IPsec Site2Site VPN mit Sophos XG

[MetalForLive]

Hallo zusammen,

ich möchte gerne mit zwei Sophos XG ein Site 2 Site VPN aufbauen, da meine beiden Ubiquiti USGs leider zu wenig CPU Leistung haben und somit nur ~16Mbit/s durch bekommen von möglichen ~35Mbit/s.

Ich habe jetzt jeweils auf beiden Sites eine Sophos XG Home Edition in Hyper-V aufgesetzt, diese haben zwei virtuelle NICs in verschiedenen VLANs, die Konfiguration hierfür sieht wie folgt aus:

Site A
Interface	VLAN	IP/Subnet	Gateway
NIC1 (LAN)	100	172.10.100.200/24	172.10.100.1
NIC2 (WAN)	254	172.10.254.2/30	172.10.254.1

Site B
Interface	VLAN	IP/Subnet	Gateway
NIC1 (LAN)	100	172.20.100.200/24	172.20.100.1
NIC2 (WAN)	254	172.20.254.2/30	172.20.254.1

Die VLANs (Gateways) liegen auf Layer3 Ebene jeweils pro Site auf dem Ubiquiti USG an welches auch als Internet Breakout dient und worüber das VPN laufen soll. Ich kann von der Sophos das USG Pingen und umgekehrt, alles gut soweit.

Das Site to Site VPN habe ich nach folgender Anleitung konfiguriert:
https://community.sophos.com/kb/en-us/123140
Die WAN IPs habe ich jeweils durch den DynDNS Namen jeder Site ersetzt.

Jetzt habe ich von dem USG auf jeder Site die Ports 500 UDP und 4500 UDP auf die WAN IP (172.x.254.2) der Sophos geforwarded und hier beginnt das Problem.

Wenn ich die VPN Verbindung aktivieren will, schlägt dies fehl.
Ich hab daraufhin ein Portscan auf die jeweilige aktuelle öffentliche IP jeder Site gemacht und festgestellt, dass die Ports 500 und 4500 nicht offen sind.
Andere Ports wie 80 welcher auf meinen Webserver geforwardet werden hingegen schon, daher vermute ich, liegt das Problem nicht am USG und dem Portforwarding, sondern an den Sophos Firewalls.

Muss ich hier noch irgendwelche weiteren Einstellungen tätigen damit die Ports nach außen hin freigegben werden ?
Mit dem Thema Firewalls bin ich leider nicht ganz so vertraut.

 

[Masamune2]

IPSec VPN hinter zwei NAT Routern ist irgendwie immer problematisch.
Wie hast du denn gescannt? Kann es sein das die Ports noch von der USG verwendet werden?

Schöner wäre es hier die Sophos direkt für den Internetzugang zu verwenden sodass die öffentliche IP dort ankommt. Oder du nutzt alternativ kein IPSec sondern OpenVPN (SSL), das ist wesentlich unkomplizierter in so einem Konstrukt.

 

[MetalForLive]

Ich habe einfach mit einem Client aus der jeweiligen Site mit dem Angry IP Scanner die jeweiligen Ports gescannt.
Die Sophos direkt als Internetzugang verwenden möchte ich nicht.

Ich teste es sonst nochmal per SSL VPN.

Wenn es gar nicht anders geht, setz ich mir sonst eine kleine Linux VM auf und installiere dort OpenVPN.
Wäre aber schön wenn es doch irgendwie über die Sophos gehen würde.

 

[d2boxSteve]

Ähm, neben udp/500 und udp/4500 musst du natürlich auch das Protokoll ESP weiterreichen.

Siehe: https://de.wikipedia.org/wiki/IPsec#Encapsulating_Security_Payload_(ESP)

 

[MetalForLive]

Ich war eigentlich der Meinung, wenn man 4500 nutzt NAT-T dann braucht man ESP nicht ?
Problem ist nämlich, das USG kann blöderweise ESP nicht forwarden.

 

[d2boxSteve]

Bei IPSEC brauchst du immer ESP, und wenn das das USG nicht forwarden kann bleibt nur openvpn. Ich würde bei OpenVPN aber kein Linux installieren, nimm lieber die Firewall Distri pfSense, die hat ne schicke Weboberfläche, basiert auf FreeBSD und hat OpenVPN standardmäßig dabei.

Ergänzung (27. Februar 2019)

PS: mit der mach ich auch meine site-to-site zum gemieteten root-Server

 

[MetalForLive]

Dann schau ich mir mal pfSense an, theoretisch müsste man da dann auch nen anderen Port als 443 verwenden können oder ?
Weil den benötige ich evtl. für meinen Webserver.

 

[d2boxSteve]

OpenVPN verwendet standardmäßig eh udp/1194 als einzigen Port ...

 

[MetalForLive]

Achso, dann hatte ich das falsch im Hinterkopf.

 

[Masamune2]

Du brauchst dafür keine neue VM, Sophos kann ja OpenVPN. Du solltest nur (falls bei der XG noch nötig, bei der SG war es so) auf UDP 1194 umstellen. Sophos nimmt hier standardmäßig TCP 443 was doppelt dumm ist: Du blockierst dir 443 den man in der Regel für andere Dienste braucht und machst ein VPN über TCP was für doppelte Retransmits sorgt.

 

[MetalForLive]

@Masamune2

Hab ich gerade gemacht, funktioniert wunderbar, danke !
Dann lass ich es doch über die Sophos laufen.

 

[MetalForLive]

Edit:

Okay scheint doch nicht zu funktionieren...
Auf der Client Firewall ist die Verbindung zwar Grün aber er sendet immer nur ein paar Pakete, empfangen tut er nichts.
Auf der Server Firewall ist alles rot und somit "disconnected".
Der Portscan ergibt, dass Port 1194 nicht offen ist obwohl ich ihn geöffnet habe.

 

[Masamune2]

Ich würde zum scannen mal Nmap verwenden, ich bin mir nicht sicher ob der Angry Ip Scanner UDP korrekt scannt.
nmap -sU -p 1194 <IP>
sollte open ergeben.

 

[MetalForLive]

Ok hast recht, Nmpa sagt es ist offen.
Dann muss ich mal weiter suchen wo der Hund begraben liegt.

 

[MetalForLive]

Ahh okay unter SSL VPN Configuration musste ich noch bei "override Hostname" den dyndns Namen angeben.

 

[gaym0r]

Ähm, neben udp/500 und udp/4500 musst du natürlich auch das Protokoll ESP weiterreichen.

Falsch, das ist nicht zwingend erforderlich.

Ich war eigentlich der Meinung, wenn man 4500 nutzt NAT-T dann braucht man ESP nicht ?

Richtig.

Es gibt seit 15 Jahren Standards um ESP in UDP 4500 zu verpacken. (RFC 3947 & 3948)