{"id":613,"date":"2014-01-27T16:10:05","date_gmt":"2014-01-27T14:10:05","guid":{"rendered":"http:\/\/www.klehr.de\/michael\/?p=613"},"modified":"2014-09-07T12:37:31","modified_gmt":"2014-09-07T10:37:31","slug":"sophos-utm-multiple-s2s-ipsec-vpn-mit-failover-tutorial","status":"publish","type":"post","link":"https:\/\/www.klehr.de\/michael\/sophos-utm-multiple-s2s-ipsec-vpn-mit-failover-tutorial\/","title":{"rendered":"Sophos UTM multiple S2S IPsec VPN mit Failover – Tutorial"},"content":{"rendered":"

Hier ein kleines Tutorial wie man mehrfache IPsec Tunnel einrichtet und den Traffic \u00fcber diese Leitungen verteilt. Dazu habe ich mir eine kleine virtuelle Umgebung aufgebaut. In einer solchen Dev-Umgebung sollte man immer einen Router nutzen um das „Internet“ auch wirklich richtig zu simulieren. Hierzu eignet sich am besten eine kleine Linux-VM mit mehreren Interfaces die IP Forwarding aktiviert hat. Es kommen zwei aktuelle Sophos UTM 9.1 und zwei Win7 als Clients zum Einsatz. Eine der UTMs l\u00e4uft als Cluster f\u00fcr Tests mit aktuellen Updates.<\/p>\n

Hier eine \u00dcbersicht meiner Umgebung:
\n\"Sophos_Multi_VMs\"<\/a> \u00a0 \u00a0 \u00a0\u00a0 \"Sophos_Multi_VMs2\"<\/a><\/p>\n

Nun definieren wir auf den beiden UTMs jeweils zwei WAN und die internen Interfaces:
\n\"Sophos_Multi_Netzconfig_1\"<\/a>\"Sophos_Multi_Netzconfig_2\"<\/a><\/p>\n

Als n\u00e4chstes wird eine Interface Group mit den beiden lokalen WAN Interfaces angelegt:
\n\"Sophos_Multi_GRP_Interface\"<\/a> \"Sophos_Multi_GRP_Interface2\"<\/a><\/p>\n

Jetzt definieren wir unsere beiden IPsec Verbindungen (deren Einrichtung setze ich voraus und spare mir die Screenshots). Von Sophos 1 WAN1 zu Sophos 2 WAN3 und Sophos 1 WAN2 zu Sophos 2 WAN4:
\n\"Sophos_Multi_IPsec_1\"<\/a> \u00a0 \"Sophos_Multi_IPsec_2\"<\/a><\/p>\n

Es d\u00fcrfen keine Routen zu den Remote Netzwerken gesetzt werden. Mit gesetzten Routen wird es einen Fehler geben und nur eine Verbindung kommt zustande:
\n\"Sophos_Multi_IPsec_5_error\"<\/a>
\n\"Sophos_Multi_IPsec_6_route\"<\/a><\/p>\n

Daher nutzen wir in der VPN Definition die Option „Bind Tunnel to local Interface“:
\n\"Sophos_Multi_IPsec_3\"<\/a><\/p>\n

Jetzt wird keine Route gesetzt und beide VPN Tunnel sind aktiv:
\n\"Sophos_Multi_IPsec_7_route\"<\/a>
\n\"Sophos_Multi_IPsec_4\"<\/a><\/p>\n

Nun k\u00f6nnen wir die „Multipath Rules“ festlegen. Durch diese Regeln wird der Traffic \u00fcber beide WAN Interfaces in die Tunnel verteilt:
\n\"Sophos_Multi_MultipathRule_1\"<\/a><\/p>\n

\"Sophos_Multi_MultipathRule_2\"<\/a><\/p>\n

Damit die Interfaces auch wirklich \u00fcberwacht werden und diese Regeln greifen k\u00f6nnen, m\u00fc\u00dfen die WAN Interfaces ins „Uplink Balancing“ aufgenommen werden:
\n\"Sophos_Multi_GRP_Interface_Uplink\"<\/a><\/p>\n

Zur Kontrolle senden wir ICMP Pakete und simulieren den Ausfall eines WAN Links (z.B. durch „ifconfig eth1 down<\/em>“ auf dem Linux-Router). Der Failover kann schon mal einige Zeit dauern. Ruhe bewahren – Schock bek\u00e4mpfen:
\n\"Sophos_Multi_Failover_Ping\"<\/a>
\nFunktioniert aber!<\/p>\n

Hier sieht man wie der Traffic \u00fcber den ersten VPN Tunnel gesendet wird:
\n\"Sophos_Multi_Failover_Weg1\"<\/a><\/p>\n

Nach dem Failover wird der zweite Tunnel genutzt:
\n\"Sophos_Multi_Failover_Weg2\"<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Hier ein kleines Tutorial wie man mehrfache IPsec Tunnel einrichtet und den Traffic \u00fcber diese Leitungen verteilt. Dazu habe ich mir eine kleine virtuelle Umgebung aufgebaut. In einer solchen Dev-Umgebung sollte man immer einen Router nutzen um das „Internet“ auch wirklich richtig zu simulieren. Hierzu eignet sich am besten eine kleine Linux-VM mit mehreren Interfaces […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"aside","meta":{"footnotes":""},"categories":[25],"tags":[10,26,8],"class_list":["post-613","post","type-post","status-publish","format-aside","hentry","category-sophos-utm","tag-ipsec","tag-multipath","tag-sophos","post_format-post-format-aside"],"_links":{"self":[{"href":"https:\/\/www.klehr.de\/michael\/wp-json\/wp\/v2\/posts\/613","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.klehr.de\/michael\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.klehr.de\/michael\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.klehr.de\/michael\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.klehr.de\/michael\/wp-json\/wp\/v2\/comments?post=613"}],"version-history":[{"count":32,"href":"https:\/\/www.klehr.de\/michael\/wp-json\/wp\/v2\/posts\/613\/revisions"}],"predecessor-version":[{"id":990,"href":"https:\/\/www.klehr.de\/michael\/wp-json\/wp\/v2\/posts\/613\/revisions\/990"}],"wp:attachment":[{"href":"https:\/\/www.klehr.de\/michael\/wp-json\/wp\/v2\/media?parent=613"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.klehr.de\/michael\/wp-json\/wp\/v2\/categories?post=613"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.klehr.de\/michael\/wp-json\/wp\/v2\/tags?post=613"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}