Bridge bei allen Schnittstellen UTM9

Hallo,

dann zeig uns bitte einmal die Definition der Schnittstellen und dann die Defintion der Firewallregeln dazu. Ein NAT ist für internes Routing nicht erforderlich bzw. egal.

Die internen IP-Adressen sind ja "ungefährlich", daher bitte diese nicht schwärzen.

Hallo,

Herzlich willkommen hier in der Community !

(Sorry, my German-speaking brain isn't creating thoughts at the moment. )

NAT and masquerading?  You will cause such problems if you NAT/masq traffic between your networks.

WebAdmin automatically creates routes between all networks defined on UTM interfaces.  You decide with firewall rules which traffic is allowed.

As Philipp implies, "a picture is worth a thousand words!"

MfG - Bob (Bitte auf Deutsch weiterhin.)

Sorry für die späte Antwort hier die gewünschten Schnittstellen und Regeln.

Wollen wir jetzt auf englisch weitermachen oder bei deutsch bleiben? Bob versteht deutsch.

Also dein Problem sind die Firewall-Regeln 61,62, 65 und 66, da erlaubst du ja alles, deshalb kannst du von "Internal" auch überall hin zugreifen. Die Regel 60 greift nur von "Internal" und ist total schlechter Stil.

Entweder man nutzt nur "Allow"-Regeln oder nur "Drop/Reject", aber nicht beides gemischt.

Meine bevorzugte Philosophie ist es, nur die Dienste zu zulassen, die man tatsächlich nutzen will. Das schliesst ein "ANY" bei den Diensten aus.

Das sollte man nur zum Testen verwenden und anschliessend für den Produktivbetrieb verfeinern.

Wenn du also nicht möchtest, dass man von "Internal (Network)" nach "Kameras(Network)"  zugreift, dann schreibst du einfach KEINE Regel dafür auf. Wenn dort nur per RDP "hineingegriffen" werden soll, dan gib ausschliesslich den Port 3389 für RDP frei, usw. usf.

Pingen kannst du aufgrund der globalen Einstellung für ICMP erstmal in alle direkt angebundenen Netze.

Zum Testen nimmst du am besten einen Portscanner, z.B. netscan von Softperfect.

Danke für die schnelle Antwort.

Mir ist die Sprache recht die alle verstehen wenn der Bob auch deutsch versteht dann ist das doch super.

Ich verstehe deine Philosophie und kann der nur zustimmen.

Meine Frage ist dennoch funktioniert meine Konfiguration so nicht weil man keine "Allow" und "Deny"-Regeln mischen darf oder sollte das so eigentlich funktionieren, ist aber halt nur keine schöne Lösung.

Es gibt keine "Bridge", so wie du es in deiner Frage bereits implizierst.

Die Schnittstellen der Sophos SG-UTM sind eigenständig und werden wunderbar geroutet.

Du kannst, wenn du das unbedingt benötigst, eine Bridge konfigurieren. Aber der Standard-Wert ist das nicht; für keines der Interfaces.

Also, wie können wir dir helfen?

Offensichtlich kennst du dich mit den Firewallregeln der UTM nicht gut aus.

Es wäre daher am einfachsten, du beschreibst deine ANFORDERUNG(EN), und wir formulieren daraus gemeinsam die entsprechenden Firewallregeln. Das Routing zwischen den Netzen gibt es ja schon.

Beispiel: deine Kameras  werden sicher einen Port benötigen, um den Videostream auf einem Speicher abzulegen.

Wenn diese Geräte sich in zwei verschiedenen Netzwerk-Segmenten befinden, dann muss der Port dazu mit einer Firewallregel geöffnet werden. Genauso verhält es sich mit dem RDP-Zugriff von A nach B, hier öffnet man den TCP-Port 3389 (für RDP) vom entsprechenden Quell-Netzwerk oder Host zum Ziel des RDP-Zugriffs. usw. usf.

Bei Fragen einfach hier eine Frage stellen! Aber bitte offene Fragen stellen, keine Vermutungen äußern.

Danke für die Antwort. Leider kenne ich mich nicht gut genug aus das stimmt genau deswegen habe ich diesen Beitrag erstellt.

Fakt ist ich komme zur Zeit mit dieser angegeben Knofiguration von einem Netzwerk per RDP ins andere.

Ich möchte nun, ohne jeden Dienst einzelnd als Regel zu definieren, jeglichen Zugriff von Netzwerk A zu B und umgekehrt sperren.

LG

Hallo NiceToHave,

mit einer Regel, die "Any" als Service und "Any" als Ziel enthält, darfst du natürlich aus dem Netzwerk "Internal" heraus alles. Das ist doch logisch, oder?

Der trick besteht darin (wie bereits oben beschreiben), dass man nur die Dienst zulässt, die man haben will. UND nur von den Quellen zu den Zielen, die diesen Dienst sinnvollerweise nutzen (sollen). Das erfordert ein wenig Planung, deshlab meine Aufforderung, doch einmal deine Anforderungen in normlaer Sprache zu beschreiben. Dann können wir auch helfen.

Nochmal hllo,

du kannst auch den Gegentest durchführen: Deaktiviere doch mal die Regeln 61,62, 65 und 66. Dann solltest du nicht mehr zugreifen können. Es sei denn, die anderen Regeln, die wir hier nicht sehen, erlauben das dann doch wieder.