Bei WireGuard-Tunneln zwischen Fritz!Box und Securepoint UTM kommt es ständig zu Verbindungsabbrüchen, die sich nach kurzer Zeit selbst beheben.
Das Verhalten tritt auf, wenn auf beiden Seiten ein Endpunkt eingetragen ist. Wenn ich auf der UTM bei Endpunkt nichts eintrage, läuft der Tunnel stabil ...

Ja, wenn ich das richtig beobachte habe, wird bei einem Neustart der UTM der IPSec-Dienst einfach "gekillt", beim Neustart des Dienstes wird der Gegenstelle mitgeteilt, dass die Verbindung beendet wird und dann erst wird der Dienst beendet und neu gestartet. Das kann sehr lustige Seitenefekte haben ...

Bei mir haben beide beschriebenen Lösungsmöglichkeiten funktioniert.

Bei der ersten Regel müssen Ziel und NAT-Netzwerkobjekt vertauscht werden.

Hallo Thomas,

hat das Aus- und Ein-Schalten des DHCP-Clients in deinem Fall funktioniert?

Das wäre vielleicht eine Alternative, die man in ein Skript packen könnte.

Bei verschiedenen 5G- und LTE-Modems im Bridgemode ist es anscheinend so, dass die UTM einfach nicht mitbekommt, wenn sich die ...

Hallo Thomas,

Dankeschön für die Info, das war mir neu!
Dann wird es wohl bei den betroffenen Kunden auf "reboot" hinauslaufen, wenn das 5G-Modem eine IP bekommen hat.

Schöne Feiertage

Franz

Das gleiche Problem habe ich bei einigen Kunden.

Die Sache habe ich vor langer Zeit dem Support gemeldet...:)


Als Behelf per SSH als "root" auf der UTM anmelden und folgende Befehle ausführen:

dhclient -r A1 && dhclient A1 // A1 ist in dem Fall das betroffen Interface.


Für paar Kunden habe ...

Mit der v12.6.4.1 funktioniert die Übernahme der Konfiguration auf ein neues Gerät, wenn man so vorgeht, wie Mario es beschrieben hat. Gestern habe ich noch bei zwei Kunden Geräte erneuert.
Es gab jedoch kürzlich eine Firmware (12.6.4), mit der es nicht richtig funktionierte, wenn man z. B. eine ...

Unsere SOC-Alternative

Als letztes Jahr klar wurde, dass Securepoint das SOC endgültig sterben lassen wird, hat einer unserer Azubis den Auftrag übernommen, eine Ersatzlösung zu entwickeln.
Ein kleines Tool, mit dem möglichst komfortable auf die Admin-Weboberflächen der diversen Geräte unserer ...

Hallo jankojohn,

möglich, dass man das auch über DNS-Forwarding hinbekommt, aber ich würde stattdessen in der UTM unter NAMESERVER, ZONEN entsprechende Relayzonen (mit Relaying auf die internen DNS-Server) für die internen Domains einrichten. Das ist u. A. auch erforderlich, wenn man auf der UTM AD ...

Kurze Rückmeldung: Seitdem ich in Phase 1 als "Local Gateway" statt der öffentlichen IP das zugehörige WAN-Interface eingetragen habe, ist es bei den betroffenen VPN bisher nicht mehr dazu gekommen, dass die SA für die falsche IP erzeugt oder über das falsche Interface aufgebaut wurde.

Die von ...

Das allgemeine Routing wollte ich nicht gerne umstellen, aber ich hab jetzt für die übrigen WAN-Zugänge ebenfalls IPSec-Zonen und Firewallregeln eingerichtet. Bisher funktioniert es.

Schade ist nur, dass man sich den Weg für Fallback auf SSL-VPN verstellt, wenn man das Startverhalten bei IPSec in ...

Heute Morgen hatte ich bei einem Kunden wieder den Fall, dass der Tunnel in einer Richtung tot war.
Hier hatte ich kurz Zeit, mir die SAs anzuschauen: Der Tunnel war in der Filiale mit der falschen ausgehenden IP aufgebaut worden. An dem Standort sind 3 Internetzugänge für unterschiedliche Zwecke ...

Leider handelt es sich um Produktivsysteme, weswegen ich bei einem Ausfall keine Zeit für ausführliche Tests habe. Oft melden sich die Kunden morgens um 7 oder 8 Uhr, wenn der Securepoint Support noch nicht erreichbar ist.

Aber ich meine im Fehlerfall gesehen zu haben, dass beispielsweise der Ping ...

Dann funktionieren diese Best Practice/ Standardeinstellungen leider nicht.
Die Geräte haben öffentliche IPv4 auf den WAN-Interfaces und die Einstellung (habe es gerade nochmal kontrolliert) wie oben angegeben.
Das hatte ich aber auch schon vor Wochen mit dem Support geprüft...

Gibt es inzwischen was Neues in der Sache?
Heute musste ich wieder bei zwei Filialen die IPSec-Dienste neu starten, weil der Traffic nur in einer Richtung durchging.
Nach Neustart des IPSec-Dientes in der Filiale funktionierten die Tunnel wieder.

Es kann doch nicht sein, dass man zwischen ...

Der Support hat das Problem in wenigen Minuten gelöst.
Die GEOIP-Datenkank war nicht richtig heruntergeladen worden.

Ich habe das gleiche Problem bei einem Kunden.

Bei uns im Resellerportal ist v12.3.6 nicht verfügbar.
Ist die Version zurückgezogen worden?

Ach, und ich dachte schon, ich sei der Einzige, bei dem IPSec nicht wirklich rund läuft.

Ja, die WG-Tunnel laufen wesentlich stabiler als die IPSec IKEv1. Bei IPSec hatte ich regelmäßig kurze Unterbrechungen (paar Sekunden) beim Rekeying.
Zu beachten ist, dass die FB beim import der Konfig den angegebenen Port ignoriert und selbst einen vergibt. Den muss man in der FB auslesen und in ...

Der in Windows integrierte VPN-Client (Phonebook, RAS-Dialer) funktioniert.
https://support.securepoint.de/viewtopic.php?f=27&t=10223

Die LANCOM-Clients müssen verwendet werden?

IKEv2 funktioniert sogar mit dem in Windows integrierten VPN-Client. Das habe ich bei einigen Kunden im Einsatz - insbesondere bei Geräten mit ARM-CPU, auf denen der SSL-Client von Securepoint nicht funktioniert.