Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 6 replies
  • Subscribers 2 subscribers
  • Views 856 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Best practice for ASG 320 setup for LAN & Public IP services...

dgungadoo
Greetings, I just acquired an ASG 320 running Firmware 7.403 and Pattern version 9785.

I have some questions regarding the setup of the ASG-320 box. I want to configure one of the Interface ports to DHCP Local IPs (192.168.0.***) and another Interface port for a bunch of Servers under Public IPs (both connected through 2 separate Switching Hubs).

What is the best practice ?
1) Assign 1 port for the Public IPs and Bridge it to the WAN port
2) Assign Private IPs to the Servers, and NAT them individually

These servers do Web, FTP, Oracle databases, SQL databases & audio streaming services.

I notice the training videos on the Astaro support, doesn't deal with Public IPs behind their units.


This thread was automatically locked due to age.
Parents
  • 0
    Probably option 2.  How many public IPs would you need to DNAT?
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    Probably option 2.  How many public IPs would you need to DNAT?


    Thanks for the suggestion. I have around 24 Public IPs.
    It is critical for my Private LAN to have gigabit access to the Public IPs, hence the main reason why I bought a ASG 320 instead of the cheaper ASG 220.

    So my topography would be:

    .......ISP
    ........|
    ..Cisco Router
    ........|
    ......eth1 
     Astaro ASG 320
    ...../............\
    .../...............\
    eth0............eth4
    .|...................\
    LAN..............Public (DNAT)
    .|......................\
    192.168.0.x.......192.168.1.x


    I configure the ASG 320's ports as follows:
    eth0 is 192.168.0.1 & set to DHCP from 192.168.0.2 to 254
    eth1 is set with a 1 Public IP
    eth4 is 192.168.1.1 & set to DHCP from 192.168.1.2 to 254
    The Local IPs of the servers are Static MAC/IP mapped
    Each relevant port of the servers (i.e. 80 for Web, 21 for FTP) is DNATted over from a Public IP to the relevant 192.168.1.x

    Can I presume that when a LAN (192.168.0.x) computer accesses the Public IP address of the DNATed section, they'll talk at gigabit speeds ?
  • 0 in reply to dgungadoo
    OK, a few thoughts...

    Looks like great fundamental ideas.

    The one additional best practice I see would be to choose internal ranges in 172.16.0.0/12 so that you can avoid conflicts with VPNs for anyone working from home.

    As for speed, you probably have enough power in the 320 to run the HTTP/S proxy from your internal users to your server farm without slowing down that traffic.

    You also mention FTP; if you are uploading a lot from the internal network to the server farm, you might want to disable the IPS checking of that traffic if you notice slowdowns.

    Finally, if you have heavy public users of FTP downloads, you might consider setting QoS on the external interface to reserve enough bandwidth for the surf requests of your internal users.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to dgungadoo
    Don't forget Masquerading and/or SNAT for your DMZ, and Masq for the LAN.
    Otherwise looks fine + what Bob said.

    Barry
Reply Children
No Data
Cookie Information Banner