Crear una VPN SSL en SOPHOS XG Firewall

Pasos para crear un VPN SSL en Sophos XG Firewall

[@Dante394]

Excelente me funcionó a la perfección, nada más para aquellos que su módem no está en modo puente tienen que abrir los puertos y funciona perfectamente.

[@MeGaDAzA]

Muchas gracias por tan detallada explicación, me funciono los procesos que requería realizar!

[@ruthcoronado1862]

Excelente video, gracias por compartir el conocimiento y la disponibilidad de ayudar, estoy aprendiendo a manejar el sophos xg y me han aclarado muchas dudas sus turoriales, gracias.

[@ArturoCervantesRamirez]

Estimado Edison, Mil gracias por tu gentil aporte a la comunidad, aprovecho la oportunidad para solicitar tu ayuda, tengo el siguiente problema: Después de ver el video muy atentamente, implemente el XG y procedí a configurar paso a paso la VPN como lo explicas en el video, cuando lo probé la VPN, todo funciona de maravilla hasta el punto de hacer ping de mi cliente VPN a los equipos de la Lan, llego hasta la ip de la Puerta Lan del XG, me responde genial, pero cuando intento llegar a otros equipos de la Lan no llego y obvio que están en el mismo segmento de la Lan del XG, aqui te paso el Log de la conexión de mi cliente VPN para que lo revises por favor, Se que puedes ver mas allá de lo evidente en esas líneas y desde ya, te estoy muy agradecido por tu gentil ayuda, Un fuerte abrazo y saludos cordiales a la distancia desde Lima - Perú. **** Log *** Tue Dec 15 01:26:13 2020 OpenVPN 2.3.8 i686-w64-mingw32 [SSL (OpenSSL)] [LZO] [IPv6] built on Jul 3 2017 Tue Dec 15 01:26:13 2020 library versions: OpenSSL 1.0.2l 25 May 2017, LZO 2.09 Enter Management Password: Tue Dec 15 01:26:13 2020 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25341 Tue Dec 15 01:26:13 2020 Need hold release from management interface, waiting... Tue Dec 15 01:26:14 2020 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25341 Tue Dec 15 01:26:14 2020 MANAGEMENT: CMD 'state on' Tue Dec 15 01:26:14 2020 MANAGEMENT: CMD 'log all on' Tue Dec 15 01:26:14 2020 MANAGEMENT: CMD 'hold off' Tue Dec 15 01:26:14 2020 MANAGEMENT: CMD 'hold release' Tue Dec 15 01:26:25 2020 MANAGEMENT: CMD 'username "Auth" "telematica"' Tue Dec 15 01:26:25 2020 MANAGEMENT: CMD 'password [...]' Tue Dec 15 01:26:25 2020 Socket Buffers: R=[65536->65536] S=[65536->65536] Tue Dec 15 01:26:25 2020 Attempting to establish TCP connection with [AF_INET]192.168.2.3:8443 [nonblock] Tue Dec 15 01:26:25 2020 MANAGEMENT: >STATE:1608013585,TCP_CONNECT,,,,,, Tue Dec 15 01:26:26 2020 TCP connection established with [AF_INET]192.168.2.3:8443 Tue Dec 15 01:26:26 2020 TCPv4_CLIENT link local: [undef] Tue Dec 15 01:26:26 2020 TCPv4_CLIENT link remote: [AF_INET]192.168.2.3:8443 Tue Dec 15 01:26:26 2020 MANAGEMENT: >STATE:1608013586,WAIT,,,,,, Tue Dec 15 01:26:26 2020 MANAGEMENT: >STATE:1608013586,AUTH,,,,,, Tue Dec 15 01:26:26 2020 TLS: Initial packet from [AF_INET]192.168.2.3:8443, sid=0aa752f9 e6e42da2 Tue Dec 15 01:26:26 2020 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this Tue Dec 15 01:26:26 2020 VERIFY OK: depth=1, C=PE, ST=Lima, L=Lima, O=Telemática Ingenieros SRL, OU=Gerencia General, CN=Gerencia, emailAddress=[e-mail] Tue Dec 15 01:26:26 2020 VERIFY X509NAME OK: C=PE, ST=Lima, L=Lima, O=Telemática Ingenieros SRL, OU=Gerencia General, CN=Gerente, emailAddress=[e-mail] Tue Dec 15 01:26:26 2020 VERIFY OK: depth=0, C=PE, ST=Lima, L=Lima, O=Telemática Ingenieros SRL, OU=Gerencia General, CN=Gerente, emailAddress=[e-mail] Tue Dec 15 01:26:27 2020 Data