Sophos XGS2100 Site-to-Site Tunnel Problem

Mach einen Packet Capture auf dem Webadmin und schau dir die Pakete an. 
https://www.youtube.com/watch?v=P7irxR4Sh3g&t=32s&pp=ygUYU29ocG9zIHhnIHBhY2tldCBjYXB0dXJl 
Wenn du Pakete in den Tunnel siehst (Also Out ipsec0) ist es kein Sophos Problem. 

Guten morgen LuCar Toni,

Also ich denke mal das es aus der Sophos heraus geht. Hier mal ein Screenshot:

Doch kann es sein das ich zusätzlich noch eine NAT Regel in der Sophos erstellen muß? Sorry das ich das Frage, aber

ich habe bisher noch nicht soviel erfahrungen im Aufbau und Konfiguration von Site-to-Site Tunnel wo noch eine FritzBox

zwischen ist.

 Thomas_XG 

Hallo Thomas,

also ich habe ein Traceroute von der Sophos aus gemacht, da gab es kein erfolgreiches Ergebnis. Auch ein
Ping von der Sophos zu einem Client im Remote Netzwerk brachte 100% Packet verluste.

Thomas_XG LuCar Toni 

Ich habe mal eine Routenauflösung gemacht dabei kam folgendes Ergebnis:

Schau mal ob im IPsec Tunnel ein NAT konfiguriert ist, wie es LuCar gesagt hat:

Thomas_XG 

Nein dort ist kein NAT konfiguriert.

Mach mal bitte einen Screenshot von deinen NAT-Rules

Thomas_XG 

Bitte wählen Sie WAN und versuchen Sie es

Bharat J 

das kann ich nicht verändern. Es ist ausgegraut.

Deaktivieren Sie zur Fehlerbehebung bitte dieselbe NAT-Regel und überprüfen Sie sie erneut.

Kannst du bitte einen Screenshot von deinem Licensing Fenster machen? Ich glaube deine Base License ist deaktiviert - kann das sein? 

Kannst du bitte einen Screenshot von deinem Licensing Fenster machen? Ich glaube deine Base License ist deaktiviert - kann das sein? 

LuCar Toni 

Nein die Base License ist aktive:

Was ist diese IP eigentlich, die im Tunnel genattet wird? 

LuCar Toni 

Meinst du die 192.168.178.21 ? Das ist die IP von der Pritzbox die dort als Exposed Host eingerichtet ist. So das alles
auf dem Internet an die öffnetliche IP gerichtet geht dann an die Sophost.

Du musst rausfinden, wieso die Firewall auf die Idee kommt, diese IP zu verwenden. Was mich auch stutzig macht: Deine NAT Rules haben alle keine Hits? 

LuCar Toni 

Das ist die IP Adresse auf der WAN Schnittstelle, denn die Sophos hängt ja hinter einer Fritzbox.

Sind das oben auf deine NAT Regel wirklich ALLE Nat Regeln? 

Weil das macht noch weniger Sinn - NAT sollte greifen, zumindest Default NAT (irgendeine). 

LuCar Toni 

Ich denke mal das NAT nicht genutzt wird weil es ja aus einem Privaten Netzwerk in ein Privates Netzwerk
geht und dann erst die Fritzbox das NAT übernimmt für das Übersetzen der Privaten IP in eine Öffentliche.

Die Firewall sollte jedoch ein NAT nutzen und tut das ja, sie oben. Du schickst NAT Traffic in den IPsec0 Tunnel, daher funktioniert es nicht. 

Und NAT sollte trotz einer Firewall gehen, die Fritzbox kennt das Netzwerk nicht hinter der Firewall. Daher musst du auf der Firewall auch NAT machen. 

LuCar Toni 

Muss ich also doch in der Site-to-Site Konfiguration den Hacken setzen für NAT??

Nein.

Kannst du bitte mal die Netzwerk Einstellungen der Firewall posten? 

Es macht einiges nicht so wirklich Sinn.

Du brauchst für einen Aufbau mit einer Fritzbox in der Regel eine NAT Regel von Firewall, um LAN to WAN (Fritzbox) zu maskieren.

Und diese Maskierung nutzt die Firewall auch in den VPN Tunnel, daher geht es nicht. 

Oder du baust einen Workaround: Füge in der VPN Konfiguration von beiden Seiten die IP der WAN Firewall hinzu (Bei SFOS unter Lokales Subnetz, bei der Gegenstelle unter Remote Subnetz).