Verständnis / Funktionsweise UTM9

Hi,

ich versuche mat zu helfen.

1. handled only by one of the following ist etwas schwammig formuliert ...  one by one passt in vielen Fällen besser.

Wobei Pakete, welcher der Proxy sich gegriffen hat nicht mehr durch die FireWall rules laufen.

Die Auflisteung stellt aber eine sehr nützliche Aufführung der Abarbeitungsreihenfalge dar.

2. Nat braucht man oft nicht. Es ist sicher meist die "Sonderfunktion" Masquerading gemeint. Die UTM macht das nicht selber. Nur der Start-Wizzard legt die Maskierungsregel automatisch an. (den nutze ich aber nicht)

3. Nur wenn der nächste Router (vom Provider) maskiert, kann man sich das an der UTM sparen. (oder wenn man öffentliche IP's im LAN verwenden kann)
Sonst gehen die Pakete mit Privaten Absenderadressen ins Internet und werden dort verworfen. (den Rückweg zu einer privaten IP kann ja keiner finden)
hat man mehrere IPS's muss an mindestens einem Interface maskiert werden, damit die Interface-IP als Ziel für die Antwortpakete verwendet wird.

4. - keine Regeln = kein zugriff: stimmt; passende regeln ermöglichen den zugriff: stimmt; Wenn Netze "direkt angeschlossen" sind, also Subnetze einer verbundenen IP sind, so stehen automatisch sie als "direct connected" oder "auf dem LINK" in der routingtabelle. das sieht folgender massen aus:

192.168.2.0/24 dev eth1  proto kernel  scope link  src 192.168.2.111 

das Netz 192.168.2.0/24 ist also über interface 192.168.2.111 zu erreichen.
Die Routingtabelle ist unter Support / Advanced / Routing Table zu finden

Vielen Dank, habe ich verstanden.

dirkkotte said:

3. Nur wenn der nächste Router (vom Provider) maskiert, kann man sich das an der UTM sparen. (oder wenn man öffentliche IP's im LAN verwenden kann)
Sonst gehen die Pakete mit Privaten Absenderadressen ins Internet und werden dort verworfen. (den Rückweg zu einer privaten IP kann ja keiner finden)
hat man mehrere IPS's muss an mindestens einem Interface maskiert werden, damit die Interface-IP als Ziel für die Antwortpakete verwendet wird.

 

Ich habe mehrere ISPs (4, schlecht versorgt). Was wäre hier "best Practices"? Was passiert wenn ich mit >Uplink Interfaces< und >first Address< maskiere? Bedeutet das, dass ausgehende Verbindungen zwar auf alle 4 Leitungen verteilt werden aber der Rückkanal immer über eine Leitung stattfindet? Um die Leitungen möglichst gleichmäßig zu nutzen, müsste der Rückkanal immer über die öffentliche IP laufen über die auch die ausgehende Verbindung initiiert wurde. Ist es richtig, dass ich dann trotz vorhandenem >Uplink Interface< für jeden ISP eine separate Maskierungsregel auf dessen Interface anlege? Ich habe 6 VLANs und ein "normales" internes Netz. Somit müsste ich 28 Maskierungsregeln anlegen? Kann ich natürlich machen, aber das machen ja selbst billige Multi-WAN-Router automatisch.

Danke nochmals für die Mühe

wenn maskiert wird, (und nicht irgendetwas komplett daneben geht) kommen die pakete auf Antwortpakete dem Interface rein, welches die Verbindung initierte.

Wenn die ausgehenden Anfragen sauber verteilt werden, kommen auch die Antworten über alle leitungen.

Die Verteilung gewichte ich meist entsprechend der Bandbreite.

Maskieren lässt sich auch mit netzwerkgruppen ("alle_meine_internen_netze") oder gar mit "any" wie es die "billige Multi-WAN-Router" machen.

Das bedeutet dann "alles was das interfacve verlässt, wird maskiert".

Guten Abend,

ich muss nochmals nachfragen.

Wenn ich vier ISPs habe, lege ich dann vier Maskierungsregeln an oder nur eine?

Vielen Dank für die Geduld.

Du würdest eine Masquerade Regel für jedes Quellnetz machen nach dem Schema:

Internes Netzwerk  --> Uplink Interfaces (Auswahl: Primäre Interface Adresse)

Die Gruppe Uplink Interfaces wird i.d.R. automatisch erstellt wenn du mehrere WAN Interfaces als default Gateway aktivierst. Dann sollte es sich so verhalten wie vorher beschrieben. Der Connection Tracker nimmt immer die primäre Interface Adresse der Verbindung über die der Traffic initiiert wird.

Für jeden ISP würdest du nur anlegen wenn du z.b. bestimmte Teilnetze über eine andere öffentliche IP als die primäre Interface Adresse des jeweiligen WAN Interface leiten willst.  Willst du darüber hinaus einzelne hosts oder Protokolle z.b. über spezielle öffentliche IPS senden kannst du das mit SNAT&Multipath Regeln machen, zusätzlich zur Masquerade, quasi als Ausnahme. Masquerade und SNAT regelt mit welcher IP geht es raus, Multipath über welchen ISP/WAN Interface.

Hi,

da ich neben der balanceten Traffic immer noch "normale" habe, und die 1. Maskierregel meist vor dem 2. ISP da ist, habe ich immer eine mask. pro interface zzgl. der maskierung der "Uplink Interfaces".

macht bei 4 ISP's also 5 regeln.

da eine Regel immer nur dann aktiv wird, wenn das entsprechende Interface genutzt wird, werden überflüssige maskierregeln halt einfach nicht genutzt.

Guten Morgen,

vielen Dank, das hilft mir die Arbeitsweise der UTM zu verstehen.

Woher bekommt man solche Informationen? In der Doku steht so etwas ja nicht.

Danke nochmals.

Sophos Schulung / Zertifizierung (Expert/Architect) / eigenes LAB / viele Stunden die komischsten Idden & Möglichkeiten durchprobieren / geduldige Familie als Testgruppe an der Home UTM ...

Unsere Kunden laden uns wegen dieses Wissens zur Unterstützung von Konfigurationen ein, auch wenn die Sophos UTM recht intuitiv zu bedienen ist.