Channel Encrypt: Cipher 'AES-128-CBC' initialized with 128 bit key Tue Dec 15 01:26:27 2020 Data Channel Encrypt: Using 256 bit message hash 'SHA256' for HMAC authentication Tue Dec 15 01:26:27 2020 Data Channel Decrypt: Cipher 'AES-128-CBC' initialized with 128 bit key Tue Dec 15 01:26:27 2020 Data Channel Decrypt: Using 256 bit message hash 'SHA256' for HMAC authentication Tue Dec 15 01:26:27 2020 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 2048 bit RSA Tue Dec 15 01:26:27 2020 [Gerente] Peer Connection Initiated with [AF_INET]192.168.2.3:8443 Tue Dec 15 01:26:28 2020 MANAGEMENT: >STATE:1608013588,GET_CONFIG,,,,,, Tue Dec 15 01:26:29 2020 SENT CONTROL [Gerente]: 'PUSH_REQUEST' (status=1) Tue Dec 15 01:26:29 2020 PUSH: Received control message: 'PUSH_REPLY,route-gateway 192.168.200.1,sndbuf 0,rcvbuf 0,sndbuf 0,rcvbuf 0,ping 450,ping-restart 1800,route 192.168.40.0 255.255.255.0,topology subnet,route remote_host 255.255.255.255 net_gateway,inactive 3600 30720,dhcp-option DNS 200.48.225.130,dhcp-option DNS 200.48.225.146,dhcp-option DOMAIN google.com.pe,ifconfig 192.168.200.2 255.255.255.0' Tue Dec 15 01:26:29 2020 OPTIONS IMPORT: timers and/or timeouts modified Tue Dec 15 01:26:29 2020 OPTIONS IMPORT: --sndbuf/--rcvbuf options modified Tue Dec 15 01:26:29 2020 Socket Buffers: R=[65536->65536] S=[65536->65536] Tue Dec 15 01:26:29 2020 OPTIONS IMPORT: --ifconfig/up options modified Tue Dec 15 01:26:29 2020 OPTIONS IMPORT: route options modified Tue Dec 15 01:26:29 2020 OPTIONS IMPORT: route-related options modified Tue Dec 15 01:26:29 2020 OPTIONS IMPORT: --ip-win32 and/or --dhcp-option options modified Tue Dec 15 01:26:29 2020 ROUTE_GATEWAY 192.168.2.1/255.255.255.0 I=27 HWADDR=1c:1b:0d:7b:97:e0 Tue Dec 15 01:26:29 2020 open_tun, tt->ipv6=0 Tue Dec 15 01:26:29 2020 TAP-WIN32 device [Red VPN] opened: \\.\Global\{3279C584-C3B2-4F5D-9164-2D6669745A22}.tap Tue Dec 15 01:26:29 2020 TAP-Windows Driver Version 9.21 Tue Dec 15 01:26:29 2020 Set TAP-Windows TUN subnet mode network/local/netmask = 192.168.200.0/192.168.200.2/255.255.255.0 [SUCCEEDED] Tue Dec 15 01:26:29 2020 Notified TAP-Windows driver to set a DHCP IP/netmask of 192.168.200.2/255.255.255.0 on interface {3279C584-C3B2-4F5D-9164-2D6669745A22} [DHCP-serv: 192.168.200.254, lease-time: 31536000] Tue Dec 15 01:26:29 2020 Successful ARP Flush on interface [12] {3279C584-C3B2-4F5D-9164-2D6669745A22} Tue Dec 15 01:26:29 2020 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0 Tue Dec 15 01:26:29 2020 MANAGEMENT: >STATE:1608013589,ASSIGN_IP,,192.168.200.2,,,, Tue Dec 15 01:26:33 2020 TEST ROUTES: 3/3 succeeded len=3 ret=1 a=0 u/d=up Tue Dec 15 01:26:33 2020 MANAGEMENT: >STATE:1608013593,ADD_ROUTES,,,,,, Tue Dec 15 01:26:33 2020 C:\WINDOWS\system32 oute.exe ADD 192.168.2.3 MASK 255.255.255.255 192.168.2.1 IF 27 Tue Dec 15 01:26:33 2020 Route addition via service succeeded Tue Dec 15 01:26:33 2020 C:\WINDOWS\system32 oute.exe ADD 192.168.40.0 MASK 255.255.255.0 192.168.200.1 Tue Dec 15 01:26:33 2020 Route addition via service succeeded Tue Dec 15 01:26:33 2020 C:\WINDOWS\system32 oute.exe ADD 192.168.2.3 MASK 255.255.255.255 192.168.2.1 IF 27 Tue Dec 15 01:26:33 2020 ROUTE: route addition failed using service: El objeto ya existe. [status=5010 if_index=27] Tue Dec 15 01:26:33 2020 Route addition via service failed Tue Dec 15 01:26:33 2020 Initialization Sequence Completed Tue Dec 15 01:26:33 2020 MANAGEMENT: >STATE:1608013593,CONNECTED,SUCCESS,192.168.200.2,192.168.2.3,8443,192.168.2.21,52648 *** Fin del Log ***

