Multizone DHCP sever wanted

Not at least till the next version.
Are you Linux fluent?
Do a Search and they show you how to do it with some console mods (values are adjusted by editing a text configuration file...)
  

WaMaR,

would be a nice feature but unfortunately not available without command line hacking in the current version [:(]

Maybe a point to start from:
http://docs.astaro.org/older_versions/ASL-V3.2/docs_v3/hacking/DHCP_multiple_served_networks.txt

Greetings
cyclops

  

I'm not Linux fluent but maybe some change in dhcpd.conf like this will work:
------------------------------------------------------------------------
DHCP Server
To use the DHCP server for both LANs:

- Change to DHCPDARGS=eth1 to DHCPDARGS="eth1 eth2" (the quotes are important) in /etc/sysconfig/dhcpd
- Add LAN #2 network information to /etc/dhcpd.conf... e.g.:

subnet 192.168.1.0 netmask 255.255.255.0 {
   range 192.168.1.100 192.168.1.254;
   option subnet-mask 255.255.255.0;
   option broadcast-address 192.168.1.255;
   option routers 192.168.1.1;
}

subnet 10.0.0.0 netmask 255.255.255.0 {
   range 10.0.0.100 10.0.0.254;
   option subnet-mask 255.255.255.0;
   option broadcast-address 10.0.0.255;
   option routers 10.0.0.1;
}
Restart the DHCP server from the web-based administration tool, or from the command line with /etc/rc.d/init.d/dhcpd restart.

   

Thanx Cyclops.

Certainly description in http://docs.astaro.org/older_versions/ASL-V3.2/docs_v3/hacking/DHCP_multiple_served_networks.txt  is more precise than my  

WaMaR,

the DHCP config file isn't the problem but the way Astaro sets its auto filters. Most services run with their config mostly default config protected by packet filters. Go to 'WebAdmin[:P]acket Filter/Filter Livelog' to see how the concept works. All filters needed for the functionality of the firewall itself are set in AUTO chains so they match before the USR chains. In case of DHCP I think you are not able to set the needed filters via the webfrontend. 

Hope you could get me
cyclops 
   

I feared it and probably, Will be better to wait for official version which have it. I hope, that there will not be for long.

Best Regards,
WaMaR  

Why don't you use a seperate DHCP server ?
Every Linux distribution and even Windows Server can do this job for you.
The firewall's only job should be to secure your system, for security reasons maybe it's not the best idea to solve everything with one box only.

Just my thoughts.
Regards, Karsten 

You can create a file in /sbin/init.d called ipfilter.local and set its permissions by using >chmod 400 ipfilter.local

use vi or joe to enter your custom rules here. They'll get loaded before the USR_INPUT/USR_OUTPUT rules created using the front end. 

In answer to KKnecht:

I somewhat agree with you on this point, but particularly when the proxy is a complex one.

Sure, it would be safer to, say, get a Blade and put each proxy on its own OS (that might even be preferable from a performance standpoint for something like an ISP! Would be nice to make that configuration flexible, wouldn't it? Same box or distributed, your choice...)

But, statistically speaking, if the proxy is a simple one the chances for exploit are reduced. Complex proxies, especially those having been recently modified and thus not really heavily field tested as they could be, offer a greater chance for exploit. Also, complex proxies are more likely to steal more CPU cycles from your packetfiltering tasks.

I feel a little uneasy with, say, the Squid proxy (both with respect to the overhead and the firewalling security possibly being breached); personally, in a large shop that might be a target, I prefer to steer them towards using a dedicated HTTP proxy on a DMZ (Reed Electronics already noted it was a little sluggish supporting a number of users). But ISC's DHCP proxy (which Astaro uses) is meager in its resource utilization, quite stable, and is not being tweaked every few weeks. So it is not an unreasonable request to make things easier for the network administrator in bundling that one with the firewall. If there is another exploit, Astaro I'm sure will be on the ball with a patch, as they have been with remediating security issues (as opposed to broken functionality ones which should always take a back seat to security ones...).

Also, DHCP is a protocol prone to hacker hijinks (if you're REALLY security conscious, you shouldn't use it, until it relies on some shared secret configuration information). So if you HAVE TO use DHCP because you're network is big, and somebody is monkeying around with it on your LAN, I'd want that centralized on the firewall to put together a big picture as to what network hijinks are going on (for example: "OK, I see he was trying to telnet out; then he started allocating DHCP leases so nobody else could use them..."). Hey, I could even add code to disable the filter rules and mail me a message when DHCP is being abused on the LAN! With the DHCP on a seperate box, that is another point of failure (network messaging) that could possibly short circuit that sort of security control mechanism.

And frankly, I would sooner trust Astaro's conservativeness in choosing a version of DHCP proxy over many other software providers...