die haben wir nicht :-(