[@evandarioalvaradopana188]

Muy buen aporte no sabes cuanto me sirvió el vídeo

[@edisonperez3388]

Excelente.

[@soportetecnologico1104]

Te pasaste me funciono perfecto, Saludos desde chile y gran tutorial.

[@simotecsas7803]

Ok Perfecto muy buena explicación y todo funciono Ok aplicando las instrucciones de este video.

[@alexchamorro1884]

Gracias por la información , me sirvió de mucho , éxitos

[@AlvaroOrtizMorales]

Excelente explicación, gracias!

[@adanjaraayala3980]

Hola Edison muy didáctico tu manera de explicar felicitaciones, como se podría hacer en caso de SOPHOS UTM 9, si pudieras orientarme te lo agradecería infinitamente... muchas gracias

[@ideasvirtuales4861]

gracias por este tutorial

[@mono4all628]

Excelente, muchas gracias

[@cdcp4569]

Buenas tardes, excelente video muy util, una pregunta, en la parte de la creación VPN-SSL... Se puede Editar el pool de direcciones configurada inicialmente, o sea ya tengo funcionando la vpn, pero quiero ampliar el numero de host y a también tener IPs fijas, es posible?

[@valdereiantunes]

Ótima explicação, obrigado por compartilhar.

[@victorsalcedo4439]

Buenos dias Edison, me gustan muchos tu videos no si podrás hacer algun dia uno sobre configurar email proteccion.

[@edisonperez3388]

Muy buenas, claro que si, vamos hacerlo en próximos videos... Debemos de implementar un ambiente de correo interno y uno con correo hosteado, apenas tengamos esto realizaremos el vídeo.

[@rbjm225]

Gracias, estoy ya lo verifique, tiene una fecha de expiración de un año y es un "Self Signed Certificate".

[@edisonperez3388]

Ok, bueno la recomendación que te hago es que actualices el Firmware del Sophos a la Ultima versión la cual es SFOS 16.05.7 MR-7 --- Y hagas el proceso de nuevo de crear el Certificado.

