Ext IP range - DNS - How ?

SMTP proxy fixed ... no many f* rules... removed anything related to SMTP ...
read it somewhere that SMTP proxy is managing him self  [:O]

This is my current setup:
Astaro 4.0.21
dsl router: 1.1.3.209 (no access)

Internal:  eth0 192.168.1.1/255.255.255.0
External:  eth1 1.1.3.210/255.255.255.0
Gateway: 1.1.3.209 
On Eth1 I have an ip pool 1.1.1.3.208/28, hosts from 1.1.3.210-222
They are all configured like 'Additional address on Ethernet interface' 
Netmask 255.255.255.255 with Gateway: none
DMZ: eth2 10.1.1.1/255.255.255.0

System->Settings-> Hostname mail.company.nl

DMZ_Web_serv  10.1.1.11
DMZ_Web_serv2  10.1.1.12
DMZ_Web_serv3  10.1.1.13
Internal_Exchange 192.168.1.10

1.1.3.210 - SSH,HTTP(S) (WEBMAIL (Squirrel Mail))
NAT:
HTTP(S):Allow Any->External->HTTP(S)-> DMZ_Web_serv
Service Group: WEBMAIL (IMAP,SMTP)
Packet Rule:
Allow Any:HTTP(S)-> DMZ_Web_serv:HTTP(S)
Allow DMZ_Web_serv -> Internal_Exchange:WEBMAIL 

1.1.3.211 - FTP, HTTP
NAT:
HTTP:Allow Any->External_211:HTTP-> DMZ_Web_serv2
FTP: Allow Any->External_211:FTP->DMZ_Web_serv2
Packet Rule:
Allow -> Any:HTTP -> DMZ_Web_serv2:HTTP 
Allow -> Any:FTP -> DMZ_Web_serv2:FTP 
1.1.3.212 - HTTP, SSH
NAT:
HTTP:Allow Any->External_212:HTTP-> DMZ_Web_serv3
FTP: Allow Any->External_212:FTP->DMZ_Web_serv3
Packet Rule:
Allow -> Any:HTTP -> DMZ_Web_serv3:HTTP 
Allow -> Any:FTP -> DMZ_Web_serv3:FTP 




Now... 
  
Connecting to 1.1.3.210, works on ssh and http and https, just verys sloooooow . [:(]font> 
Ideas?

The 1.1.3.212-1.1.3.222 are playing dead. 25 is open if I telnet to it from outside.
NMAP is completely quite.

 None of the services defined on the eth1 aliases works… 

Did I missed something, went up and down in the manual(s) but no results.

Its strange that is not mentioned a configuration for ip pool. definitions or rules .    .


bip bip, help help

   

Is  DMZ_Web_serv's gateway set to Astaro?
Turn on all ICMP (menu choice after packetfilter rules) temporarily and see what traceroute says is the slowest leg...
   

yea, gw are set correcty.

 I have at the moment ShoreWall FW running on Debian.
So I just migrated the rules, no changes to the rest of the network was nessesery, besides on Exchange for smtp delivery.


Strange thing is that  even if I enable ping and traceroute, Astaro does not reply !
He can ping everything
Internal Lan can ping and traceroute outside
put not from the Net to the FW ...

The traceroute from the internet stops at the DSL router ...
I even did something like this for testing:
          Allow Any-> { traceroute } -> Group_Of_All_External_Aliases
    nothing ...

ideas ?  [:S]

  

Is external interfaces's gateway is set to the DSL router (for each IP)?

Also, do we need the proxy arp?

Is external interfaces's gateway is set to the DSL router (for each IP)?

Also, do we need the proxy arp?

When I put to all interfaces the DSL gw, that broth down complete access to the Astaro

13 default routes tp Eth1 ... very good ....

  Any idea how to import from the console the last backup ?????!?!?!?   

Login to the console did the job .... deleting manualy the default routes and leaving just one ...

Its  strange that nobody has a clue !!?! Astaro are you reading this ?
For paying this amount of $$$$ with the manual just for the home user, 200+ pages of pics,
sorry but is frustrating.. 

[ QUOTE ]
Is external interfaces's gateway is set to the DSL router (for each IP)?

Also, do we need the proxy arp?
 

[/ QUOTE ]

On and Off .. nothing ..

Atleast from internal network I can ping the aliases ! [:(] 

I am just seeing your post.

If this is a production environment, that should be made clear from the get go so I do not suggest things that might disrupt you (and you should work with an Astaro Support Partner in person). If it is not, you really are going to need a lot more patience working on this! Let's face it: these boards are a primitive communication medium. Since I can't 'see' what is going on, I have to start with some assumptions as to what is going on on your end, and sometimes those assumptions can be wrong (example: once I spent ten posts talking to somebody until we found out that they had plugged their Internet connection into both their clean AND dirty interfaces!). So we have to be patient and ask what is going on...

To resume: Is each of the external IP's gateway's set to the DSL router??

If it is, I wonder if your DSL router is not amused with your external addresses sharing the same MAC...

