Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 2 replies
  • Subscribers 1 subscriber
  • Views 1308 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

ASG220 + Externer Proxy(Transparent)

Charonscope
Hallo ASG-Gemeinde,

ich möchte einen "Externen" Proxy einrichten, wobei der gesamte Traffic über diesen geleitet wird. Von, im Moment, nur einem LAN-Subnetz aus.

Die Daten:
Proxy: IPfire
Grünes Interface(LAN): 192.168.220.10
Rotes Interface (Internet über die ASG): 192.168.230.10
Der Proxy geht über die ASG(VDSL) ins Internet und das funktioniert auch.

ASG: 
eth5 192.168.220.1 -> Proxy Grün SquidIN
eth6 192.168.230.1 -> Proxy Grün SquidOut
eth2 192.168.10.0/24 -> Teststrecke (LAN)

Den Aufbau habe ich hier mal grafisch aufbereitet:


Die DHCP-Einstellungen für das betreffende LAN habe ich hier mal:


Hier nun die Policy-Rule um den Traffic umzubiegen:


Und hier noch die Routing-Einstellungen auf dem Proxy


Wenn ich mich im selben LAN-Netz wie der Proxy befinde (192.168.220.***) geht alles wunderbar, aber wenn ich von einem anderen Netz komme(192.168.10.***) geht es nicht mehr.
Wenn ich in den Firewall-Rules einstelle, dass das 10er Netz alles überall hin darf inkl. der PolicyRule funktioniert es.
Wenn ich die Firewall Regeln für einzelne Interfaces und Netze anlegen geht es nicht mehr und alle Anfrragen landen im Default Drop.
Könnt ihr mir Tipps geben was ich einstellen müsste, damit das funktioniert?
Muss ich am Router/Proxy noch irgendwelche Routen eintragen?
Über die Proxy-Einstellungen der ASG220 geht es zwar, aber dort wird alles maskiert und alle Anfragen kommen nur noch von der 220.1, was die Auswertung unmöglich macht.

Ich hoffe die Informationen reichen euch, aber kann fehlendes sicher noch nachreichen.

Vielen Dank.


This thread was automatically locked due to age.
Parents
  • 0
    Naja, die Pakete des Clients aus deinem Testnetz haben ja als Ziel-IP-Adresse beliebige Adressen im Internet. D.h. wenn du keine Firewall-Regel erstellst, die genau diesen Traffic (zu Any bzw. Internet) erlaubt, werden die Pakete natürlich gedropped.

    Was ist denn das Ziel dieses Aufbaus? Villeicht könnte man das auch einfacher aufbauen? Kannst du nicht z.B.  den Squid-Proxy in dem Testnetz einfach als Default Gateway verwenden?

    Du könntest vielleicht eine Firewall-Regel erstellen, die Alles vom Testnetz in das/die interne(n) Netz(e) dropped und anschließend eine Testnetz -> Any -> Any: Allow.
    Dann kommt das Testnetz zumindest nicht in interne Netze...

    ----------
    Sophos user, admin and reseller.
    Private Setup:

    • XG: HPE DL20 Gen9 (Core i3-7300, 8GB RAM, 120GB SSD) | XG 18.0 (Home License) with: Web Protection, Site-to-Site-VPN (IPSec, RED-Tunnel), Remote Access (SSL, HTML5)
    • UTM: 2 vCPUs, 2GB RAM, 50GB vHDD, 2 vNICs on vServer (KVM) | UTM 9.7 (Home License) with: Email Protection, Webserver Protection, RED-Tunnel (server)
Reply
  • 0
    Naja, die Pakete des Clients aus deinem Testnetz haben ja als Ziel-IP-Adresse beliebige Adressen im Internet. D.h. wenn du keine Firewall-Regel erstellst, die genau diesen Traffic (zu Any bzw. Internet) erlaubt, werden die Pakete natürlich gedropped.

    Was ist denn das Ziel dieses Aufbaus? Villeicht könnte man das auch einfacher aufbauen? Kannst du nicht z.B.  den Squid-Proxy in dem Testnetz einfach als Default Gateway verwenden?

    Du könntest vielleicht eine Firewall-Regel erstellen, die Alles vom Testnetz in das/die interne(n) Netz(e) dropped und anschließend eine Testnetz -> Any -> Any: Allow.
    Dann kommt das Testnetz zumindest nicht in interne Netze...

    ----------
    Sophos user, admin and reseller.
    Private Setup:

    • XG: HPE DL20 Gen9 (Core i3-7300, 8GB RAM, 120GB SSD) | XG 18.0 (Home License) with: Web Protection, Site-to-Site-VPN (IPSec, RED-Tunnel), Remote Access (SSL, HTML5)
    • UTM: 2 vCPUs, 2GB RAM, 50GB vHDD, 2 vNICs on vServer (KVM) | UTM 9.7 (Home License) with: Email Protection, Webserver Protection, RED-Tunnel (server)
Children
  • 0 in reply to scorpionking
    Entschuldigung für mein langes Nichtmelden.

    Das Ziel ist, dass mehre Interne Netze den IPfire als Download-Cache nutzen können.

    Ich habe mich mal mit dem Teststreckennetz auf das selbe Interface wie der Proxy gehangen und bei dem Testclient eine Teststrecken-IP gegeben aber als GW/DNS den Proxy genommen.
    Dann noch auf dem Proxy eine neue Route angelegt mit 192.168.10.*** Gateway 192.168.220.10. Und es geht.
    Aber leider geht es nicht, mit genau dieser Konfig, wenn ich auf einem anderen Interface stecke.
    Auch mit Testreckennetz darf alles überall hin. 
    Und blicke es momentan nicht mehr so recht mit policy-rule,firewall-rule..
    [:S]
Cookie Information Banner