Advanced VPN Client Problem mit Firmware 7.20

[zerphod]

Hallo,

ich bin mir nicht sicher ob ich hier richtig bin, versuch es aber mal.

Ich habe einen 8011 und einen Advanced VPN Client. Mit der 6.32 Firmware wurde die Verbindung aufgebaut, und ich konnte alle Rechner im Firmennetz erreichen.
Dann habe ich einen Update auf die 7.20iger Firmware gemacht.
Jetzt wird die Verbindung aufgebaut, und ich kann die Intranet-IP der 8011 anpingen, mehr aber nicht.
Schalte ich die Firewall ganz ab, kann ich wieder Rechner im Firmennetz erreichen.

Ich habe auch schon einen neuen Zugang angelegt, und die Konfig dann in den Client importiert. Gleiches Verhalten.

Muss ich noch irgendwelche Regeln erzeugen/anpassen? Wo kann/muss ich sonstnoch was anpassen?

Gruss,
Zerphod

[backslash]

Hi zerphod

Schalte ich die Firewall ganz ab, kann ich wieder Rechner im Firmennetz erreichen.

dann mach doch mal einen Firewall-Trace

Gruß
Backslash

[zerphod]

Hallo,

hat ein bischen gedauert.

Ich habe inzwischen noch etwas getestet.
Ich habe auf dem Router eine DENY-ALL-Regel. Wenn die aktiviert ist, dann geht der Ping nicht.
Die Firewall meldet:

<<<SNIP>>>
[Firewall] 2007/08/27 10:43:54,260
Packet matched rule KEIN-INTERNET-2MB-LTG
DstIP: 192.XXX.XXX.1, SrcIP: 192.XXX.XXX.88, Len: 60, DSCP: CS0/BE (0), ECT: 0, CE: 0
Prot.: ICMP (1), echo request, id: 0x0300, seq: 0xf301

packet rejected
<<<SNIPP>>>

Wobei ...XXX.1 der Rechner ist, den ich vom Client aus anpinge, und ...XXX.88 die Adress, die der Client erhalten hat.

Reicht die vom Wizzard angelegte Regel für den VPN-Client nicht aus, die Pakete an die VPN-Gegenstelle zu schicken?

[backslash]

Hi zerphod

Ich habe auf dem Router eine DENY-ALL-Regel. Wenn die aktiviert ist, dann geht der Ping nicht.

Das ist auch klar, bei einer Deny-All Regel mußt du jeden gewünschten Traffic explizit zulassen.

Reicht die vom Wizzard angelegte Regel für den VPN-Client nicht aus, die Pakete an die VPN-Gegenstelle zu schicken?

nein. Diese Regel ist erstmal nur dazu da, die VPN-Regeln zu erstellen (wenn mich nicht alles täuscht ist ber der Regel sogar das Häkchen "Diese Regel ist für die Firewall aktiv" deaktiviert). Selbst wenn es aktiviert ist, erlaubt die Regel nur Traffic vom LAN zum VPN-Client.

Für den "umgekehrten" Weg mußt du noch eine spiegelverkehrte Regel einrichten:

Code: Alles auswählen

Quelle:  Gegenstelle VPN-Client
Ziel:    alle Stationen (im lokalen Netz)
Aktion:  übertragen

das war aber auch in der 6.3x - bzw. schon immer - so

Gruß
Backslash

[zerphod]

Hallo,

die neue Regel scheint zu funktionieren. Danke.
Ich habe diese Regel in der 6.32 zwar nicht gehabt. Es kann aber sein, daß da noch ein Konfigurationsfehler war....

Gruss,
Zerphod