Site to Site VPN zwischen zwei Centro Business

[Bi_Nom]

Hallo allerseits!

Erstmal Entschuldigung, falls das eine doofe Frage ist oder schon beantwortet wurde.

Wir haben zwei Standorte, beide mit einem Swisscom Business Abo. Bis jetzt wurde über den in der OS X Server App enthaltenen VPN Client vom anderen Standort darauf zugegriffen.

Ich habe dann nach etwas Recherche dieses Dokument und eine entsprechende Option im Centro Business-Menü gefunden, um ein Site-to-Site VPN einzurichten.

Doch ich krieg es einfach nicht zum Laufen. Darum meine Frage: ist es möglich, zwei Centro Business mittels integrierter S2S Funktion zu verbinden, und wenn ja, wie? (das ist mein erster Kontakt mit s2s)

Bisher habe ich das so versucht:

• an beiden Standorten statische IP ✓
• in beiden Centro Business Peer-to-Peer VPN eingeschaltet
• in beiden CB's einen neuen VPN-Standort erstellt, mit jeweils der fixen IP sowie dem Subnetz des Anderen

Also zB:

Standort A hat öffentliche IP XXX.XXX.XXX.XXX und lokale IP's der Form 192.168.101.X

Standort B hat öffentliche IP YYY.YYY.YYY.YYY und lokale IP's der Form 192.168.1.X

Eintrag im Router von Standort A: Peer-IP: YYY.YYY.YYY.YYY und Peer-IP-Subnetz: 192.168.1.0/24

Eintrag im Router von Standort B: Peer-IP: XXX.XXX.XXX.XXX und Peer-IP-Subnetz: 192.168.101.0/24

sowie bei beiden dasselbe, zufällig generierte Passwort.

Bei beiden bleibt die Statusanzeige unbeeindruckt auf Rot. Sehr wahrscheinlich mache ich einen doofen Anfängerfehler.

Aus diesem Beitrag von @Tux0ne lese ich doch heraus, dass es machbar, wenngleich nicht ideal ist.

Um Eure Hilfe wäre ich froh.

LG Bin

[Bi_Nom]

Update:

zwischenzeitlich schien das Ganze zu funktionieren, die Statusanzeigen waren grün. Jedoch war das Systemprotokoll beider Centro Business geflutet mit folgender Meldung:

INFO: unsupported PF_KEY message X_NAT_T_NEW_MAPPING

Und irgendwann dann das hier:

21.01.2017,16:43:36,IPsec,Informationen,INFO: KA remove: YYY.YYY.YYY.YYY[4500]->XXX.XXX.XXX.XXX[4500]

21.01.2017,16:43:36,IPsec,Warnung,WARNING: Empty internal address.

21.01.2017,16:43:36,IPsec,Warnung,WARNING: Empty internal address.

21.01.2017,16:43:36,IPsec,Informationen,INFO: ISAKMP-SA deleted YYY.YYY.YYY.YYY[4500]-XXX.XXX.XXX.XXX[4500] spi:********************************

21.01.2017,16:43:36,IPsec,Informationen,INFO: purged ISAKMP-SA spi=***************************

21.01.2017,16:43:36,IPsec,Informationen,INFO: purged IPsec-SA spi=***************************

21.01.2017,16:43:36,IPsec,Informationen,INFO: purged IPsec-SA spi=***************************

21.01.2017,16:43:36,IPsec,Informationen,INFO: purged IPsec-SA spi=***************************

21.01.2017,16:43:36,IPsec,Informationen,INFO: purged IPsec-SA spi=***************************

21.01.2017,16:43:36,IPsec,Informationen,INFO: purging ISAKMP-SA spi=***************************

21.01.2017,16:43:36,IPsec,Warnung,WARNING: Empty internal address.

21.01.2017,16:43:36,IPsec,Informationen,[XXX.XXX.XXX.XXX] INFO: DPD: remote (ISAKMP-SA spi=***************************) seems to be dead.

21.01.2017,16:43:31,IPsec,Warnung,[XXX.XXX.XXX.XXX] WARNING: remote address mismatched. db=XXX.XXX.XXX.XXX[4500], act=XXX.XXX.XXX.XXX[1028]

21.01.2017,16:43:26,IPsec,Warnung,[XXX.XXX.XXX.XXX] WARNING: remote address mismatched. db=XXX.XXX.XXX.XXX[4500], act=XXX.XXX.XXX.XXX[1028]

21.01.2017,16:43:21,IPsec,Warnung,[XXX.XXX.XXX.XXX] WARNING: remote address mismatched. db=XXX.XXX.XXX.XXX[4500], act=XXX.XXX.XXX.XXX[1028]

21.01.2017,16:43:16,IPsec,Warnung,[XXX.XXX.XXX.XXX] WARNING: remote address mismatched. db=XXX.XXX.XXX.XXX[4500], act=XXX.XXX.XXX.XXX[1028]

21.01.2017,16:43:11,IPsec,Warnung,[XXX.XXX.XXX.XXX] WARNING: remote address mismatched. db=XXX.XXX.XXX.XXX[4500], act=XXX.XXX.XXX.XXX[1028]

Danach waren die Statusanzeigen wieder rot.

Was ist hier passiert?

Danke, Bin

[Bi_Nom · Accepted solution]

OK, ich bin beschämt, es hat alles funktioniert.

Der Grund für den Fehler war die noch eingeschaltete Port-Weiterleitung für den OS X Server, der auch den Port 4500 benützt. Tut mir leid.

Weiterleitung ausgeschaltet, Router neu gestartet und alles funktioniert.

Schönes Wochenende, Bin

[Tux0ne]

Danke für die Info das diese Funktion durchaus funktioniert, würde man das so lösen wollen.

[besa76]

@Anonym

hast du ne Ahnung ob ich eine Verbindung zu einer pfsense machen kann. Ich sollte von einem Kollegen einmal im monat ein offsite backup machen 

gruss 

sandro

[Tux0ne]

Das wird ziemlich sicher gehen.
PfSense lässt sich auf fast alles anpassen.
Das artet dann teilweise in Totschlagfunktionen aus. Die Kunst ist nur die richtigen "Schälterchen" zu finden.
In dem Sinne habe ich das aber noch nie versucht. Geht jetzt zu Hause als Test auch schlecht 🙂

[besa76]

@Tux0ne

ich hab mich wiedermal mit der Backupgeschickte für meinen Kollegen beschäftigt... ich versuche nun via openvpn auf mein netz zu verbindgen vom Server aus, hast du eine Ahnung wie ich den Centro Grande Business 2.0 zwingen kann OpenVPN durch zu lassen?

Gruss Sandro