Sophos Firewall XG Firewall Routing Modus und als Gateway

Question

Hallo liebe Mitglieder, kann mir jemand den unterschied zwischen Firewall Routing Modus und als Gateway erklären ? Ich bin neu in diesem Thema und würde mich über irgend welche Informationen sehr freuen. Ich habe eine Sophos Firewall XG. Danke für eure Unterstützung. Gruß Leon

This thread was automatically locked due to age.

lna · Accepted Answer

Hi Leon, 
 der Bintec kommt an den WAN Port der Firewall. 
 die Firewall kann Ihre Adresse per DHCP vom Bintec bekommen oder statisch eingestellt werden - der WAN Port der Firewall muss halt konfiguratorisch zum LAN Port des Bintec passen. 
 alternativ - schmei&szlig; das teil raus besorg dir ein passendes Modem und lass die Firewall die Einwahl selbst machen. 
 Am Bintec muss nur dann etwas konfiguriert werden, wenn du Dienste Hosten m&ouml;chtest (z.b. SSL Remote Access VPN ), dann brauchst du da entsprechende NAT Regeln. 
 
 Gru&szlig; Lukas

lna · Answer

Hi Leon, 
 eine DMZ ist ein bereich in dem Services betrieben werden, die sowohl aus dem Internet, als auch aus dem internen Netz erreichbar sein sollen. 
 Wenn ein System aus dem Internet erreichbar ist, ist es potentiell einfacher anzugreifen, daher m&ouml;chte man es klassisch nicht mit anderen Services im selben Netzsegment betreiben und die Zugriffe zwischen diesen Segmenten &uuml;ber eine Firewall regulieren. 
 Die aufgedruckte Beschriftung DMZ, LAN, WAN ist als Vorschlag zu betrachten (die am h&auml;ufigsten vorkommenden Zonen). du kannst jeden dieser Ports f&uuml;r jeden dieser Zwecke verwenden. --> also aus DMZ auch LAN2 machen. 
 
 Gru&szlig; Lukas

lna · Answer

Hallo Leon, 
 es gibt keinen Unterschied zwischen Routing Modus und Gateway. 
 
 Die XG kennt drei Betriebsmodi: 
 Routing / Gateway Mode: 
 - Die Firewall arbeitet als Router / Gateway Firewall, hat also in jedem Netzsegment eine eigene IP Adresse und arbeitet dort als (default-) Gateway. 
 Inline / Bridge Mode: 
 - Die Firewall hat keine aktiven IP Adressen (ja klar, eine f&uuml;r das Management) in den abzugrenzenden Netzsegmenten und wird transparent (wie ein Switch mit zwei Ports) innerhalb eines L2 Netzsegments eingesetzt. 
 - Einsatz z.b. vor einem bestehenden Router oder einer bestehenden Firewall --> Uplink der XG wird mit dem "Downlink" des bestehenden Router / Firewall verbunden, "Downlink" der XG mit dem Switch / dem VLAN was eigentlich an den bestehenden Router angebunden war. 
 Kann so ohne &Auml;nderung an der bestehenden Infrastruktur das Schutzniveao erh&ouml;hen. 
 
 Discovery / TAP Mode: 
 - Es wird auf dem Switch ein Mirror Port eingerichtet, der allen Traffic Spiegelt, der zur eigentlichen Firewall geschickt wird. An diesen Mirror Port wird nun die XG angeschlossen, hier kann sie (passiv) m&ouml;gliche Bedrohungen aufzeichnen und spuckt regelm&auml;&szlig;ig sch&ouml;ne Reports aus ("w&auml;re ich deine Prim&auml;re Firewall h&auml;tte ich folgende Bedrohungen abhalten k&ouml;nnen"). 
 
 Gru&szlig; Lukas

lna · Answer

Hallo Leon, 
 ja, Gateway Modus ist hier richtig. 
 
 Wenn im Transfernetz zwischen Firewall und Bitec Router keine weiteren Ger&auml;te vorhanden sind, ist alles bestens und das Routing einfach. 
 
 Dann brauchst du auf dem Router nichts machen. 
 Auf der XG konfigurierst du das Interface, was zum Bitec geht als WAN Port und vergibst eine IP aus dem Bitec-Netz. 
 
 Auf der XG legst du f&uuml;r deine VLANs eine Regel an "Vlans nach WAN (any)" (bzw. so granular wie du es brauchst - nicht vom Beispiel abschrecken lassen. 
 Auf dieser wird NAT (Masquerading) aktiviert.

Damit wird aller Traffic der am Bitec vorbei richtung Internet geht mit der WAN IP der XG maskiert, sodass du auf dem Bitec keine Routen setzen musst. 
 auch der Traffic zum Bitec, den kannst du dann weiterhin managen, wenn deine Firewallregeln das erlauben. 
 
 F&uuml;r die VLANS (die sind ja "direct Connected") brauchst du in der XG auch keine Routen einstellen, nur Firewallregeln, die den Zugriff zwischen den Vlans und von den VLANs zum Internet regeln. 
 
 Gru&szlig; Lukas