Site-to-Site VPN tunnel werkt, maar deels 1 kant op*

[Verwijderd]

IK ga proberen een Site to Site VPN op te bouwen tussen 2 Zywall Firewall's, een Zywall 2 en een Zywall 5.

Ik wil graag even wart verificatie van de Guru's als het kan, ik zit wel op de goede weg lijkt me zo, behalve qua interne subnets.

Ik heb op beide Zywall's een Certificaat aangemaakt, Self-signed met als hostname het WAN-IP van de machine. Dit maakt trouwens weinig uit in dit geval begreep ik.

Hierna heb ik de Certificaten op beide machines Crossed geinporteerd als Trusted CA, dit lijkt me ook juist.

Ik maak op beide machines een VPN aan met de volgende settings:

Range Local:

Site 1: Site to Site met de range lokaal: 192.168.1.1 - 192.168.1.254

Site 2: Site to Site met de range lokaal: 10.10.10.1 - 10.10.10.254

Range Remote:

Site 1: 10.10.10.1 - 10.10.10.254 (dat subnet draait dus aan de andere kant)

Site 2: 192.168.1.1 - 192.168.1.254 (dat subnet draait ook aan de "andere" kant)

Als Authentication Method kies ik aan beide kanten het zelf gebakken certificaat en verder hoef ik volgens de manual, als ik het goed heb, geen "Content" voor de "Peer ID Type" te zetten omdat ik Certificaten gebruik.

My IP-address is in beide VPN-instelling het WAN-IP van de Zywall

Primary Secure Gateway is in beide VPN-instellingen het WAN-IP van de Zywall aan de andere kant, andere site dus.

Encrypty heb ik aan beide kanten gewoon op 3DES en SHA1 staan.

Ik twijfel aan de IP-ranges die ik aan beide kanten gebruik, misschien moet ik iets aan een Static Route doen of iets dergelijks.

Ben ik goed op dreef ?

edit:


Wat misschien goed is om te weten dat aan de 192.168.1.x kant, mijn ADSL-kant, ik het volgende wil gebruiken:

- Speedtouch 510
- WRT54GS Interne switching + aangesloten Office Connect Switch voor extra poorten.
- Zywall 2 voor de Site-to-Site oplossing.

Het zou kunnen zijn dat ik de Office Connect of een extra switch aan de DMZ kant nodig ga hebben.

Het is nu zo dat de WRT als DMZ opgegeven is binnen de speedtouch, deze forward alles dus alleen.

Ik draai X-WRT op de WRT en hier kan je geen DMZ in zetten, je kan alle poorten forwarden in de firewall, ik weet alleen niet of handmatig geforwarde poorten dan voorrang krijgen, dit is op een speedtouch bijvoorbeeld wel zo.

Wat is handig als setup:

Ik denk eigenlijk:

Speedtouch => ZyWall2 => WRT54GS => Office Connect. (zo is het nu ook zonder ZyWall)

Toch lijkt me dit ook zeer voor de hand liggend met de ZyWall als DMZ in de Speedtouch en de rest geforward naar de WRT voor poorten die ik daar nodig heb.

Speedtouch (1 poorts) => Switch => WRT54G
. . . . . . . . . . . . . . . . . . . . . . . ||==== => ZyWall 2

Probleem dat ook optreedt is dat ik geen PC direct aan de ZyWall wil knopen maar deze aan de WRT geknoopt heb.

Ik zou bijna denken dat ik de WRT of de ZyWall moet ruimen, of de WRT alleen als switch/ AP moet gaan gebruiken.

[ Voor 29% gewijzigd door Verwijderd op 29-01-2007 03:17 ]

[Equator]

Move naar Netwerken
"Ik ga proberen" != Professional Networking & Servers

[Verwijderd]

Ik ben verder op weg, want ik zal de Speedtouch als Bridge (of eigenlijk met SIP) aan de Zywall hangen.

Ik loop alleen tegen een probleem aan. Internetten met SIP op een windows PC gaat prima, de PC heeft het publieke adres.

In de Zywall krijg ik ook het publieke adres, maar geen gatway, dus stel ik dit handmatig in volgens wat ik bij ipconfig /all zie.

De ZyWall slikt dit niet omdat deze degateway in hetzelfde subnet als het publieke IP wil zien. Ik kan dit probleem helaas niet zelf opgelost krijgen met verschillende handleidingen, ook niet zie van ZyXel zelf.

Iemand een idee hoe je dit zou kunnen omzeilen ?

[Verwijderd]

OK, laatste update voor nu.

Ik heb een Tunnel, hij is actief, maar ik kan niet naar een IP aan de "andere kant" pingen.

Ik vraag mij in dit geval dus sterk af... moet ik een extra IP wat in het subnet van de "andere kant" ligt toevoegen ?

De firewall-rules lijken me prima, op de 5 is alles via VPN allowed, op de 2 kan ik hier weining voor instellen, alleen met aparte regels.

Kan iemand mij hier wat nadere info over verstrekken, hoe met de tunnel en de IP's om te gaan aan iedere kant ?

[Verwijderd]

Het wordt een beetje een one-man-show hier, maar mijn idee is meestal dat dit toch de beste manier is een topci up-to-date te houden aan de hand van de tijden dat ik weer wat heb kunnen fixen

De tunnel werkt, ik kan de Zywall aan de remote kant pingen, maar geen host. SSH is bijvoorbeeld ook niet mogelijk.

Dit is wat ik krijg, ik heb namelijk VPN => LAN op de remote zijde gepermit:

2007-01-30 18:07:41 Firewall default policy: ICMP (V to L, Echo) 192.168.1.200 10.10.10.10 ACCESS PERMITTED

Ik mag dus pingen naar de ZyWall 5 maar niet naar de hosts. Vanaf de ZyWall 5 kan ik de Zywall 2 ook niet pingen.

De ZyWall 5 heeft een optie dat je het verkeer vanaf een VPN naar de LAN kant voorbij kunt laten gaan aan de firewall. Ik denk zelf dat ik deze optie in een ZyWall 2 mis en dit handmatig zal moeten doen

Ik ben al een heel eind verder !

[Equator]

Titlechange op verzoek

---

Dergelijke problemen wijzen vaak op een foutief gedefinieerde SA.
IP adressen die over de lijn mogen, moeten aan de andere kant exact het zelfde worden benoemd..

[Verwijderd]

Equator schreef op dinsdag 30 januari 2007 @ 21:16:

---

Dergelijke problemen wijzen vaak op een foutief gedefinieerde SA.
IP adressen die over de lijn mogen, moeten aan de andere kant exact het zelfde worden benoemd..

Dank je wel

Dit lijkt te kloppen, maar ik zit een beetje met het verhaal dat ik op de Zywall 5 de firewall kan omzeilen met een instelling en op de Zywall 2 niet.

Ik vraag me dus sterk af of dit handmatig in de firewall zal moeten gaan gebeuren voor de IP-range aan de "andere" kant.

[Verwijderd]

Oplossing... je kunt veel doen met route....