IPSec V2 Verbindung mit 1:2 Subnetzen

Hello Karsten,

if I understand your configuration correctly, then this error is by design:

in IPsec you have security associations (SA) between local and remote "subnets". These "subnets" can consist of a single host, having a subnet mask of /32. The definitions of the subnets have to match on BOTH sides of the tunnel.

So if you have 192.168.1.0 /24 as definition at the pfsense, but have 192.168.1.12 /32 (as example for a singel host) at the XGS side, this doesn't match and the SA stays red.

HTH

Hallo Philipp,

für mich sieht das so aus, als hätte er auf einer Seite ein /24er Subnetz und auf der anderen Seite zwei /24er Subnetze ... und diese auch als solche auf beiden Seiten bekanntgegeben. 
Nur scheint die PFSense das in eine SA zu packen und die Sophos FW erwartet 2 SA

Hallo Philipp,

die Subnetze sind richtig definiert mit 192.168.10.0/24, 192.168.20.0/24 auf der einen Seite und 192.168.11.0/24 auf der anderen Seite und natürlich auf der Gegenseite umgekehrt.

VG
Karsten

Hallo Karsten,

da war ich mir nicht sicher, weil ich nur "HS-LAN" und "HS-ALN10" gesehen habe. Oben bei den SAs hätte man es sehen können ...

OK, ich gehe dann mit der Beobachtung von Dirk mit und schlage vor, dass du auf der pfsense zwei Tunnel definierst: einen nach "HS-LAN" und einen nach "HS-LAN10". Dann sollte es gehen.

Ich baue morgen mal ein Konstellation auf, in der sich 2 PFsense untereinander austauschen sollen. Vielleicht klärt sich dann der Nebel langsam.

aber das habe ich ja getan:

Also, ich bin kein pfsense Experte, aber entweder du machst zwei Tunnel auf der einen wie auf der anderen Seite ODER du hast beide Subnetze in DERSELBEN Tunnel-Konfiguration auf BEIDEN Seiten. Sonst geht es schief..

Für mich sieht diese Konfiguration aus wie zwei SA-Definitionen in ein und demselben Tunnel. Das ist nicht das, was ich vorgeschlagen habe. Bitte nochmal lesen.

Moin,
ich habe jetzt auf der PFSense 2x Phase 1 mit jeweils einer Phase2 eingerichtet.
Auf der Sophos habe ich ebenfalls 2 Verbindungen mit jeweils nur einem Subnetz eingerichtet. 
Das scheint so zu funktionieren, auch wenn es auf der PFSense so aussieht, als wenn die zweite Phase 1 Verbindung (S2S_XGS_V2) nicht verbunden ist.

Vielen lieben Dank für Eure Unterstützung!

Karsten