Important note about SSL VPN compatibility for 20.0 MR1 with EoL SFOS versions and UTM9 OS. Learn more in the release notes.

IPSec V2 Verbindung mit 1:2 Subnetzen

Moin,

Ich will zwei Standorte verbinden. Auf der einen Seite ist ein Subnetz die sich über eine PFSense auf die andere Seite über eine Sophos XG mit zwei Subnetzen verbinden soll. Phase 1 ist kein Problem, aber es wird nur ein Subnetz verbunden.
Wenn ich auf der Sophos anstatt der beiden IP Host Objekte "ANY" eintrage, funktioniert es. Aber das kann nicht das ergebnis sein.
Wer kann mir helfen?


VG
Karsten



Added TAGs
[edited by: Erick Jan at 1:34 PM (GMT -7) on 24 Sep 2024]
Parents Reply
  • I found something that does not match:


    2024-09-24 14:55:56Z 22[CFG] <xx-1|551032> config: 192.168.10.0/24, received: 192.168.10.0/24 => match: 192.168.10.0/24
    2024-09-24 14:55:56Z 22[CFG] <xx-1|551032> config: 192.168.10.0/24, received: 192.168.1.0/24 => no match
    2024-09-24 14:55:56Z 22[CFG] <xx-1|551032> config: 192.168.28.0/24, received: 192.168.28.0/24 => match: 192.168.28.0/24

    Maybe you can explain it to me?

Children
  • Most of the time, this issue is caused by a config error on either side. 

    Please review both sides carefully and check for typos or other things. 

    __________________________________________________________________________________________________________________

  • Maybe it´s a problem by design?
    I tried a similar configuration in a test enviroment between a different pfsense and a brand new XGS. the result is the same!

  • Ein Design-Problem sollte es nicht sein.

    Es ist absolut normal auf einer Seite mehrere Subnetze zu haben.

    ich glaube, es mangelt an der Verständigung zwischen PFSense und XGS.


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

  • Verwendest du IKE1 oder IKE2? ... Egal was, das muss auf beiden Seiten gleich sein.

    Antworten aus anderen Foren:
    IPSec with multiple P2 tunnels - only one will connect at once 
    Enable this to split connection entries with multiple phase 2 configurations

    ... seems you need "Two Phase 2 configs"


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

  • Auf der Sophos kann ich nicht 2x Phase 2 einrichten.
    Oder habe ich da was übersehen?
    Es ist eine IKE2-Verbindung

  • Auf der PFSense sollte das gemacht werden. 

    "Enable this to split connection entries with multiple phase 2 configurations. Required for remote endpoints that support only a single traffic selector per child SA"

    Ich glaube, die Sophos FW macht genau das. Ich sehe bei je 2 Subnetzen auf 2 Seiten insgesamt 4 Verbindungen, von denen eine einzelne auch mal nicht aufgebaut werden kann.


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

  • Hello Karsten,

    if I understand your configuration correctly, then this error is by design:

    in IPsec you have security associations (SA) between local and remote "subnets". These "subnets" can consist of a single host, having a subnet mask of /32. The definitions of the subnets have to match on BOTH sides of the tunnel.

    So if you have 192.168.1.0 /24 as definition at the pfsense, but have 192.168.1.12 /32 (as example for a singel host) at the XGS side, this doesn't match and the SA stays red.

    HTH

    Mit freundlichem Gruß, best regards from Germany,

    Philipp Rusch

    New Vision GmbH, Germany
    Sophos Silver-Partner

    If a post solves your question please use the 'Verify Answer' button.

  • Hallo Philipp,

    für mich sieht das so aus, als hätte er auf einer Seite ein /24er Subnetz und auf der anderen Seite zwei /24er Subnetze ... und diese auch als solche auf beiden Seiten bekanntgegeben. 
    Nur scheint die PFSense das in eine SA zu packen und die Sophos FW erwartet 2 SA


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

  • Hallo Philipp,

    die Subnetze sind richtig definiert mit 192.168.10.0/24, 192.168.20.0/24 auf der einen Seite und 192.168.11.0/24 auf der anderen Seite und natürlich auf der Gegenseite umgekehrt.

    VG
    Karsten

  • Hallo Karsten,

    da war ich mir nicht sicher, weil ich nur "HS-LAN" und "HS-ALN10" gesehen habe. Oben bei den SAs hätte man es sehen können ...

    OK, ich gehe dann mit der Beobachtung von Dirk mit und schlage vor, dass du auf der pfsense zwei Tunnel definierst: einen nach "HS-LAN" und einen nach "HS-LAN10". Dann sollte es gehen.

    Mit freundlichem Gruß, best regards from Germany,

    Philipp Rusch

    New Vision GmbH, Germany
    Sophos Silver-Partner

    If a post solves your question please use the 'Verify Answer' button.