Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 9 replies
  • Subscribers 1 subscriber
  • Views 2130 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

ASG only as mail relay

andy.l
If I where to only use the SMTP proxy functionality of the ASG, and place it in a DMZ as a SMTP relay, would this work if I only have one NIC on the host?
My idea is to  have a dedicated ASG only running the SMTP filtering features, and no IPs, or packetfilter or webfilter. Only handle all mail that is incoming from the internet, and outgoing from my internal LAN.

This way I will avoid having SMTP enabled directly on my firewall, and I'm able to take advantage of the great functionality that's build into the product.

/Andy


This thread was automatically locked due to age.
  • 0
    The ASG needs a minimum of two NICs to function.  If you use Astaro in a commercial environment for Mail Security, the pricing is based on the number of mail boxes protected.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0
    So one NIC wouldn't work at all? I tried a similar setup with the webgateway. Configured it with one NIC, and used it as a http/web proxy and that worked flawfless.
    But how would you normally place the mail gateway in an existing network infrastructure? Normally I would place a product like this in a DMZ, and port forward all SMTP/port 25 traffic through it. If you have to use 2 NIC this would only over-complicate the setup, the way I see this. So, this brings my back to my question, how would you implement the mail gateway into an existing infrastructure? Are there any whitepapers explaining this?
    Could one possible solution to configure both NICs in a bridge? As I understand this would make a virtual interface, and if both nics are located in the DMZ zone, then that should work?

    /Andy
  • 0 in reply to andy.l
    So one NIC wouldn't work at all? I tried a similar setup with the webgateway. Configured it with one NIC, and used it as a http/web proxy and that worked flawfless.
    But how would you normally place the mail gateway in an existing network infrastructure? Normally I would place a product like this in a DMZ, and port forward all SMTP/port 25 traffic through it. If you have to use 2 NIC this would only over-complicate the setup, the way I see this. So, this brings my back to my question, how would you implement the mail gateway into an existing infrastructure? Are there any whitepapers explaining this?
    Could one possible solution to configure both NICs in a bridge? As I understand this would make a virtual interface, and if both nics are located in the DMZ zone, then that should work?

    /Andy


    If it worked with http/web proxy, it will work with SMTP. Best try it.
  • 0
    Interesting. Clearly, this could be done with two VLANs on a single NIC, but I bet you two are correct that it is possible to use a single NIC in the DMZ.

    With the HTTP proxy in a non-transparent mode, and with browsers set to point at the IP of the NIC, the proxy would receive the traffic.  I can't see why it wouldn't be able to handle the traffic correctly.  Did you also try scanning HTTPS traffic?  Were there any "non-standard" settings you had to make?

    Barkas would seem to be correct that it also should work with the SMTP Proxy. I wonder if there might not be problems with signing and encryption; I can't think of any at present though.

    Please post the results of what you do.  I don't think I'll be the only one here to learn something from your ideas!

    Cheers - Bob
    PS Yes, bridging is how I always thought this would best be done, but, now, I'm wondering why your solution wouldn't be preferred.
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0
    I don't see any technical reason why it would need more than one interface.
    Obviously it can't do routing with only one, but the servers/proxies could (and should) work.
  • 0
    Hi
    I've now spent the better part of the evening on this little project, and it seems to work perfectly. The ASG is now running with one NIC, located in a DMZ. The appropriate rules are configured on the firewall to let the ASG forward incoming mail to the internal smtp server, and for the smtp server to relay outbound to the ASG. It took some time to get it up and running, but that was a result of me configuring a new mailserver at the same time.
    I'll come back with some detailed information about how to achieve this at a later time.

    /Andy
  • 0 in reply to BAlfson
    The ASG needs a minimum of two NICs to function.


    Yes and No. Right now I have my (home) ASG running as the network gateway off just the internal interface. It's set to forward packets to my wireless router (hacked Linksys WRT54GL) which is running in client mode. AFAIK, the functionality I use seems to work just fine.

    That said, that's only a temp setup till I get my internet connection setup correctly with my landlord.
  • 0
    running as the network gateway off just the internal interface. It's set to forward packets to my wireless router (hacked Linksys WRT54GL)

    Andrew, could you explain this a little more?  Is the WRT54GL where all your home devices are plugged in and the Astarois between it and the Internet.  Or, do all of the clients sit in the same network as the Astaro? Or?

    Thanks - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    Andrew, could you explain this a little more?  Is the WRT54GL where all your home devices are plugged in and the Astaro is between it and the Internet.  Or, do all of the clients sit in the same network as the Astaro? Or?

    Thanks - Bob


    The Astaro is logically (not physically) interposed between the WRT and the rest of the network. Physically, everything hangs off the same switch.

    What I've done is disabled all services on the WRT54GL except for the WiFi and so any device which joins the network will see the Astaro as the gateway. What I then did is set the Astaro's routing tables to forward traffic to the WRT54GL.

    One caveat though is that I haven't tested any of the advanced features (web proxy, etc) to confirm they work in this configuration, mainly because I don't presently use them.
Cookie Information Banner