Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 10 replies
  • Subscribers 2 subscribers
  • Views 4341 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Help: Astaro SG 220 & Cisco 3560 Layer 3

computer_codon


 I have config VLAN on the Cisco 3560, but i am can't connect to the internet throught Astaro SG220

+Cisco 2560 Layer 3
    1 .VLAN2: Interface VLAN IP: 192.168.2.1/24

    2 .VLAN3: Interface VLAN IP: 192.168.3.1/24

    3. Firewall plug to the Switch core on the fa0/23 port. 
fa0/23 port IP: 192.168.12.2/24

    4. host in the Vlan 2 
- ping 192.168.2.1 Successfull
- ping 192.168.12.2 Successfull
- but i am can't ping 192.168.12.1 (unsuccessfull)
- i am can't access to the internet.

i don't know why.

Please help me.
Thanks so much!

Following, these commands i had config on the Cisco 3560.

    Cisco3560(config)#int fa0/23
    Cisco3560(config-if)#ip address 192.168.12.2 255.255.255.0
    Cisco3560(config-if)#exit
    Cisco3560(config)#int vlan2
    Cisco3560(config-if)#
    *Mar 1 00:18:21.105: %LINEPROTO-5-UPDOWN: Line protocol on Interface Vlan2, cha
    nged state to down
    Cisco3560(config-if)#ip address 192.168.2.1 255.255.255.0
    Cisco3560(config-if)#
    *Mar 1 00:19:10.212: %SYS-5-CONFIG_I: Configured from console by vty0 (192.168.
    11.2)
    Cisco3560(config-if)#no shut
    Cisco3560(config-if)#exit
    Cisco3560(config)#int vlan3
    Cisco3560(config-if)#
    *Mar 1 00:19:34.061: %LINEPROTO-5-UPDOWN: Line protocol on Interface Vlan3, cha
    nged state to down
    Cisco3560(config-if)#ip address 192.168.3.1 255.255.255.0
    Cisco3560(config-if)#no shut
    Cisco3560(config-if)#exit
    Cisco3560#conf t
    Enter configuration commands, one per line. End with CNTL/Z.
    Cisco3560(config)#int fa0/2
    Cisco3560(config-if)#switchport mode access
    Cisco3560(config-if)#switchport access vlan 2

    Cisco3560(config)#int fa0/3
    Cisco3560(config-if)#switchport mode access
    Cisco3560(config-if)#switchport access vlan 3

    Cisco3560(config)#int fa0/4
    Cisco3560(config-if)#switchport mode access
    Cisco3560(config-if)#switchport access vlan 3

    Cisco3560(config)#int fa0/5
    Cisco3560(config-if)#switchport mode access
    Cisco3560(config-if)#switchport access vlan 3

    Cisco3560(config)#ip routing
    Cisco3560(config)#ip route 0.0.0.0 0.0.0.0 192.168.12.1


This thread was automatically locked due to age.
  • 0
    Welcome to the User BB!

    I assume the Draytek is the only place where there is NAT - correct?  If so, then you need static gateway routes in the Astaro:

    192.168.2.0/24 -> 192.168.12.2
    and
    192.168.3.0/24 -> 192.168.12.2


    Also, check that you have 'Firewall forwards pings' selected on the ICMP tab of Firewall (Packet Filter).  And, look in the Firewall (Packet Filter) log to be sure that you don't need to create an 'Allow' rule or two.

    Cheers - Bob
  • 0 in reply to BAlfson
    Hello BAlfson,

    Like you said,  in order to connect the Internet from the internal network and ping each other then we have add two static routes: 

    192.168.2.0/24 -> 192.168.12.2
    and
    192.168.3.0/24 -> 192.168.12.2


    Finally, Is it necessary for us to add some firewall rules (the firewall feature) on Astaro? e.g: internal network --> external network, thinks like that. Tks a lots.
  • 0 in reply to BAlfson
    Hi, all traffic is blocked by default...

    And, look in the Firewall (Packet Filter) log to be sure that you don't need to create an 'Allow' rule or two.


    Barry
  • 0 in reply to BarryG
    Hi all,

    Hi, all traffic is blocked by default...


    if so, what are the rules (add some rules on Astaro) needed to all internal vlans can connect to the internet and access each other as well. Sorry for asking this, I want as detailed as possible. Tks a lots.

    Note: As far as I know 
    192.168.2.0/24 -> 192.168.12.2
    and
    192.168.3.0/24 -> 192.168.12.2 
     This is effected after the internal traffic is through and reach to the Astaro and then Astaro will response packets to where it originate from.
  • 0
    You will probably also need to allow 192.168.2.0 and 192.168.3.0 to 192.168.14.0 network, depending on how your UTM is acting. If it's only routing between Cisco and Draytek then this is necessary. I don't think your UTM is now masquerading internal networks to the Draytek or is it?
  • 0 in reply to apijnappels
    Hi,
    Now my draytek is acting as a load balancer device. As you said 
    You will probably also need to allow 192.168.2.0 and 192.168.3.0 to 192.168.14.0 network
    --> Then I have to create some network definition on Astaro, right? anh then I use those networks to apply on firewall rule (packet filter), right?

    And what if my Astaro is now masquerading internal networks to the Draytek, then how about the firewall rules is configured? Tks a lots.
  • 0
    The Astaro should not be masquerading unless it now has a public IP and the DrayTek is now "behind" the Astaro.

    This is effected after the internal traffic is through and reach to the Astaro and then Astaro will response packets to where it originate from. 

    Please give a specific example.

    In general, it would help if you would show a line or two from the Firewall log where traffic you want is being blocked.

    Cheers - Bob
  • 0 in reply to BAlfson
    Hi,

    My questions are totally based on the computer_codon's illustration picture. The below sentence 
    This is effected after the internal traffic is through and reach to the Astaro and then Astaro will response packets to where it originate from. 
     --> Explain to 
    192.168.2.0/24 -> 192.168.12.2
    and
    192.168.3.0/24 -> 192.168.12.2 
    I mean to say, after the firewall rules have been allowed the internal traffic to the Astaro then we need to create some routing rules to return packets where they came from, right? Tks a lots.
  • 0
    It looks like your 2 subnets 192.168.2.0 and 192.168.3.0 would already have their default gateway set to the Cisco 3560. Since the 3560 is also in the 192.168.12.0 network, you shouldn't need static routes to that. You may however need static routes from and to your draytek from the 192.168.12.0, 192.168.2.0 and 192.168.3.0 subnets.
  • 0
    I mean to say, after the firewall rules have been allowed the internal traffic to the Astaro then we need to create some routing rules to return packets where they came from, right?

    That's what I thought you meant, but that isn't necessary with the UTM.  WebAdmin automatically creates routes between all of the subnets defined in the 'Interfaces' section.  And, since the UTM is a "stateful" firewall, its connection tracker knows where to send response packets.

    Cheers - Bob