Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 6 replies
  • Subscribers 2 subscribers
  • Views 1084 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Configuring a ASG320 for a hosting company ?

atrocity
Hello,

I have some questions about the configuration of our new ASG320.
For testing, i use a ASG110, connected on a IP range that we don't used.
The ASG110 is directly connected in routing mode on a Datacenter backbone (10MBits) The ASG110 is only very lightly used (very low cpu usage) If everything works with this small firewall, we can think about to migrate our actual Watchguard firewall to the nice ASG320 [:D]

Actually, i put only 1 switch and 1 of our test/developpement hosting server, that run : ssh, ftp, dns, web, https, pop3, smtp, webmin, control panel (Ensim)
We don't configured any proxy server on the ASG110, because we think that it's not needed. I'm i right ?
I configured the firewall with internal and external interfaces. Everything seems to be ok. The firewall can up2date, get time servers, and is accessible from the internet.
Then i configured the hosting server, in 'Definitions / Networks' and giving the IP of the server ( xxx.yyy.zzz.50 ) and a second definition for the DNS IP ( xxx.yyy.zzz.51 )
Under 'Packet Filter / Rules' i open this services from the external to the main IP 50 : http, ftp, ssh, pop3, smtp, control panel, webmin, https, dns
and from the internal to external : dns, smtp, http
Also, i opened DNS from and to external/internal to the DNS IP (...51)

The server can make DNS resolution, but a DSNReport can't talk to that DNS server. I double checked if the domain have the right DNS servers and IP, it's ok [:S]
I'm i wrong somewhere ?

http and control panel works fine, SSH is pretty slow. Can that be related ?
Thanks for any help.
Best regards
Atrocity [8-)]


This thread was automatically locked due to age.
Parents
  • 0
    Wow!! Long post so i will start from the top.

    We don't configured any proxy server on the ASG110, because we think that it's not needed. I'm i right ?


    You should enable the dns and smtp proxies on astaro. Then in dns forwarders on astaro, forward your dns queries to your internal server. You can then allow external interface to query your astaro box in the dns proxy settings, and it will resolve for everyone. The tests on dnsreports would fail with this configuration because astaro is a caching server and is not authoritative for any zones. For that to succeed, you will have to make some fancy SNAT/DNAT rules, and I wouldn't recommend it.

    Turning on the smtp proxy just makes sense. It saves your primary mail servers from bogus connections and does virus scanning and rbl checks (not counting all the other features).

    Is it not possible to configure "groups of servers" ?

    You can define your hosts in definitions --> networks and create each host's entry, and then goup those hosts together (its called network group).

    Now, the main problem is always the DNS and the internal HTTP service

    Make sure that when you create a dnat/snat rule for http publishing, you have a corresponding packet filter rule that allows http traffic to go out from that server. Eg. Dnat/Snat All -> External (Address) / HTTP   Internal Webserver (x.x.x.50) and then under packet filter create a rule to allow http from x.x.x.50 to any. Same applies to ssh and ftp and any other service.

    HTH [:D]
  • 0 in reply to Billybob
    Hello,

    Many thanks for your answer.
    I can't understand understand why i have to configure a DNAT/SNAT for the internal. I'm sorry, i'm from the Watchguard world, and things are very easy to configure...
    I did a try, adding a DNAT/SNAT Rule, but i have a error. I have to choose the 'Change Source to : (the-server)' 'Service group' ???
    ISAKMP
    NTP
    RIP
    netbios-dgm
    netbios-ns
    ???

    DNSReport have to work fine, it's a common thing for us, our customers, and if DNSReport don't work fine, the zonecheck.fr will fail also ...

    Do you think that someone at Astaro can help us, to configure the needed services like we want ?
    If the answer is no, then our new ASG320 is simply unusable ... [:(]
    Best regards
    Atrocity [8-)]
  • 0 in reply to atrocity
    External to Internal Nat? This falls under category DNAT (Destianation NAT)

    Got to http://www.astaro.com/kb/ 
    under networking --> network address translation

    And yes, Watchguards where fast 1999 and 2000, but they didn't do much regarding speed lately. Still the more or less old core with some artifical speed break for the different versions. Even a modern celeron has 10 times the power of the Watchguard.
  • 0 in reply to NimmdirKeks
    I did a try, adding a DNAT/SNAT Rule, but i have a error. I have to choose the 'Change Source to : (the-server)' 'Service group' ???


    Like NimmdirKeks said, if you read the manual, it will make a lot of things easier. 
    As far as adding dnat a typical rule would look like this...

    Source address: Any 
    Destination address: External address/external interface on your astaro
    Service: http (if you are publishing a web server)
    Change source: No change
    Change destination to: Your internal server (this should be defined in hosts under definitions-->networks).
    Service destination: No change.

    Then make sure you create a packet filter rule to allow that traffic to any. In this case it would be allow http from internal server to any.

    HTH[:D]
Reply
  • 0 in reply to NimmdirKeks
    I did a try, adding a DNAT/SNAT Rule, but i have a error. I have to choose the 'Change Source to : (the-server)' 'Service group' ???


    Like NimmdirKeks said, if you read the manual, it will make a lot of things easier. 
    As far as adding dnat a typical rule would look like this...

    Source address: Any 
    Destination address: External address/external interface on your astaro
    Service: http (if you are publishing a web server)
    Change source: No change
    Change destination to: Your internal server (this should be defined in hosts under definitions-->networks).
    Service destination: No change.

    Then make sure you create a packet filter rule to allow that traffic to any. In this case it would be allow http from internal server to any.

    HTH[:D]
Children
No Data
Cookie Information Banner