Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 6 replies
  • Subscribers 2 subscribers
  • Views 1777 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

3 LANs, 3 SG 210s

FICS
Hello everyone,

I'm looking for a 'best practice' for connecting 3 LANs together using the Sophos SG 210.

Here's the scenario:
Site A is connected using Ethernet to Site B which is also connected via Ethernet to Site C.  Site A and C are not directly connected however they will need to be able to exchange data through site B.

So, it would look something like this:

A ----- B ----- C

I should mention that each site also has it's own connection to the internet as well so we should draw it more like this:

   Internet
  /      |      \
A --- B --- C

Since the SG 210 has more than enough Ethernet ports in it, I'm planning the following layout:

Site A - 10.1.10.x
eth0 LAN
eth1 WAN
eth2 connection to eth2 at Site B

Site B - 10.1.20.x
eth0 LAN
eth1 WAN
eth2 connection to eth2 at Site A
eth3 connection to eth2 at Site C

Site C - 10.1.30.x
eth0 LAN
eth1 WAN
eth2 connection to eth2 at Site B

So far I think that the first layer makes sense because it is logical and there aren't many other ways to make this happen (other than site-to-site VPNs using the internet connections creating a lot of traffic on an otherwise sleepy internet connection)

Here's my question:
When I configure the interfaces for the site-to-site Ethernet connections (IE: eth2 at Site A), should they be given IPs in a totally different range (say 10.100.100.0/8)?

Another question:
How do I go about building the routes between the sites?  I only want the traffic bound for other sites to be passed across the site-to-site links.  (IE: 10.1.10.157 at Site A wants to talk to 10.1.30.16 at Site C)

Bonus question:
What needs to be configured to allow the sites to fail-over to the other site's internet connections but use their primary connections by default until the link is unavailable?

NOTE: I have been considering doing this using site-to-site VPN connections but am a little confused about how traffic would route from A to C as well as the overhead created by the encryption.

Thanks for reading and thanks more if you respond!


This thread was automatically locked due to age.
  • 0
    If your 3 sites are physically next to each other your really ever needed only 1 UTM, but since you have 3 you can use your first scenario. The interfaces IP-addresses will need to match the interface on the other UTM so UTM-A int 2 = 10.1.10.2 (for instance) then you could give UTM-B int 2 = 10.1.10.3 (or something inside UTM-A's subnet). That way you won't need any static routing on UTM B, since it is connected to every other UTM. On UTM A you need a static route for 10.1.30.0/24 => 10.1.10.3 (UTM-B's interface IP-address).
    UTM C would need a same route for 10.1.10.0/24 => 10.1.20.x (UTM-B's interface IP-address for the interface connected to UTM-C).

    I think you can also enter a default gateway on those interconnecting interfaces and add masquerading rules for the other networks in your UTM's and then you can also use the other UTM's internet connections as fail-over.

    And you do need to allow the traffic between the different networks in the firewall, otherwise no traffic will ever flow from one to the other UTM.

    You could go for site-2-site, but why add this CPU-consuming feature if all UTM's are already next to each other and a direct UTP-cable connection is possible.

    Managing several Sophos UTMs and Sophos XGs both at work and at some home locations, dedicated to continuously improve IT-security and feeling well helping others with their IT-security challenges.

    Sometimes I post some useful tips on my blog, see blog.pijnappels.eu/category/sophos/ for Sophos related posts.

  • 0 in reply to apijnappels
    First, thanks for the reply.  I appreciate the wisdom and I feel the same way about the VPN overhead since there's no real need for encryption since all of the networks are connected.

    I have the UTMs connected now via VPN and everything seems to work well.  It was very easy to set this up using site-to-site just as if we were connecting via the internet.

    To clarify, the reason we went with three UTMs is because of the internet connections and also because we want to monitor and control what is being sent between the three sites.

    I should have added in my initial post that the IP addressing is out of our control as this is a retrofit installation.
  • 0
    That would still have been possible with only 1 UTM, but no problem for that.
    That IP-addressing is out of your control is also not a problem, as long as you've got free IP-address that you can assign to the other UTM's. If that's also not possible, you could use some very small (like /30) subnet which you can place in 172.16.0.0/12 range (or any other non-publicly routable range). 

    Make sure UTM-A and UTM-B are in the same subnet and UTM-B and UTM-C are in the same (but another subnet as A and B).
    Add firewall rules to allow traffic between those subnet's and you should be ready to go. If you also add masquerading rules for the other UTM's subnets and configure a default gateway on the interconnecting interfaces you can configure your fail-over internet access.

    Managing several Sophos UTMs and Sophos XGs both at work and at some home locations, dedicated to continuously improve IT-security and feeling well helping others with their IT-security challenges.

    Sometimes I post some useful tips on my blog, see blog.pijnappels.eu/category/sophos/ for Sophos related posts.

  • 0
    Thank you apijnappels, I think that I can make this work!
    I appreciate your time.
  • 0 in reply to apijnappels
    I have it all up and running and ready for testing but I need a clarification on this:
    I think you can also enter a default gateway on those interconnecting interfaces and add masquerading rules for the other networks in your UTM's and then you can also use the other UTM's internet connections as fail-over.


    Which gateway would I use in the interface configuration?
    Site C is using eth3 configured as 172.21.10.10 connected to 172.21.10.11 over at Site B.  Do I configure Site C's eth3 connection to use the UTM at Site B's eth0 (LAN) IP as the gateway?

    What about connecting Site C to Site A?

    Again, thanks for your time.
  • 0
    In site C configure 172.21.10.11 as default gateway (so actually the default gateway is almost always the first device (IP-address) sitting behind the box from where you are configuring it.
    On Site B you can configure the default gateway for the interconnecting interface to C with 172.21.10.10.
    In that case every UTM has 2 default gateways (1 pointing to the internet connection connected to it and one pointing to it's neighbour UTM).

    For connecting C to A you will have to add static routes in both UTM's. Like this:

    In UTM A
    10.1.30.0/24 => UTM-B's IP-address of interconnecting interface between A and B.

    In UTM C
    10.1.10.0/24 => 172.21.10.11

    You will also need firewall rules in A and C to allow the traffic between those 2 subnets. And you would also need rules in UTM-B to allow all the traffic.

    Managing several Sophos UTMs and Sophos XGs both at work and at some home locations, dedicated to continuously improve IT-security and feeling well helping others with their IT-security challenges.

    Sometimes I post some useful tips on my blog, see blog.pijnappels.eu/category/sophos/ for Sophos related posts.

Share Feedback
×

Submitted a Tech Support Case lately from the Support Portal?