Internetzugriff aus VLAN - Firewallregel

Hallo,

da ich nun meine erste Astarobox weitestgehend konfiguriert habe, habe ich noch ein kleines Problem:

Ich habe mehre VLANs (10,20,50) eingerichtet, die als eigene Schnittstellen aufgeführt sind.  
Nun möchte ich, dass VLAN 50 ins Internet Daten senden kann, aber nicht in die anderen VLANs kommt.

Unter Network Security Firewall habe ich nun eine Regel eingerichtet:
VLAN 50 (Network) -> ANY -> External WAN (Network)
External WAN ist das Netzwerk zu meiner Fritz.Box (Kabelmodem DHCP). NAT und DNS habe ich gepflegt.

Mittels dieser Regel bekomme ich aber ständig "Default Drops" im Live-Protokoll der Firewall. 

Das ist kein Fehler, das bedeutet nur die Firewall hat ein Paket gedropped welches du nicht explizit in deinen Regeln aufführst. 

Um das nicht über den Default zu machen musst du 2 Regeln anlegen:

1 Allow: VLAN 50 (Network) -> ANY -> External WAN (Network)
2 Deny: VLAN 50 (Network) -> ANY -> ANY



Ändere ich die Regel in

VLAN 50 (Network) -> ANY -> ANY

funktioniert es einwandfrei. Wohl eher nicht...

Ich bekomme dann aber auch Zugriff auf die anderen VLANs, was ich nicht möchte. Ist klar, schreibst du ja in der Regel... Clients aus VLAN 50 dürfen überall (ANY) rumturnen.

Jetzt weiß ich leider nicht wie ich es hinbekomme, dass ANY gleich alles im Internet aber nicht die internen VLANs ist.
Kann mir hier jemand einen Tipp geben?

Grüße und Danke
Ralf

Hallo,

da ich nun meine erste Astarobox weitestgehend konfiguriert habe, habe ich noch ein kleines Problem:

Ich habe mehre VLANs (10,20,50) eingerichtet, die als eigene Schnittstellen aufgeführt sind.  
Nun möchte ich, dass VLAN 50 ins Internet Daten senden kann, aber nicht in die anderen VLANs kommt.

Unter Network Security Firewall habe ich nun eine Regel eingerichtet:
VLAN 50 (Network) -> ANY -> External WAN (Network)
External WAN ist das Netzwerk zu meiner Fritz.Box (Kabelmodem DHCP). NAT und DNS habe ich gepflegt.

Mittels dieser Regel bekomme ich aber ständig "Default Drops" im Live-Protokoll der Firewall. 

Das ist kein Fehler, das bedeutet nur die Firewall hat ein Paket gedropped welches du nicht explizit in deinen Regeln aufführst. 

Um das nicht über den Default zu machen musst du 2 Regeln anlegen:

1 Allow: VLAN 50 (Network) -> ANY -> External WAN (Network)
2 Deny: VLAN 50 (Network) -> ANY -> ANY



Ändere ich die Regel in

VLAN 50 (Network) -> ANY -> ANY

funktioniert es einwandfrei. Wohl eher nicht...

Ich bekomme dann aber auch Zugriff auf die anderen VLANs, was ich nicht möchte. Ist klar, schreibst du ja in der Regel... Clients aus VLAN 50 dürfen überall (ANY) rumturnen.

Jetzt weiß ich leider nicht wie ich es hinbekomme, dass ANY gleich alles im Internet aber nicht die internen VLANs ist.
Kann mir hier jemand einen Tipp geben?

Grüße und Danke
Ralf