[@seguridadinformaticas.a.s4090]

Hola, sería bueno un video de cómo configurar correctamente los DNS internos en el Sophos XG Firewall

[@edisonperez3388]

Muy buenas, Bueno para los DNS es muy sencillo, te puedo orientar por aca --- es entrar al XG Firewall: ir a: 1) Network. 2) DNS. 3) DNS Static : DNS 1: DNS Interno de la compañía DNS 2: DNS Principal del Canal de Internet. DNS 3: DNS Principal de canal secuendario de Internet (Si tienen otro canal de Internet) ó DNS Publico (Si no tienen otro canal de Internet). Si tienes alguna duda por favor comenta.

[@alejandrocalvo9189]

Hola Edison, excelente video ... como puedes definir solo una WAN para conectarte con vpn ssl si es que tienes varias WAN? saludos!

[@edisonperez3388]

Muy buenas, El Sophos por defecto hace FailOver de Canales de Internet -- Pero si quieres amarrar que siempre se conecten priorizando un Internet en especifico, cuando ingreses al portal de usuario hacerlo por la IP publica que quieres priorizar ---

[@rbjm225]

Gracias ya he logrado realizar la conexión con el cliente. Disculpa ahora tengo otro inconveniente, uno de los servidores dentro de la LAN a la que se conecta la VPN tiene la IP 172.168.254.143; la IP que me asigna la VPN es la 10.81.234.6 estoy haciendo la prueba a través de una conexión fuera de la LAN a la que quiero conectar.

[@edisonperez3388]

si es normal, la Red que toma la conexion VPN SSL debe ser distinta a la Red Interna -- Ahora solo debes de conectar como si estuvieras localmente --- asegurate de que el PC no tenga algun tipo de firewall que este bloqueando el trafico --- te recomiendo hacer Tracert-

[@ralogar09]

Me pasa igual. Podrías explicarme con detalle qué se debe hacer en ese caso si eres tan amable?. Tengo un servidor al cual debo tener acceso desde afuera que posee una dirección IP 192.168.10.5 pero como notamos me brinda la vpn una dirección con rangos diferentes. Es como crear un archivo .bat para crear un enrutamiento estático para lograr las conexiones?

[@sspesc091132]

Disculpa hago todo bien lo que no entiendo que es lo que se pone en la ip publica?

[@wilsontitoana8615]

Hola Amigo, tengo un problema, ya creo la vpn como el tutorial, ya se me establece la conexión pero no puedo darle ping a la red internet (LAN), no se si tengo problemas en las reglas del firewaal pero segui el manual paso por paso pero no se por que se me presente el error, alguna sugerencia o que debo verificar

[@ArturoCervantesRamirez]

Hola Wilson, un gusto saludarte y aprovecho para consultarte lo siguiente, llegaste a solucionar el problema de conexión de tu cliente vpn a los equipos de tu Lan...??? desde ya, agradeceré tu gentil respuesta. Saludos desde Lima - Perú... :)

[@CARRASCAL128]

hola amigo me podrias ayudar. al momento de darle descargar cliente y configuracion, no descarga nada. eh intentado en todos los navegadores y le di click a todos los link pero sin resultado.el modelo de mi firewall xg es: xg115w

[@edisonperez3388]

Muy buenas, puedes intentar por favor actualizando el firmware del Sophos y luego haces todos los pasos nuevamente.

[@MrBeNJ4]

Amigo has un video de sophos utm con la integracion de duo mfa

[@gerardogutierrez4597]

Buenas tardes podrias realizar un video de como publicar una camara IP o abrir puerto ..., Saludos

[@edisonperez3388]

Muy buenas, Claro que sí este vídeo estará muy pronto.

[@johnnysandovalperdomo5500]

Hola, hace varios años vi que tenias un video de como crear una vpn l2tp en sophos (se usa mucho paraacceso vpn a mac), pero no lo encuentro. Podemos acceder nuevamente a el? Gracias

[@selvineduardocarias5493]

hola, muy buen tutorial, tenia una pregunta: Como puedo bloquear las conexiones de escritorio remoto a las Pc de mi red mediante el sophos?

