Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 12 replies
  • Subscribers 2 subscribers
  • Views 1748 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Frustrated first time installer - V6.0

JDuncan
Hi all,

I'm a really frustrated first time installer who can't get external internet access.  Hopefully someone can shed some light on my problem...  I'm a complete Newb at this... I think I've got some ideas as where I'm going wrong, so I will throw out my suspicions to see if I could possibly be right [:)]
First the low down :
Internal interface = 172.16.X.X,  SubMask = 255.255.0.0
External interface = 209.X.X.X, SubMask = 255.255.255.240
- the Ext.int is a statically assigned IP
- I have a def.Gateway from my ISP so I take it this should be entered for the external interface ?
Areas that I think might be affecting things:
- internet access is ADSL with no username/pass auth required
Do I set up ext.int as std.eth.int ?
- I'm really confused about setting up users... does this mean that all intranet users must be authenticate with the firewall in order to be able to access it at all, or will any connected attempt no matter who it's from be accepted ?
- Masquerading has been set up and I don't perceive there being any problem with this
- The packet filter rules have been set up to allow everything to pass through (just for setup purposes - then it will be redone)

I've spent hours and hours trying to get this thing running, but to no avail... my old hardware firewall is working just fine when I hook it up...
I'm sure that there are many configuration settings that I've neglected to mention here, so if you require more insight as to how this has been set up, please ask.

Thanks folks !   


This thread was automatically locked due to age.
Parents
  • 0
    There are how-to's and getting-started-guides at
    http://www.astaro.com/kb

    Offhand, your setup looks OK...

    Assuming you're not using PPPOE, EXT should be standard ethernet.
    ISP gateway should be your default gateway on EXT.

    MASQ should be Internal network - masq to EXT IP.
    PF Rules should allow all from INT net to ANY dest.

    Barry
  • 0 in reply to BarryG
    Thanks for the quick reply Barry !

    Anyone care to share any input on the 'authenticating users' part of my question ?

    James
  • 0 in reply to JDuncan
    You only authenticate users if you are in a business (or home) that wants to control access through the firewall. There are various ways, depending on your network equipmet or you can do it in the Astaro.
    But you really need to think why am I doing it, what benefit dio I gain? I haven't tried, but from my days as a network PM you would have to tie the user to some login server so that authenticated on the network. I suspect that the Astaro as a user login manager is easy to get around because you can't tie the users to anything.

    Ian M [:)]
  • 0 in reply to JDuncan
    [ QUOTE ]
    Thanks for the quick reply Barry !

    Anyone care to share any input on the 'authenticating users' part of my question ?

    James 

    [/ QUOTE ]

    Maybe just a short example. If you want for instance restrict web access by using the HTTP-Proxy with authentification you need to create user. You can do this internally on your ASL or if you have an external authentication server you can use this one. This is not mandatory and if you don't want to create special user profiles you won't need this. 

    Christoph
  • 0 in reply to Caspritz
    Well, the saga continues... I spent about 4 hours on it again today.  I even re-installed to start out fresh.  I'm sure I'll be kicking myself when I find out how easy it is to resolve [:)]
    Anyway, I just wanted to mention that it must be an internal configuration that is messing things up, as I can ping the external interface from both the intranet and the internet.  I suspect that it might have something to do with the way that I've got the packet filter set up.  The first one that I setup was to allow internal  traffic to pass through to the internet, then I realized that I hadn't set up a rule to allow external access into the intranet, so I set up another rule !  I thought for sure I had it licked after I did this !  Sadly, this was not the case [:(]s perhaps ?
  • 0 in reply to JDuncan
    Oh yeah, one more thing...  when running the system update on the firewall itself, it appears to be getting the updates directly from an external address.  I'm sure that this is because it is using the external IP only and isn't having to resolve through the internal interface, however at least it indicates that I've got connectivity [:)]
  • 0 in reply to JDuncan
    Let us a take a big step back.

    You need a gateway address on your external interface (best place)
    You need DNS entry on one of your interfaces or you need to setup the DNS proxy
    You need a filter rule for outgoing traffic - internal any allow any
    You need a NAT rule Internal MASQ esternal interface

    You need to ensure all your internal PCs can get the netwrok details so best is DHCP.

    I know it might seem simple or stating the obvious, but somewhere you seem to have missed one of those steps.

    Ian M [:)]
Reply
  • 0 in reply to JDuncan
    Let us a take a big step back.

    You need a gateway address on your external interface (best place)
    You need DNS entry on one of your interfaces or you need to setup the DNS proxy
    You need a filter rule for outgoing traffic - internal any allow any
    You need a NAT rule Internal MASQ esternal interface

    You need to ensure all your internal PCs can get the netwrok details so best is DHCP.

    I know it might seem simple or stating the obvious, but somewhere you seem to have missed one of those steps.

    Ian M [:)]
Children
  • 0 in reply to RFCat_vk_01
    Well, I finally got access to the internet... it was just a matter of configuring the routing table [:)]
    The frustration does continue however...  I am now attempting to configure the firewall so that external attempts can reach the internal server.  I've tried quite a few things:
    - setup static route - ext + private_web_server, as well as the policy route - Ext + Ext address + HTTP + Web_Server_Private
    - Added a Network definition for Web_Server_Private that points to the internal IP of the server
    - Added a NAT rule - Any + external address + HTTP + None + Web_Server_Private
    - Added the packet filer rule - Ext address + HTTP + Allow + Web_Server_Private

    When checking out the 'Live Log', I'm noticing that all TCP attempts from the internal network are getting out and the UDP are not.  External attempts to get into the network are not working - when trying to access the site remotely from www.hq42.net and just trying to fetch the http headers, the packet does appear to be accepted, however an error is returned stating 'No web site is configured at this address'.  Could I have a setting in there somewhere that is just not allowing my web server to be accessed, or just not allowing the HTML to be displayed ?  Very odd...  well, I'm going to call it a day and return to it tomorrow.  If anyone has any suggestions, I would really appreciate the feedback.  

    Thanks !
    James
  • 0 in reply to JDuncan
    You should not need to set routes, ASL does most routing internally and automatically.

    You should NOT have to set a route rule for internet access!

    It sounds like you are overcomplicating it all.

    To allow a service in to a inside server (Say a web server)

    1) Create a SNAT/DNAT rule so that traffic on port 80 on the EXTERNAL nic is then forwarded to your internal web server on the same port.
    2) Create a packet filter rule, Allow traffic from Any to the internal server on port 80.

    Done.
  • 0 in reply to Simon Shaw
    Well, we've made a little bit of progress...  We are trying to setup an internal Web Server, but it now appears as though it can't see the outside world...  we're getting packets coming in to the network from the outside world, however it seems as though the Web Server just can't get back out to acknowledge the queries.  All other computers inside the network can access the outside world no problem...  any ideas ?
  • 0 in reply to JDuncan
    Just a quick thought before I head out... if an external request (web)  is sent to the web server on an IP (secondary bound IP) that is not the default ip (primary bound IP) and the webserver replies back through the internal NIC that is configured for masquerading, is it possible that the web based request will not get acknowledged because the masquerading is changing the web server IP ?  I hope this is making sense... getting tired...
  • 0 in reply to JDuncan
    You will need to MASQ the servers IP to the interface. (easiest)
    Ensure you aren't including the IP in another MASQ rule.

    Packet filter rule to allow Server out to net on port 80
Cookie Information Banner