Sophos IPsec VPN Bağlantı Sorunu Nasıl Çözülür?

Sophos IPsec VPN bağlantı sorunu, istemci ile Sophos Firewall arasında güvenli tünelin oluşturulamaması veya bağlantı kurulduktan sonra veri trafiğinin gerçekleşmemesi durumudur. Sorunun kaynağı; kimlik doğrulama hataları, IKE parametre uyuşmazlıkları, NAT yapılandırması, sertifika problemleri veya ağ yönlendirmeleri olabilir. Doğru log analizi ve yapılandırma kontrolü ile IPsec VPN sorunlarının büyük bölümü kısa sürede giderilebilir.

Sophos IPsec VPN Bağlantı Sorunu Nedir?

IPsec (Internet Protocol Security), uzak kullanıcıların veya farklı lokasyonlardaki ofislerin güvenli şekilde haberleşmesini sağlayan şifreli VPN teknolojisidir.

Sophos Firewall üzerinde IPsec VPN;

Site-to-Site VPN
Remote Access IPsec VPN
Sophos Connect Client üzerinden IPsec VPN

senaryolarında kullanılabilir.

Bağlantı kurulurken aşağıdaki aşamalar gerçekleşir:

IKE Phase 1 (IKE SA)
Kimlik doğrulama
Phase 2 (IPsec SA)
Şifreli tünelin oluşturulması
Trafiğin yönlendirilmesi

Bu adımlardan herhangi biri başarısız olursa VPN bağlantısı kurulamaz.

En Sık Görülen Belirtiler

VPN “Connecting” durumunda kalıyor
Authentication Failed
No Proposal Chosen
Peer not responding
Connection Timeout
Tunnel Down
VPN bağlanıyor ancak iç ağa erişilemiyor
RDP çalışmıyor
Ping başarısız
DNS çözümlemiyor

Sorunun Başlıca Nedenleri

Problem	Açıklama
Yanlış PSK	Pre-Shared Key uyuşmuyor
IKE Version uyumsuzluğu	IKEv1 / IKEv2 farklı
Encryption uyuşmazlığı	AES, SHA veya DH Group farklı
NAT problemi	UDP 500 veya UDP 4500 engelleniyor
Firewall Rule eksik	Trafik izin almıyor
Route eksik	Trafik yanlış gateway’e gidiyor
Local/Remote Subnet hatası	Ağlar yanlış tanımlanmış
Sertifika problemi	Certificate doğrulanamıyor
DNS problemi	İç sunucular çözümlenemiyor
MTU problemi	Paket parçalanıyor

İlk Kontrol Edilmesi Gerekenler

Bağlantı kurmadan önce şu kontroller yapılmalıdır:

İnternet bağlantısı çalışıyor mu?
Firewall lisansı aktif mi?
VPN Policy etkin mi?
Sophos Connect güncel mi?
Kullanıcı aktif mi?
IPsec servisleri çalışıyor mu?

Sophos’un resmi dokümantasyonunda da önerildiği gibi, sorun giderme sürecinde ilk olarak VPN yapılandırması ve log kayıtlarının incelenmesi tavsiye edilmektedir.

Sophos Firewall Loglarını Kontrol Edin

Web arayüzünden:

Logs & Reports

ardından

VPN

veya

IPsec

logları incelenmelidir.

CLI üzerinden ise:

tail -f /log/strongswan.log

veya

tail -f /log/ipsec.log

Sürüm farkına bağlı olarak StrongSwan logları veya IPsec logları kullanılabilir. SFOS’un yeni sürümlerinde IPsec altyapısı StrongSwan tabanlıdır.

IPsec Durumunu CLI’dan Kontrol Etme

SSH ile bağlanın.

Aktif tüneller:

ipsec status

Detaylı bilgi:

ipsec statusall

IKE SA bilgisi:

ipsec listalgs

Policy kontrolü:

ipsec auto –status

Bu komutlar Phase 1 ve Phase 2 durumunu anlamaya yardımcı olur.

