Sophos-Astaro on Amazon EC2

We can't know if external links are safe, so, in the future, when attaching pictures, please [Go Advanced] and upload them to this BB.  I opened these in a sandbox, and they are malware-free at the moment.

I can't answer your question, but some observations...

As I said above, it's not clear to me why you need a second interface in the UTM; I would have preferred a single IP for the UTM and a fixed, public IP for each instance.  I'd think just a security group for the WinServer allowing only traffic from the UTM and outbound traffic to request Windows Updates.  I'd put a Full NAT at the UTM for RDP.

In your present solution, I don't see why you need to masquerade, and I wonder if it isn't part of the problem.  Your Firewall rule 1 has no effect.  In your DNAT, since you aren't changing the service, you should leave that empty - it's not important here, but it's a good habit since sometimes it does (service groups or ranges). 

Cheers - Bob

We can't know if external links are safe, so, in the future, when attaching pictures, please [Go Advanced] and upload them to this BB.  I opened these in a sandbox, and they are malware-free at the moment.

I can't answer your question, but some observations...

As I said above, it's not clear to me why you need a second interface in the UTM; I would have preferred a single IP for the UTM and a fixed, public IP for each instance.  I'd think just a security group for the WinServer allowing only traffic from the UTM and outbound traffic to request Windows Updates.  I'd put a Full NAT at the UTM for RDP.

In your present solution, I don't see why you need to masquerade, and I wonder if it isn't part of the problem.  Your Firewall rule 1 has no effect.  In your DNAT, since you aren't changing the service, you should leave that empty - it's not important here, but it's a good habit since sometimes it does (service groups or ranges). 

Cheers - Bob

As I said above, it's not clear to me why you need a second interface in the UTM; I would have preferred a single IP for the UTM and a fixed, public IP for each instance.  I'd think just a security group for the WinServer allowing only traffic from the UTM and outbound traffic to request Windows Updates.  I'd put a Full NAT at the UTM for RDP.

Hi Bob

Thanks for your post!
I don't understand it exactly.
I created a second interface for the utm, that i controll the traffic from the internet to the second subnet, were the server are, like a normal utm installation. WAN with the public ip and a lan with just private ip adresses.

but how can i control the traffic to the windows server, if the utm have just one ip?

do you have this szenario in a productive installation and it works?


thanks