Thread Info
  • State Suggested Answer
  • Locked Locked
  • Replies 2 replies
  • Answers 1 answer
  • Subscribers 3 subscribers
  • Views 1888 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

zwei funktionierende WAN aber nur eines vom LAN pingbar

Bernhard Held

Hallo liebe Gemeinde,

ich habe eine Sophos UTM 9 als VM auf einem ESXi Server mit folgender Konfig:

eth0: Einwahl über Bridge zum UPC Kabel (bekommt eine DHCP zugewiesen)
eth1: ist das interne LAN (10.41.0.0/24)
eth2: DMZ (unwichtig)
eth3: Einwahl über Bridge zum VDSL (bekommt eine statische IP zugewiesen)
eth4: ein public Netz, das über eth3 geroutet wird (providerseitig)

soweit so gut, funktioniert alles eigentlich einwandfrei... das LAN geht über 10.41.0.254 (Standardgateway) über UPC ins Internet.

Der Traffic aus dem public Range geht mittels Policyroute auch über ein Gateway über eth4 raus. Diese Server sind auch vom Internet erreichbar.

Problem: ich kann aus dem LAN keine dieser statischen IPs pingen. Das Problem ist diese Policyroute wenn ich diese ausschalte, dann kann ich pingen jedoch läuft dann der Traffic von auswärts auch nicht mehr richtig.

Somit habe ich zur Auswahl:
statische route EIN: aller Traffic aus dem öffentlichen Netz (eth4) geht über eth4 raus und alles ist von extern erreichbar - nur nicht vom LAN (eth1)
statische route AUS: Traffic aus eth4 geht über 10.41.0.254 raus, Traffic inbound kommt nicht mehr an, dafür vom LAN pingbar

die Route sieht folgendermaßen aus:

Interface Route:
source Interface ist eth4
source Network ist das Netzwerk welches ebenfalls eth4 aufliegt
services sind any
destinatione: internet ipv4
target interface: eth3 welches die Einwahl macht

Ich habe schon Tage damit verbracht mit Firewallregeln, Routen etc zu arbeiten, aber ich kommen auf keinen grünen Zweig. Hat hier jemdne vielleicht von euch eine gute Idee? Das muss doch möglich sein?!

Vielen vielen Dank im Voraus, ich bin für jede Idee dankbar!

lg, Bernhard



This thread was automatically locked due to age.
  • 0

    ich denke die Aufgabe ist eher mit uplink-balancing zu erreichen.

    Die beiden Provider-interfaces bekommen je ein default gateway und die "Multipath-regeln" steuern was wo rausgeht.

  • 0

    Hallo Bernhard,

    (Sorry, my German-speaking brain isn't creating thoughts at the moment. [:(])

    First, welcome to the UTM Community!

    Is Dirk correct in reading your post in saying that you have two ISPs?

    In any case, you want to avoid bridging on the public interface as that prevents you from doing QoS.  Instead of using eth3, just put an additional address on eth0.  Even then, I'm not sure you've chosen the best approach.  Even though you can make it work that way, WebAdmin and the UTM offer some additional tools and opportunities that you lock yourself out of.

    If I were doing this, I would first determine if Webserver Protection is something we would plan on doing.  If so, I would start with private IPs for the DMZ, Additional Addresses on eth0 and DNATs to forward traffic from public to private IPs.

    If you won't ever use Webserver protection, just have your ISP route traffic via the IP of "External (Address)" to the public IPs in your DMZ.  You will need a firewall rule to allow 'Internet -> {Services} -> DMZ (Network)' and 'DMZ (Network) -> {Services} -> Internet', but WebAdmin will automatically create your routes - no manual routes required.

    MfG - Bob (Bitte auf Deutsch weiterhin.)