[@edisonperez3388]

Lo puedes hacer siempre y cuando esten en zonas diferentes. -- Ej: Zona LAN, Zona Server -- Puedes denegar o permitir solo algunos equipos de la LAN entren por RDP a tus equipos en la Zona Server.

[@cesaruchuyalinares5594]

aun trabajas con sophos? tengo un problema

[@danielmasuco5856]

Estimados en el USER PORTAL no aparece la opcion de SSL VPN para realizar la descarga, Me pueden guiar? Saludos!

[@rbjm225]

Buenas tardes Edison, al momento de seleccionar el SSL Server Certificate en la parte de SSL VPN Settings, solo me permite seleccionar el ApplianceCertificate a pesar de que ya se creo el certificado de prueba de acuerdo a los pasos que indicas. ¿A que se puede deber? ¿Hay algún ajuste o paso adicional para que este disponible?

[@edisonperez3388]

Muy buenas, verifica primero que el certificado que estas creando sea un "Generate self-signed certificate" y que tenga una fecha de Expedición "Valid Until" por lo menos de 1 día. para que sea valido.

[@CindyPatriciaRodriguezPalacio]

Buena tarde, es posible borrar o eliminar los usuarios de autenticación a la VPN SSL? En caso afirmativo, me podrías indicar como?

[@antcampcas]

hola ayuda tengo un sophos xg 85 y realice los pasos de su configuracion pero no me en el cliente SSL VPN por ende no me descarga el semaforo, que omiti ya he revizado el video y no logro encontrar porque no me sale, te agradezco en mil si me puedes ayudar.

[@leodaniel2060]

Hola Edison , tengo una consulta, habra alguna forma de cambiar el puerto de conexión del enlace VPN SSL (8443) por otro ,ya que el del portal de usuario si se puede ,pero no veo opcion de cambiar el de la conexión VPN. Saludos

[@edisonperez3388]

Muy buenas, con Sophos XG Firewall NO podemos cambiar el Puerto de conexión SSL VPN 8443, si el del portal de usuario como usted antes lo menciona.

[@Gersonp2114]

Hola Edinson espero estés bien, tengo una duda no he podido ingresar al portal de usuario por medio de la ip publica

[@edisonperez3388]

Muy bueanas, para esto debes validar que este habilitado, para validarlo debes ir a: Administration - Devices Access y validar que en la fila WAN este activo el chulo de la columna User Portal. --- Luego también debes validar que puerto esta configurado para ingresar al portal de usuario y para validarlo te vas a - Administration - Admin Settings - allí veras en el User Portal https Port, si deseas puedes cambiarlo también.

[@mardukcastro4904]

Amigo tengo problemas para acceder a la web de usuario para descargar ña vpn client

[@solucionti]

que tal Edison por que no me aparece para descargar el cliente?

[@rbjm225]

Buen día. Al día de hoy ya me aparece el certificado disponible para asignarlo. He seguido los pasos que indicas; sin embargo al momento de conectar a través del cliente VPN, me aparece un mensaje de error "error 14090086:SSL routiness:ssl_get_server_certificate:certificate verify failed"

[@edisonperez3388]

Muy buenas, Te recomiendo vuelvas a hacerlo de 0. y hagas la prueba.

[@rbjm225]

Buen día. Estuve realizando algunas pruebas con respecto a la conexión. Lo que sucede es lo siguiente. El UTM esta configurado con la IP 172.168.254.250; al momento de conectar con el cliente VPN puedo hacer ping a dicha IP. Ahora el servidor al requiero conectar tiene la IP 172.168.254.143 y su puerta de enlace es la 172.168.254.241, por dicha razón no puedo alcanzar dicho equipo, salvo que cambie la puerta del enlace a la 172.168.254.250. Hay alguna manera de configurar que al conectarse por VPN se rutee para que se enlace por la puerta de enlace .241; esto debido a que en dicho servidor tengo algunos servicios que estan publicados y requiere tener la puerta de enlace 172.168.254.241. Gracias.