Yaygın Hatalar ve Çözümleri

Hata	Anlamı	Çözüm
Authentication Failed	Kimlik doğrulama başarısız	PSK veya sertifika kontrol edilir
No Proposal Chosen	Şifreleme algoritmaları uyuşmuyor	AES/SHA/DH eşitlenir
Peer not responding	Karşı cihaz cevap vermiyor	UDP 500 ve UDP 4500 kontrol edilir
INVALID_ID_INFORMATION	Local veya Remote ID uyuşmuyor	ID bilgileri düzeltilir
AUTHENTICATION_FAILED	PSK yanlış	Aynı anahtar girilir
CHILD_SA negotiation failed	Phase 2 uyuşmazlığı	PFS ve subnetler kontrol edilir
Connection Timeout	Ağ erişimi yok	İnternet ve NAT kontrol edilir

Phase 1 Parametrelerini Kontrol Edin

Phase 1 aşağıdaki alanlarda tamamen aynı olmalıdır.

Encryption Algorithm
Authentication
DH Group
Key Lifetime
IKE Version

Örneğin:

AES-256

SHA256

DH14

28800 sn

IKEv2

İki tarafta da birebir aynı olmalıdır.

Phase 2 Parametrelerini Kontrol Edin

Phase 2’de kontrol edilmesi gerekenler:

AES
SHA
PFS
Lifetime
Local Network
Remote Network

En sık hata;

Remote subnet’in yanlış girilmesidir.

PSK (Pre-Shared Key) Kontrolü

En sık karşılaşılan problem yanlış PSK’dır.

Şunlara dikkat edilmelidir:

Büyük-küçük harf
Boşluk karakteri
Türkçe karakter
Kopyalama hataları

PSK değiştirildiğinde her iki firewall üzerinde de aynı anahtar kullanılmalıdır.

UDP Portlarının Açık Olduğunu Kontrol Edin

IPsec aşağıdaki portları kullanır.

Port	Amaç
UDP 500	IKE
UDP 4500	NAT Traversal
ESP Protocol 50	Şifreli veri

ISS modemleri veya ara firewall cihazları bu portları engelleyebilir.

NAT Traversal Kontrolü

NAT arkasındaki istemciler için NAT-T etkin olmalıdır.

UDP

4500

trafiğinin geçmesi gerekir.

Çift NAT bulunan yapılarda IPsec sorunları daha sık görülmektedir.

Local ve Remote Network Kontrolü

Yanlış subnet tanımı VPN’in kurulmasını engeller.

Doğru örnek:

Local:

192.168.10.0/24

Remote:

192.168.20.0/24

Yanlış tanımlar:

0.0.0.0

veya

192.168.10.0/16

Firewall Rule Kontrolü

VPN tüneli oluşsa bile erişim olmayabilir.

Kontrol edilmesi gerekenler:

LAN → VPN
VPN → LAN
VPN Zone
NAT Rule

Eksik firewall kuralı en sık görülen problemlerdendir.

Route Kontrolü

CLI’da:

route -n

veya

ip route

Yanlış route;

VPN trafiğinin internet üzerinden çıkmasına neden olabilir.

DNS Problemleri

VPN kurulmasına rağmen;

SERVER01

erişilmiyorsa DNS kontrol edilmelidir.

Test:

nslookup server01

veya

ping server01

IP ile erişiliyor ancak isim çözümlenmiyorsa DNS yapılandırması gözden geçirilmelidir.

MTU Problemleri

Bazı internet servis sağlayıcılarında MTU değeri nedeniyle IPsec paketleri parçalanabilir.

Test:

ping 192.168.1.10 -f -l 1400

Gerekirse istemci MTU değeri optimize edilmelidir.

Sophos Connect İstemcisini Güncelleyin

Eski sürümler;

IKEv2
Sertifika doğrulama
Windows güncellemeleri

ile uyumsuzluk oluşturabilir.

Sophos, yeni istemci sürümlerinin kullanılmasını önermektedir.

Windows Tarafında Kontrol Edilecekler

Komut satırı:

ipconfig /all

VPN adaptörü:

route print

Ağ durumu:

Get-NetIPConfiguration

PowerShell:

Get-NetRoute

Windows Güvenlik Duvarı veya üçüncü taraf güvenlik yazılımlarının UDP 500 ve UDP 4500 trafiğini engellemediğinden emin olun.

macOS Kullanıcıları İçin

macOS üzerinde;

Yerleşik IPsec istemcisi
Sophos Connect

kullanılabilir.

