Important note about SSL VPN compatibility for 20.0 MR1 with EoL SFOS versions and UTM9 OS. Learn more in the release notes.

IPSec V2 Verbindung mit 1:2 Subnetzen

Moin,

Ich will zwei Standorte verbinden. Auf der einen Seite ist ein Subnetz die sich über eine PFSense auf die andere Seite über eine Sophos XG mit zwei Subnetzen verbinden soll. Phase 1 ist kein Problem, aber es wird nur ein Subnetz verbunden.
Wenn ich auf der Sophos anstatt der beiden IP Host Objekte "ANY" eintrage, funktioniert es. Aber das kann nicht das ergebnis sein.
Wer kann mir helfen?


VG
Karsten



Added TAGs
[edited by: Erick Jan at 1:34 PM (GMT -7) on 24 Sep 2024]
Parents Reply Children
  • i´m not firm with packet captures for ipsec connections, but i copied a part of the IPSec Log.


    IPSec_xx-1:  xxx.xxx.xxx.xxx...xxx.xxx.xxx.xxx  IKEv2, dpddelay=30s        
    IPSec_xx-1:   local:  [xxx.xxx.xxx.xxx] uses pre-shared key authentication 
    IPSec_xx-1:   remote: [xxx.xxx.xxx.xxx] uses pre-shared key authentication
    IPSec_xx-1:   child:  192.168.1.0/24 === 192.168.28.0/24 TUNNEL, dpdaction
    IPSec_xx-2:   child:  192.168.10.0/24 === 192.168.28.0/24 TUNNEL, dpdactio
    n=clear                                                                         
    Security Associations (4 up, 0 connecting):      

    IPSec_xx-1[550787]: ESTABLISHED 23 minutes ago, xxx.xxx.xxx.xxx[xxx.xxx.xxx.xxx]...xxx.xxx.xxx.xxx[xxx.xxx.xxx.xxx] 
    IPSec_xx-1[550787]: IKEv2 SPIs: xxxxxxxxxxxxx1dcc_ixxxxxxxxxxxxxxxxx, re
    keying in 7 hours
    IPSec_xx-1[550787]: IKE proposal: AES_CBC_256/HMAC_SHA2_256_128/PRF_HMAC_S
    HA2_256/MODP_2048
    IPSec_xx-2{17297}: INSTALLED, TUNNEL, reqid 524, ESP SPIs: xxxxxxxxxxxxxxxx
    IPSec_xx-2{17297}: AES_CBC_256/HMAC_SHA2_256_128, 175819 bytes_i, 26430 b
    ytes_o (297 pkts, 22s ago), rekeying in 7 hours
    IPSec_xx-2{17297}: 192.168.10.0/24 === 192.168.28.0/24
  • Hi Karsten,

    You may compare and verify traffic flow under MONITOR & ANALYZE>Diagnostics. You may use the following KB for reference 

     Sophos Firewall: Troubleshooting site to site IPsec VPN issues 

    Erick Jan
    Community Support Engineer | Sophos Technical Support
    Sophos Support Videos Product Documentation  |  @SophosSupport  | Sign up for SMS Alerts
    If a post solves your question use the 'Verify Answer' link.

  • I found something that does not match:


    2024-09-24 14:55:56Z 22[CFG] <xx-1|551032> config: 192.168.10.0/24, received: 192.168.10.0/24 => match: 192.168.10.0/24
    2024-09-24 14:55:56Z 22[CFG] <xx-1|551032> config: 192.168.10.0/24, received: 192.168.1.0/24 => no match
    2024-09-24 14:55:56Z 22[CFG] <xx-1|551032> config: 192.168.28.0/24, received: 192.168.28.0/24 => match: 192.168.28.0/24

    Maybe you can explain it to me?

  • Most of the time, this issue is caused by a config error on either side. 

    Please review both sides carefully and check for typos or other things. 

    __________________________________________________________________________________________________________________

  • Maybe it´s a problem by design?
    I tried a similar configuration in a test enviroment between a different pfsense and a brand new XGS. the result is the same!

  • Ein Design-Problem sollte es nicht sein.

    Es ist absolut normal auf einer Seite mehrere Subnetze zu haben.

    ich glaube, es mangelt an der Verständigung zwischen PFSense und XGS.


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

  • Verwendest du IKE1 oder IKE2? ... Egal was, das muss auf beiden Seiten gleich sein.

    Antworten aus anderen Foren:
    IPSec with multiple P2 tunnels - only one will connect at once 
    Enable this to split connection entries with multiple phase 2 configurations

    ... seems you need "Two Phase 2 configs"


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

  • Auf der Sophos kann ich nicht 2x Phase 2 einrichten.
    Oder habe ich da was übersehen?
    Es ist eine IKE2-Verbindung

  • Auf der PFSense sollte das gemacht werden. 

    "Enable this to split connection entries with multiple phase 2 configurations. Required for remote endpoints that support only a single traffic selector per child SA"

    Ich glaube, die Sophos FW macht genau das. Ich sehe bei je 2 Subnetzen auf 2 Seiten insgesamt 4 Verbindungen, von denen eine einzelne auch mal nicht aufgebaut werden kann.


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

  • Hello Karsten,

    if I understand your configuration correctly, then this error is by design:

    in IPsec you have security associations (SA) between local and remote "subnets". These "subnets" can consist of a single host, having a subnet mask of /32. The definitions of the subnets have to match on BOTH sides of the tunnel.

    So if you have 192.168.1.0 /24 as definition at the pfsense, but have 192.168.1.12 /32 (as example for a singel host) at the XGS side, this doesn't match and the SA stays red.

    HTH

    Mit freundlichem Gruß, best regards from Germany,

    Philipp Rusch

    New Vision GmbH, Germany
    Sophos Silver-Partner

    If a post solves your question please use the 'Verify Answer' button.