[@edisonperez3388]

Muy buenas, si hay manera de poder llegar a el sin cambiar la puerta de enlace -- En la regla de firewall de VPN a LAN por favor habilitale "Rewrite source address (Masquerading)" y en "Use Outbound Address" establecer "MASQ" y Listo

[@antcampcas]

ya logre configurar el acceso a VPN pero lo extraño es que no logro hacer Ping a mi servicio interno si me puedes ayudar, y ya me asigno la IP 10.81.234.6 pero no logro hacer ping a mi ip interna 192.168.50.252 que es mi server. que puede ser? una regla o algo que omiti. saludos y gracias

[@davidramonsalazar9960]

Hay posibilidad que me pueda explicar como montar una VPN de sitio a sitio.

[@edisonperez3388]

Muy buenas, si señor, en próximos videos

[@fabianabarca4514]

hola edison puedes hacer un video de como configurar una vpn pptp, la e configurado y no me funciona, quisiera ver los pasos que realizas tu, y compararlos con los mios. de ante mano muchas gracias

[@edisonperez3388]

Muy buenas, bueno este tipo de VPN no es muy seguro por lo cual no lo utilizamos tanto, pero lo meteré en la lista de videos a realizar.

¿ Como se licencian los clientes VPN SSL?

[@antonioquiroz297]

Hola, con la licencia Base puedes realizar la creación y configuraciones para VPN SSL, no se necesita una licencia especial. Si deseas mas información no dudes en ingresar a : www.liacolombia.com empresa certificada para SOPHOS en Colombia - Barranquilla y con mucho gusto nuestro departamento de soporte te apoyara de inmediato. Saludos

[@doitercast3848]

Buen dia, estoy obteniendo el siguiente error al querer conectar con el cliente instalado: Mon Mar 23 16:06:07 2020 library versions: OpenSSL 1.0.2l 25 May 2017, LZO 2.09 Mon Mar 23 16:06:07 2020 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340 Mon Mar 23 16:06:07 2020 Need hold release from management interface, waiting... Mon Mar 23 16:06:07 2020 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340 Mon Mar 23 16:06:08 2020 MANAGEMENT: CMD 'state on' Mon Mar 23 16:06:08 2020 MANAGEMENT: CMD 'log all on' Mon Mar 23 16:06:08 2020 MANAGEMENT: CMD 'hold off' Mon Mar 23 16:06:08 2020 MANAGEMENT: CMD 'hold release' Mon Mar 23 16:06:15 2020 MANAGEMENT: CMD 'username "Auth" "rafael.velazquez"' Mon Mar 23 16:06:15 2020 MANAGEMENT: CMD 'password [...]' Mon Mar 23 16:06:15 2020 Socket Buffers: R=[65536->65536] S=[65536->65536] Mon Mar 23 16:06:15 2020 Attempting to establish TCP connection with [AF_INET]MIIPPUBLICA:8443 [nonblock] Mon Mar 23 16:06:15 2020 MANAGEMENT: >STATE:1585001175,TCP_CONNECT,,,,,, Mon Mar 23 16:06:25 2020 TCP: connect to [AF_INET]MIIPPUBLICA:8443 failed, will try again in 5 seconds: El sistema ha intentado unir una unidad a un directorio de una unidad ya unida. Mon Mar 23 16:06:25 2020 SIGUSR1[soft,init_instance] received, process restarting Mon Mar 23 16:06:25 2020 MANAGEMENT: >STATE:1585001185,RECONNECTING,init_instance,,,,, Mon Mar 23 16:06:25 2020 Restart pause, 5 second(s)

[@DiegoSanchez-oi5ii]

He realizado lo mismo pero no me logra conectar a la VPN =( no se qe hacer SOS

[@mardukcastro4904]

tu lograste solucionarlo?