Sophos XG210 Remote-VPN Zugriffsproblem

Hallo Hans-Juergen,

sind die 3 Sophos via site-to-site VPN verbunden? Wenn ja, musst du nicht nur in den Firewall Regeln das SSLVPN Netz erlauben, sondern auch in den site-to-site VPN verbindungen, also in der VPN Verbindung selber (lokales/entferntes Netz).  Die Firewall,die das SSLVPN Netz zur Verfügung stellt, die muss in der site-so-site VPN bei lokalen Netz die SSLVPN Netz definiert bekommen. bei den anderen beiden Sophos, musste du das SSLVPN Netz bei entferntes Netz hinzu fügen + Firewall Regeln.

Stellt jede Sophos eine SSL VPN zur Verfügung, muss das SSL VPN Netz auch in jeder der site-to-site VPN als Lokal oder jeweils entfernt konfiguriert werden, mit den entsprechenden Firewall Regeln dazu.

Ich hoffe es hilft dir.

Beste Grüße

Patrick

Hallo Patrick,

nein die sind nicht per Site-to-Site VPN verbunden. Wie ich ja schon geschrieben habe, funktionieren die Netzwerke
intern untereinander ohne Probleme. Was ich nun brauche ist der Ansatz wie ich nun wenn ich mich mit dem Remote-VPN
auf Sophos XG 1  einwähle das ich dann auch zugriff bekomme auf Resourcen in den beiden anderen Netzwerken. Genauso
soll es funktionieren das wenn ich über Sophos XG 2 oder 3 Remote mich einwähle das ich dann Zugriff auf Recourcen in
Netzwerk 1 bekomme.

Würde mich freuen Du mir da vielleicht ein bischen Hilfe geben könntest. Arbeite noch nicht so lange mit Sophos FW um dort
alles sofort konfigurieren zu können.

Wenn ich von der Sophos direkt einen Client anpinge funktioniert es, nur nicht wenn ich es aus dem Homeoffice per Remote-VPN
mache. dann Geht der Ping nur raus aber es kommt nichts zurück.

Bedeutet das das ich die Remote-VPN netzwerke bei den anderen 2 Sophos eintragen muss und wenn ja wo muss ich die dann
bekannt machen? 

Hoffe das Du mir da helfen kannst.

Ok, ich hoffe ich habe es richtig verstanden. Je nach dem wie das Konstrukt gebaut ist, habe ich eventuell nicht genug Kundenspezifisches Hintergrund wissen. Hast du mal eine Regel gebaut die in etwa so aussieht? Nicht wunden in der Regel habe ich als Dienst nur RDP drin.

Wenn die Netze in alle Richtungen kommunizieren sollen, musste du diese auch jeweils als Quelle und Ziel definieren. Dies muss Analog auf allen Firewalls passieren. Ich denke Quellzone und Zielzone sollten am besten in dem Fall auf Any stehen. Die Beschränkung führst du über Quellnetzwerke und Zielnetzwerke + Dienste einher.

Ich helfe dir gerne, finde ich grade spannend, muss es aber auch selber zu 100% verstehen wie dein Konstrukt ausschaut um dir beste möglich zu helfen. dann prüfe ob etwas in die Regel rein geht.

Wenn etwas in die Regel reinläuft, aber dennoch etwas blockiert wird, bleibt nicht viel über als die Protokolle zu prüfen.

Viele Grüße

Patrick

Hallo Patrick,

danke für deinen Tip. Ich werde morgen wenn ich im Büro bin da mal schauen und dir dann berichten.
So habe ich aber schon mal grob einen ansatz wo ich ansetzen kann.

Hallo Hans-Guenter,

haben die 3 Remote-VPN-Netze unterschiedliche IP-Adressbereiche?

Sonst gibt es ein Routing-Problem. Dann könnte man evtl. mit SNAT was basteln, aber separate Bereiche ist sauberer.

... Und im Routing müssen die Wege zu den RAS-Netzen natürlich auch bekannt sein?

Hallo Patrick81 ,

ich habe mal geschaut und folgende Regel gefunden für das Remote SSLVPN:

Bin aktuell echt am verzweifeln warum es nicht funktioniert :-(

Hi dirkkotte ,

ja die Remote VPN haben jeweils eigene Netzwerke. Habe es auch schon versucht mit einer Statischen Route die zum Remote-VPN des 172.16.16.0 führt hinzubekommen. Aber es gibt immer noch keine Antworten :-(

Was ist mit den Routen? 

Wie kommt XG1 an das Netzwerk von XG2? 

Wahrscheinlich hast du überall das selbe SSLVPN Netzwerk? 

Probier dann mal eine SNAT Regel, das sollte dann funktionieren. Also NAT Rule - MASQ auf Source IP und alles vom SSLVPN in Richtung XG2 bzw. 3. 

Hallo LuCar Toni ,

also jedes der XG VPN Netze ist unterschiedlich. Unterschiedliche Netzwerke für jedes Remote-VPN.
Es ist halt echt komisch das über den Zugriff per Remote VPN man nicht wie im internen Netzwerk
auch an alle Resourcen heran kommt.

Wenn die SFOS Appliance selbst alle Netze erreicht, wird auch ein SNAT funktionieren.