Sophos Box 110/120 mit UTM9 an Fritz Box 6360 cable /Keine Internetverbindung

Hallo Torsten,

erstmal herzlich Willkommen in der Community.

Mach bitte mal bei der ext. Schnittstelle der UTM das Häkchen "Standard-GW" rein und trag dann die IP der Fritzbox als Gateway ein.

...und beim internen DHCP das Gateway auf Deine interne IP der UTM (192.168.178.1)

Die Firewall muss für das interne Netz als Gateway fungieren, um Dein Netz zu schützen. Ihr Gateway nach Außen ist dann auf der WAN-Schnittstelle die IP der Fritzbox.

Du brauchst außerdem

a) Masquerading für das Interne Netz auf das externe Interface der Sophos oder aber

b) Du musst auf der Fritzbox das Netz 192.168.178.0/24 zur WAN-IP der Sophos routen.

Ich bin kein Freund von doppeltem NAT und würde Dir hier b) empfehlen, also erst gar kein Masquerading auf der Sophos aktivieren. Der Schutz des internen Netzes findet über Firewall-Regeln statt, NAT ist ausgehend eigentlich nur dazu gedacht mehreren Devices die Nutzung einer einzigen öffentlichen IP zu ermöglichen.

Im internen Netz direkt die Fritzbox als Gateway nutzen kann nicht funktionieren. Bei DNS-Server ist das bei korrekt gesetztem Gateway wieder was anderes, hier würde ich aber die LAN-IP der UTM lassen und auf der UTM einen DNS-Forwarder an die Fritzbox-IP setzen.

Gruß

Kevin

Hallo Kevin,

seit wenigen Minuten besitze ich einen neuen Unitymedia Anschluss mit fünf statischen IPs.

Sie sind wie folgt aufgebaut: 83.68.156.1 für den HITRON und dann folgend 2-6 für die statischen IPs

Mein Sophos ist:

• Intern 192.168.19.1 an Gateway 192.168.19.1
• Extern 83.68.156.2/29 nach Gateway 83.68.156.1
• Nat Maskerading inter nach extern

Natürlich klappt es nicht. Doch was muss ich ändern?

Vielen Dank

Joe

• Intern 192.168.19.1 an Gateway 192.168.19.1

Ist das ein Schreibfehler oder hast du da wirklich das Gateway so eingetragen? Falls ja, schmeiss es raus und es geht.

Noch ein Tip. Schreibe niemals deine tatsächliche öffentliche IP hier ins Forum. Ich vermute du wirst jetzt schon bombadiert mit portscans oder sogar echten Angriffen. ;)

vg

mod

Danke mod202.

Leider geht es trotz Deiner Änderung noch nicht.

Wenn ich versuche zu pingen sehe ich den Hitron nicht.

Ich habe zusätzlich noch eine Firewall Regel: Internal Network - Websurfing - Any

Und danke für Deinen Tip. Natürlich ist das nicht meine echte IP ;-)

Ergänzung: der Fehler ist gefunden. Unity hatte die statischen Routen nicht richtig eingerichtet. Jetzt geht es.

Dennoch eine weitere Frage: fünf statische Routen seitens Unitymedia. Kann ich die alle an den Sophos leiten und von dort gezielt verteilen? Jede mit eigenen Regeln? Nein oder?

Hi Johannes,

du kannst die anderen 4 IPs einfach als zus. IP auf das WAN Interface binden und dann ganz normal nutzen.

vg

mod

Danke mod2402,

das mache ich aber nicht im Sophos sondern im Hitron von Unitymedia?

Sorry, falls die Frage banal ist, aber ich lerne das gerade alles erst

Grüße Joe

Hallo Jo,

Wenn die fb davor um Bridge Mode läuft kommen die öffentlichen IPs auf die Sophos. Nur die erste läuft dann auf der FB und dient der Sophos als Gateway.

Vg

Mod

Das mit der festen IP stimmt (zumindest bei Unitymedia in BaWü) nicht ganz, jedenfalls nicht bei Verwendung einer Fritzbox Cable. Ob das beim Hitron anders ist kann ich nicht beantworten.

Die feste IP wird normalerweise über DHCP zugewiesen, man muss im Kundencenter die MAC des Sophos-Interfaces angeben, welches die feste IP bekommen soll. Die Fritzbox bekommt in dem Fall eine komplett andere externe IP, die auch gar nix mit den 5 im Kundencenter zuweisbaren zu tun hat. Man bekommt (wie gesagt zumindest hier im Süden) auch kein echtes /29- Netz mit einem Router von Unitymedia, der dann das default GW für das Netz wäre, sondern einfach 5 (meist) zusammenhängende IPs.

Hi Kevin,

ich habe eine UM Business Anschluss in NRW. Hier brauche ich keine MAC Adressen Zuordnung zu machen. Die fixe IP kommt auch hier über DHCP, aber auf die Fritzbox Cable. Zus. wird hier eine andere zufällige IP gebunden. Bei mir wird die FB als Gateway verwendet und die anderen IPs liegen auf der UTM. Wobei ich aktuell nur eine nutzbare habe. Ich könnte aber jederzeit auf 5 erweitern.

Scheinbar wird das in jedem Bundesland anders gehandhabt.

vg

mod

Ich glaube die machen bei uns eh noch alles nochmal anders als in den anderen Bundesländern, weil sie ja ein ansich fertiges Netz (KabelBW) übernommen haben. So wie Du es beschreibst würde man es ja auch bei jedem anderen Internetprovider (T-Com, Vodafone usw.) mit einem Anschluss mit /29 Netz bekommen.

Eine IP halt weg für den Providerrouter, die anderen kann ich entweder über Switch mit mehreren Geräten (Cisco, Sophos, Sonicwall) direkt verwenden oder ich schalte einem Gerät mehrere auf. Finde das mit den MAC-Reservierungen im Kundencenter hier bei uns ziemlich ätzend.

Was bin ich froh das ich in NRW wohne :D

Was bin ich froh das ich in NRW wohne :D