Mehrere öffentliche IP Adress-Räume und 2 ISPs - Uplink Ausgleich

Ja. Wenn Du auf der UTM keine globale Einstellung Konfiguration haben möchtest, oder externe Bedingungen es erfordern, musst Du Dich auch mit jedem Dienst befassen. Es gäbe übrigens auch noch die Policy Route.

Durch Deine Fehlerbildbeschreibung oben bin ich aber zur Überzeugung gelangt, dass ich uns beiden jeden überflüssigen Aufwand erspare, in dem ich Dir versuche, Netzwerkgrundlagen zu vermitteln und das Handbuch umformuliert und hoffe, dass Du das verstehen würdest.

Konkrete Frage, konkrete Antwort, ja.

So kann ich Dir nur raten, suche Dir einen Dienstleister für die Sophos UTM, der das ganze in zwei Stunden mit Dir durchgeht, konfiguriert und erklärt - das ist zielführend und pragmatisch.

ok, Grundlagen fehlen nicht.

Nur ist mir die Funktionsweise der UTM teilweise einfach nur ein Rätsel und kommt mir von Zeit zu Zeit einfach unlogisch vor.

Ich stelle mir das ganze wohl zu einfach vor.

Dann sollte ich mich wohl mal an die Arbeit machen, jeden Service auf eine Karte zu binden und hoffen, dass es so läuft, wie ich mir das vorstelle.
Wobei ich dabei aber auch nicht verstehe, warum die UTM - Logik nicht dazu in der Lage ist zu erkennen, dass ein Service der, meinetwegen mit der 1.1.1.24 angesprochen wird, auch über die Karte rauszugehen hat, dieses Subnetz hält. und nich über eine Andere Karte versucht rauszugehen.

Dann scheint es noch offensichtlich zu sein, dass dieser Ausgleich eine Eingangspriorisierung hat.  Denn selbst wenn der ausgehende Traffic der einzelnen Clients sich über die 3 Karten verteilt, sollte doch eine Anfrage von Aussen immer den selben Weg gehen. (Allein schon, weil die IP-Adressen entsprechend zugewiesen sind in den web protection Einstellungen. DAS sind Dinge, die ich nicht verstehe.

[EDIT]

Ein Beispiel:

ISP1.Subnet1.1 liegt auf ETH1

ISP1.Subnet1.2 liegt auf ETH6

ISP2.Subnet2.1 liegt auf ETH8

Nun haben wir einen Mail-Server, und 4 Webserver

Der Mail-Server und einer der Webserver liegen in Subnet1.1 mit ihren externen IP-Adressen und DNS-A Einträgen.

Zwei weitere Webserver liegen mit ihren DNS Namen im Subnet1.2.

Ein Webserver liegt mit seinem Namen im Subnet2.1

Nun hat sich jedoch herausgestellt, dass der Uplink-Ausgleich die wege nach Aussen willkürlich, bzw. nach Schnittstellen Auslastung aufteilt.
Bedeutet, dass Webserver1 z.B. nicht immer über ETH1 raus geht, wie er es eigentlich sollte bei externen Anfragen, sondern auch mal über ETH6 oder ETH8 antwortet. Das wird vom Anfragenden natürlich gedropt, weil die antwort-IP nicht zuzuordnen ist.

Genau so verhält es sich auch mit dem Mail-Server. Da die eingetragene IP Adresse für den MX Eintrag auf ETH1 zeigt in unserem Beispiel, er aber trotzdem dann über ETH8 oder 6 rausgeroutet wird sind Ablehnungen anderer Mail-Server vorprogrammiert.

Und DAS ist eines der Verhalten, welches ich nicht verstehen kann/will. Da fehlt mir die Logik. Oder fehlt sie hier an dieser Stelle eher der UTM?

[/edit]

Ich vermute hier eher ein Thema beim Routing und NAT. Uplinkbalancing ist eben Lastenausgleich und Multipath ist eben Mehrfachwege.

Die Dienste Web und Mail laufen nicht lokal auf der UTM? Wie istdort das D/S-NAT konfiguriert?

Welcher historischer Grund hat die drei Subnetze auf unterschiedliche phys. Interface gelegt?

Ich vermute hier eher ein Thema beim Routing und NAT. Uplinkbalancing ist eben Lastenausgleich und Multipath ist eben Mehrfachwege.

Die Dienste Web und Mail laufen nicht lokal auf der UTM? Wie istdort das D/S-NAT konfiguriert?

Welcher historischer Grund hat die drei Subnetze auf unterschiedliche phys. Interface gelegt?

Jeder ISP hat seinen eigenen Router bei uns stehen. Lediglich die externen Subnetze 1.1 und 1.2 laufen über den gleichen Router.

Die Web/Mail Server laufen natürlich mit privaten IP-Adressen im internen Netzwerk und werden mit DNAT und Webserver Protection an die jeweiligen lokalen Systeme verteilt.

Die externen Subnetze sind deshalb auf mehrere Karten aufgeteilt, damit die Karten, besonders ETH1 nicht überlaufen werden.

Da hier auch eine nicht unbeträchtliche Anzahl an S2S VPNs anliegen hat die Karte so schon ordentlich Betrieb. Also wollten wir unsere 12 Karten, die wir haben auch entsprechend nutzen. um einen lokalen Lastenausgleich zu fahren.
In meinen Augen hat das aber auch nichts mit der hier zu Grunde liegenden Problematik zu tun.

Ich möchte nur wissen, warum die UTM die Pakete nicht dahin zurückroutet, wo sie herkommen. Dass initial ausgehender Traffic aus dem internen Netz mit Multipath Regeln auf eine Karte festgenagelt werden muss, sehe ich ja irgendwo ein. Aber warum sind unsere Webserver von Aussen nur noch sporadisch erreichbar? DAS macht keinen Sinn!

Ich wiederhole mich gern: Das ist ein Komfigurations- und Verständnisthema. Nimm Uplinkbalancing als das, was es ist und erwarte nicht, das eine Funktion mit globaler Konfiguration dienstspezifische Bedürfnisse deckt.

Gut, eine Integration von Protokollen für dynamisches Routing wäre was feines, aber auch das könnte nicht out-of-the-box funktionieren. Diese Themen sind viel zu komplex. Ohne Details und ohne Deine Bereitschaft o. g. zu berücksichtigen, drehen wir uns im Kreis.

Hast Du Dir schon die Mühe gemacht, mit tcpdump und Logfiles Deine Annahmen zu stützen? Ähnliche Szenarien funktionieren ohne die von Dir genannten Effekte. Über Deine Konfiguration ist fast nichts bekannt ... sorry, aber Du kannst so viele Verständnis- und Konfigurationsfehler verwendet haben, dass ohne wirkliche Details keine ernsthafte Hilfe möglich ist.