Bağlantı sorunlarında;

Sertifika güven zinciri
Anahtar zinciri (Keychain)
VPN profili
macOS sürümü

kontrol edilmelidir.

Sertifika Kullanılan Yapılarda

Sertifika tabanlı IPsec yapılandırmalarında aşağıdakiler doğrulanmalıdır:

Sertifikanın süresi dolmamış olmalı.
Güvenilen CA tarafından imzalanmış olmalı.
Firewall üzerinde doğru sertifika atanmış olmalı.
İstemci tarafında ilgili kök sertifika bulunmalıdır.

Uyarı: Sertifika değişikliği yapılmadan önce mevcut yapılandırmanın yedeğini alın. Yanlış sertifika veya eksik güven zinciri, tüm VPN kullanıcılarının bağlantısını kesebilir.

Debug Modu

CLI üzerinden debug açılabilir.

service strongswan:restart -ds nosync

veya log seviyesi artırılarak detaylı inceleme yapılabilir.

Debug işlemleri tamamlandıktan sonra normal log seviyesine dönülmesi önerilir. Yoğun debug kaydı, özellikle üretim ortamlarında disk kullanımını artırabilir.

Sorun Devam Ediyorsa

Aşağıdaki bilgiler teknik analiz için oldukça değerlidir:

strongSwan logları
VPN logları
Diagnostic Report
Packet Capture
IKE Debug çıktıları
Her iki firewall’un SFOS sürümü
Sophos Connect istemci sürümü

Sophos Support, resmi bilgi bankasında ve topluluk forumlarında bu logların incelenmesini temel sorun giderme adımlarından biri olarak önermektedir.

En İyi Uygulamalar

IKEv2 kullanın.
AES-256 ve SHA-256 tercih edin.
Güncel DH Group kullanın.
Güçlü PSK oluşturun.
SFOS ve Sophos Connect sürümlerini güncel tutun.
Düzenli yapılandırma yedeği alın.
VPN loglarını periyodik olarak izleyin.
Gereksiz eski VPN profillerini kaldırın.

Sık Sorulan Sorular

Sophos IPsec VPN neden “Connecting” durumunda kalıyor?

Genellikle UDP 500/4500 portlarının engellenmesi, NAT Traversal sorunu, yanlış PSK veya IKE parametre uyuşmazlığı nedeniyle tünel oluşturulamaz. VPN logları ve ipsec statusall çıktısı incelenmelidir.

IPsec VPN bağlanıyor ancak iç ağa erişemiyorum. Neden?

En yaygın nedenler eksik firewall kuralları, yanlış yönlendirme (route), hatalı Local/Remote subnet tanımları veya DNS yapılandırmasıdır. Öncelikle IP adresine erişim test edilmeli, ardından isim çözümlemesi kontrol edilmelidir.

Windows güncellemesinden sonra Sophos Connect IPsec VPN çalışmıyor. Ne yapmalıyım?

İlk olarak Sophos Connect istemcisinin en güncel sürümünü yükleyin. Ardından ağ bağdaştırıcısı, Windows Güvenlik Duvarı kuralları ve VPN profilini kontrol edin. Gerekirse VPN profilini yeniden içe aktarın.

macOS’ta IPsec VPN sürekli kimlik doğrulama hatası veriyor. Sebebi nedir?

Sertifika tabanlı yapılarda Keychain güven zinciri, sertifika geçerlilik süresi ve istemci profilindeki kimlik doğrulama ayarları kontrol edilmelidir. PSK kullanılan yapılarda ise anahtarın her iki tarafta birebir aynı olduğundan emin olun.

“No Proposal Chosen” hatası nasıl çözülür?

Bu hata, iki uç cihazın Phase 1 veya Phase 2 şifreleme parametreleri üzerinde anlaşamadığını gösterir. Encryption algoritması, hash algoritması, DH Group, PFS ve yaşam süreleri (Lifetime) iki tarafta da aynı olacak şekilde yeniden yapılandırılmalıdır.