IPsec Verbindungsprobleme

Torben93

Moin Zusammen,

das ist mein erster Post hier im Forum, deswegen bitte ich um Nachsicht, falls ich bei der Fallbeschreibung etwas vergessen habe.

Ich stehe zur Zeit vor der Aufgabe 2 Außenstellen miteinander zu verbinden. Außenstelle A(pfSense) hat drei Netze( 10.0.99.0/24, 10.0.100.0/24 und 10.0.101.0/24). Außenstelle B(Sophos UTM 9) hat zwei Netze(10.0.0.0/24 und 10.0.10.0/24).

P1 Verbindung ensprechen erstellt mit identischen Daten bezüglich der Authentification und Encryption. Läuft soweit.
P2 Verbindungen vom 10.0.0.0/24 Netz in die drei Netze der Außenstelle A funktinieren auch hervorragend. So wie ich es mir auch vorgestellt habe.

Sobald ich die dritte, vierte und fünfte P2 Verbindung hinzufüge( also vom 10.0.10.0/24 in die drei Netze von Außenstelle A) baut sich keine weitere Verbindung mehr auf. Das die entferneten sowie lokalen Netze auf den entsprchenden Firewalls sind eingetragen. Die ersten drei Tunnel stehen auch, alles darüber hinaus schlägt fehl, obwohl ich die Verbindungen identisch aufbauen möchte, nur mit anderen Netzen.

Um das Problem weiter zu analysieren, habe ich zu Beginn das 10.0.10.0/24 Netz verbunden. Funtioniert. Sobald ich neue Tunnel hinzufügen will, schlägt wieder alles fehl.

Authentifiziert wird über einen Pre-Shared Key. Dieser ist auf beiden Firewalls identisch. Also definitiv ausgeshclossen, dass es damit zusammen hängen könnte.

Folgende Fehlermeldung kann ich aus der Sophos Firewall entnehmen:
ignoring informational payload, type PAYLOAD_MALFORMED

Eventuell übersehe ich etwas total Offensichtliches hier und jemand kann mir helfen.

Liebe Grüße

viragomann

Hallo,

passiert das auch, wenn du nur eine einzige Phase2 erstellst, die bereits alle Netze einschließt. Also
Außenstelle A: 10.0.96.0/21
Außenstelle B: 10.0.0.0/20

Wenn nur die genannten Netze im Spiel sind, müsste das so auch funktionieren.

Grüße

JeGr

@Torben93 said in IPsec Verbindungsprobleme:

Eventuell übersehe ich etwas total Offensichtliches hier und jemand kann mir helfen.

Hast du auf der Sophos auch BEIDE Netze als Gegenstelle konfiguriert? Und die 3 internen als LAN? Manche Kisten verhalten sich da bei der Autokonfiguration von SADs/SPDs sehr ... kreativ.

Ich würde es wirklich mal mit einer größeren Phase wie von @viragomann probieren, das minimiert auch die Konfiguration beträchtlich.