Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 5 replies
  • Subscribers 2 subscribers
  • Views 982 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Route Map Question (I think)

tom11011
Hi group.

Well we have gone ahead and rented space from a second data center for our new DR site.

What we are going to do is replicate all of our virtual machines from SiteA to SiteB.  These virtual machines will be replicated identically meaning that their lan addresses of 192.168.1.X will not be changing.  In the event of a disaster, our plan is to switch over to siteB by powering up the virtual machines and simply changing external DNS to the new routable IP addresses and having NAT preconfigured on the SiteB astaro.

This is where some difficulty comes in.

We have an astaro to astaro VPN setup.

SiteA (production) uses LAN Addresses in the 192.168.1.X range.
SiteB (DR) uses LAN addresses in the 192.168.2.X range, but only for the equipment that the VM's and will reside on.  The VM's themselves will be 192.168.1.X.

So, I reconfigured the astaro inside interface to ethernet vlan and made the appropriate changes on my switch.  Servers on both networks at site B (1.X and 4.x) can get out to the internet, but my 4.X network will no longer communicate over the VPN to site A, because it is confused with two 1.X networks now.

I'm thinking this is easily solved with 2 physical firewalls, but obviously I don't want to do that if I don't have to.

What I need to do is tell the astaro that all my devices on 4.X network at site B, when they need to communicate with 1.X, they should use the vpn and not the direct connection on the astaro itself.


This thread was automatically locked due to age.
Parents
  • 0
    yep, 50 ip's.

    I took this a step further and created another outside interface on the astaro and routed a new block of ip's.  No good here either, the second interface will not allow for another default gateway, tried a policy map as well.  No luck.

    If we could have a policy map that allows for a vpn interface, that probably would do the trick, but I don't think that is a feature on astaro firewalls.

    Anyway, I have just emailed my customer the bad news, seems we will need another firewall dedicated to the DR network, which isn't all that bad, just have to open ports on the new firewall to match the production site for the day when a disaster occurs and we simply change DNS to point to the new site.  Cuts down on the complexity and no vpn required for this network (which will probably never see the light of day).

    As a side note, this is the first time I'm doing a DR site where replication occurs over vpn.  The other sites and customers I've done this for all had dedicated point to point links for replication and this never came up.

    Thanks for your assistance.

    Tom
Reply
  • 0
    yep, 50 ip's.

    I took this a step further and created another outside interface on the astaro and routed a new block of ip's.  No good here either, the second interface will not allow for another default gateway, tried a policy map as well.  No luck.

    If we could have a policy map that allows for a vpn interface, that probably would do the trick, but I don't think that is a feature on astaro firewalls.

    Anyway, I have just emailed my customer the bad news, seems we will need another firewall dedicated to the DR network, which isn't all that bad, just have to open ports on the new firewall to match the production site for the day when a disaster occurs and we simply change DNS to point to the new site.  Cuts down on the complexity and no vpn required for this network (which will probably never see the light of day).

    As a side note, this is the first time I'm doing a DR site where replication occurs over vpn.  The other sites and customers I've done this for all had dedicated point to point links for replication and this never came up.

    Thanks for your assistance.

    Tom
Children
No Data