Weird Problem

Looks like you have your DMZ in the same address space as your internet link. Shouldn't the DMZ be in a private address space?

What about connectivity? Make sure the DMZ, WAN and Intranet NIC's are connected to different hub/switches otherwise they will flood each other off the network.

Just a start.

Hi Simon

Try and set 

MASQ Rules:
eth0 -> HTTP  with eth1-interface
eth2 -> HTTP  with eth1-interface

and try to reach it over HTTP protocol, if this works, it was the same problem we had. Unfortunately noboday wrote anythin to our posting   [:(]  

regards, mcpool

I'm confused why you did this

MASQ
eth2 -> with eth1-interface

This means your translating your internet link into your DMZ and thus cutting off your connection to the internet. All traffic trying to get to the internet will be MASQ'ed into the DMZ, then DMZ traffic will try to go out eth2 and supposedly go to the internet, but head back into DMZ and create a loop. Sorry if my thinking is wrong here.

Also there is no MASQ for your 802.11 network so its traffic will never go anywhere.

I'm not sure why you need to MASQ your internal networks to the DMZ and not just MASQ it to the internet link(eth2). 

I would try something more like this
Rules aside...just make rules to allow anything.
MASQs should look something like this
eth0 -> ANY with eth2-interface
eth3 -> ANY with eth2-interface


Josh

[ 16 April 2002: Message edited by: PJPorch ]

Thanx for your help, but here sum comments:

@biffa, nope if you calculate you see that these are two /27 networks (2 x 16IPs). the mask is 255.255.255.240 which makes 16 ips if they were in the same adressroom the mask had to be 255.255.255.224.

the connectivity has been validated several times and runs properly.
as i write before: firewall reaches all hosts on eth0 eth1 and eth2(the internet), but a host from eth1 cannot reach a host on the eth2 interface, dont know why...  [;)] 

@mcpool
thnx, but this would be no good idea if i would masq my router. the only interfaces which have to masq are eth0 and eth3 (thos are internal networks)  [;)] 

@PJPorch
do you mean me or mcpool. whatever - i have not masqed eth2 with eth1. this wouldnt work  [;)] 
actually i did the very same configuration lately as yuo described.  [;)] 

but here comes the victory: i have solved the problem.  [;)]  it wasnt the firewall at all. my router did use an old configuration (dont ask me why, guess i have to kick sum ass tomorrow on tech-meeting).
Whatever - this old configuration has used the mask 255.255.255.224 for the militaryZone which confused my firewall because the firewall did know the right mask and did know that the network has been split in 2 equal sizes.

so all i had to do was setting the routers interface mask to 255.255.255.240 again and added a static route for the DMZ with gateway of the firewall. thats is!  [:)] 

neverthe less - meanwhile i have figured out sum minor bugs on astaro:
-changing masq rules requires reboot
-its not possible to detach an interface configuration (e.g. if i wanna drop the WLAN network from definitions/interfaces).
-root cannot login via ssh anymore (wrong ssh version)
-also its dangerous to use ssh1, why the dont use openssh2? ssh1 is potential dangerous caused by the light encrypted key!

does sumone know if there is a possibility to split the accounting in customer ip which had caused the traffic?! 
example: eth3 interface (wlan) has multiple clients. at the end of the month i want to see what IP has caused what amount of traffic on this particular interface... ideas?

thanx Simon

Thanx for your help, but here sum comments:

@biffa, nope if you calculate you see that these are two /27 networks (2 x 16IPs). the mask is 255.255.255.240 which makes 16 ips if they were in the same adressroom the mask had to be 255.255.255.224.

the connectivity has been validated several times and runs properly.
as i write before: firewall reaches all hosts on eth0 eth1 and eth2(the internet), but a host from eth1 cannot reach a host on the eth2 interface, dont know why...  [;)] 

@mcpool
thnx, but this would be no good idea if i would masq my router. the only interfaces which have to masq are eth0 and eth3 (thos are internal networks)  [;)] 

@PJPorch
do you mean me or mcpool. whatever - i have not masqed eth2 with eth1. this wouldnt work  [;)] 
actually i did the very same configuration lately as yuo described.  [;)] 

but here comes the victory: i have solved the problem.  [;)]  it wasnt the firewall at all. my router did use an old configuration (dont ask me why, guess i have to kick sum ass tomorrow on tech-meeting).
Whatever - this old configuration has used the mask 255.255.255.224 for the militaryZone which confused my firewall because the firewall did know the right mask and did know that the network has been split in 2 equal sizes.

so all i had to do was setting the routers interface mask to 255.255.255.240 again and added a static route for the DMZ with gateway of the firewall. thats is!  [:)] 

neverthe less - meanwhile i have figured out sum minor bugs on astaro:
-changing masq rules requires reboot
-its not possible to detach an interface configuration (e.g. if i wanna drop the WLAN network from definitions/interfaces).
-root cannot login via ssh anymore (wrong ssh version)
-also its dangerous to use ssh1, why the dont use openssh2? ssh1 is potential dangerous caused by the light encrypted key!

does sumone know if there is a possibility to split the accounting in customer ip which had caused the traffic?! 
example: eth3 interface (wlan) has multiple clients. at the end of the month i want to see what IP has caused what amount of traffic on this particular interface... ideas?

thanx Simon