Can you ping the router from the console of the firewall? (all ICMP options on; assuming that the router is pingable; some are not by default...)

Can you or your ISP ping the firewall from the router?

With all respect, but GW in the aliases was a bad idea ... its creating additional default route for each GW in the aliases.
it cut mi off from the webadmin when I did it earlier for all range ... the login in in the console and deleting 12 additional default routes was my only solution

Proxy ARP On:

External (Standard ethernet interface)
on eth1 ([unknown vendor / unknown chipset] )   1.1.1.3.210 / 255.255.255.255
Gateway: 1.1.1.3.209 
External_211 (Additional address on ethernet interface)
on eth1 ([unknown vendor / unknown chipset] )   1.1.1.3.211 / 255.255.255.255
Gateway: none 
External_212 (Additional address on ethernet interface)
on eth1 ([unknown vendor / unknown chipset] )   1.1.1.3.212/ 255.255.255.255
Gateway: none 
External_213 (Additional address on ethernet interface)
on eth1 ([unknown vendor / unknown chipset] )   1.1.1.3.213/ 255.255.255.255
Gateway: none 

----
traceroute to my fw:
 6  isp.provide.net (x.x.x.x)  6.521 ms  9.183 ms  8.757 ms
 7  10.1.3.209 (10.1.3.209)  34.837 ms  27.235 ms  21.170 ms
 8  my.fw.nl (10.1.3.210)  25.064 ms  29.003 ms  30.823 ms

traceroute to my .211:
 6  isp.provide.net (x.x.x.x)  6.521 ms  9.183 ms  8.757 ms
 7  10.1.3.209 (10.1.3.209)  34.837 ms  27.235 ms  21.170 ms
8  10.1.3.211 (10.1.3.211)   30.777 ms  30.672 ms  25.151 ms

traceroute to my .212:
 6  isp.provide.net (x.x.x.x)  6.521 ms  9.183 ms  8.757 ms
 7  10.1.3.209 (10.1.3.209)  34.837 ms  27.235 ms  21.170 ms
 8  10.1.3.212 (10.1.3.212)  27.939 ms  19.368 ms  20.282 ms
--------------------
Proxy ARP on, gives me the same resoult

traceroute to my fw:
 6  isp.provide.net (x.x.x.x)  6.521 ms  9.183 ms  8.757 ms
 7  10.1.3.209 (10.1.3.209)  34.837 ms  27.235 ms  21.170 ms
 8  my.fw.nl (10.1.3.210)  25.064 ms  29.003 ms  30.823 ms

traceroute to my .211:
 6  isp.provide.net (x.x.x.x)  6.521 ms  9.183 ms  8.757 ms
 7  10.1.3.209 (10.1.3.209)  34.837 ms  27.235 ms  21.170 ms
 8  10.1.3.211 (10.1.3.211)   30.777 ms  30.672 ms  25.151 ms

traceroute to my .212:
 6  isp.provide.net (x.x.x.x)  6.521 ms  9.183 ms  8.757 ms
 7  10.1.3.209 (10.1.3.209)  40.121 ms  23.843 ms  32.201 ms
 8  10.1.3.212 (10.1.3.212)  23.150 ms  28.733 ms  21.283 ms

traceroute to my .213:
 6  isp.provide.net (x.x.x.x)  6.521 ms  9.183 ms  8.757 ms
 7  10.1.3.209 (10.1.3.209)  34.837 ms  27.235 ms  21.170 ms
 8  * * *
 9  * * *
10  * * *


ideas ?


P.S. dust is out of the question, completly new system [:)]
---
I  made some typos, needed to re-edit the post.

You said it was slooow; but those millisecond statistics don't look bad; am I misunderstanding your statistics?
Maybe the delay is not in the packet transfer but in the name lookup?
Compare ping by name to ping by IP.

Have you tried the DNS proxy?
It won't require masquerading or rules.

Could you please state the full masquerade rule for the 10... network?

The mail server will need a DNAT rule; or just use the SMTP proxy and tell the mail relay to forward all mail to the IP address of the firewall on the mail server's LAN (it won't need rules or DNAT either).

I am going offline for a few hours. Your answers to my questions should elicit an observation from others who are experienced. Otherwise, I'll pick it up tomorrow...

One last thought: try a single IP on the external NIC (WITH a gateway) and do your traceroute tests, so we have a good baseline (i.e., we rule out that the multiple external IPs is not doing something strange...). Make a Backup before you do the changes; restore once you find out wuzzup...

maybe just:


Proxy ARP On

External (Standard ethernet interface) 
on eth1 ([unknown vendor / unknown chipset] ) 1.1.1.3.210 / 255.255.255.240
Gateway: 1.1.1.3.209 


And the rest 211-222 like eth aliases ? 

Just for a test (at offpeak if you're production); forget about 211-212.

I want to see if the multiple IPs are slowing things down...

Unless you're going to use proxies, what is the masquerade rule for the 10... network?

 I have just one masquerading rule.

Internal_Net-> External_interface 

Don't you want one for the DMZ net too?

Let me know what the single external IP with gateway set ICMP test results are...