Transparent Firewall ??

This is what I would do, and I am assuming that your internal network is one flat IP network, or one IP subnet.  If the Nortel is capable of VLAN tagging, then I would plug the internal interface of the firewall into an internal or "trusted" VLAN.  Next, address the internal interface of the firewall using the same address as the internal facing address of the Cisco router.  This way, you will not have to readress your host's default gateway address whcih I am assuming now, is the Cisco router.  Next, connect the Cisco router into an external or "untrusted" VLAN on the Nortel switch.  This way, your traffic will be segmented at layer 2 and the firewall will route between your two VLAN/subnets.  Finally, the NAT can either take place on the Cisco router or ASL.  Either one should suffice.  For the IP connection between the Cisco router and the ASL, you can use a /30 private IP network...the addresses will have a 255.255.255.252 subnet mask.  If you wanted to, you could configure the Cisco router to bridge your Internet traffic at layer 2.  This way, the firewall's external interface would be the first IP point of entry into your network, and you could have all layer 3 and layer 4 processing happen at the firewall.  

I am afraid that the Nortel switch I am using does support VLAN's, but I must purchase Nortel Optivity to configure them (the Telnet/Console interface does not have ANY config for VLAN's unfortunately).... the Optivity software is very expensive

Have you another way of doing this without VLAN's ?

At the moment I do use just the one static block of IP's and one subnet, but as the network grows (which it is doing all the time) I will be needing more than 254x IP's (which should be in the next 6x months I would imagine), so I will be using another subnet.... I take it this is not a problem ??   But to be honest, I would feel a little uncomfortable about running more than 254x high traffic servers through the one box [:)]

Then in that case, I would use a crossover cable to connect the router directly into the firewall, and then follow the same plan but disregard the VLAN part.  

[ QUOTE ]
Then in that case, I would use a crossover cable to connect the router directly into the firewall, and then follow the same plan but disregard the VLAN part.   

[/ QUOTE ]

I am sorry, but can you give me step by step guides to this ? I have not configured the firewall on the Astaro box yet, but if you can just give me an idea of what needs to be changed, what its going to be changed to etc, then thats great !!  

Step 1: Configure firewall interfaces - Configure internal interface to use the current IP address that the servers use for the default gateway.  Configure external interface to be part of a new IP network, lets say 192.168.100.0/30.  The internal interface of the router could use 192.168.100.1 and the firewall could use 192.168.100.2.

Step 2: Configure firewall NAT/Ruleset

Step 3: Configure router - Configure the router to NAT (or PAT).  Install a static route to point to your internal IP network.  The next-hop IP address will be the external interface of the firewall.

Step 4:  Physical connections - Connect crossover CAT-5 cable from ethernet interface on the router to the external interface of the firewall.  Connect regular CAT-5 cable from internal firewall interface to the Nortel switch.

Step 5:  Verify that the hosts can ping the firewall which sihould be their default gateway address.  Verify accessibility to the WebAdmin component of the firewall.  Verify that traffic is passing and being audited by the firewall.

If you wanted to bridge all the traffic so the firewall would be the first IP point of entry into your network, here is a sample router config that would make the Cisco router bridge traffic instead of route it.  If you did it this way, the external interface on the firewall would be configured with a public IP address given to you by your ISP.  If you needed to access the router remotely, use a console server or you could turn up a virtual interface that would be bound to the "real" external interface and use 192.168.100.2 255.255.255.252 as the IP address.  Enable SSH on the router.  Then you could SSH from the firewall to the router.  This is what I do.

====================
interface Ethernet0 
 ip address 192.168.100.1 255.255.255.252 
 bridge-group 1 
! 
interface Atm0
 mac-address 0030.96f8.45bd (this is the MAC address of the router's ethernet interface)
 ip address 192.168.100.1 255.255.255.252
 bridge-group 1 
! 
bridge 1 protocol ieee 
=================

Have fun!  

excellent, I will give that a go...

The Cisco router is already setup for just bridging (however the router is rented from my ISP so I do not have direct console access to it as I do not know the secret password....) does this change anything ?  

If the router is already bridging only and not routing, then there should not be any intervention required.  

Question:  What is the current default gateway?  

[ QUOTE ]
If the router is already bridging only and not routing, then there should not be any intervention required.  

Question:  What is the current default gateway?   

[/ QUOTE ]

the default gateway for my network is the Cisco router  

In that case, the Cisco is routing (and bridging technically speaking).  If the ISP manages that router, then you will need them to intervene.  Remember, the 192.168.100.0 network we talked about in between the firewall's external interface and the router's LAN interface?  That is what will need to be configured.  Make the current gateway IP address, which is now on the router the address for the firewall's internal interface so the servers won't have to be reconfigured.   

okies, I am starting to understand a little more now (I am going to go on a CCNA course soon so this subnetting business is easier to understand)

it may be possible for me to get hold of the password for this router, as in effect I do own it but its managed by the ISP remotely.... would I need to configure routing on it ?

so lets say this is how it goes;

ROUTER (example IP: 195.92.225.1)
-
Firewall Externall (IP: 192.168.0.100) (what subnet tho ?)
FIREWALL HAPPENING
Firewall Internal: (IP: 192.168.0.101) (what subnet tho ?)
-
Nortel Switch (what would this IP be, I take it will be able to stay what it was before ? (e.g. 195.92.225.2) ?
-
Server Switch (3Com or Cisco etc)
-
Servers (IP's stay the same) ?

Am I correct ??