Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 8 replies
  • Subscribers 2 subscribers
  • Views 3486 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Disappointed 'bout NAT, MASQUERADING and negated addresses

kkeppler
Hi,

after many years with a PIX 506 we decided to switch to Astaro (ASG-120). The GUI was more self-explaining than Ciscos', and most of all configuration was done without the need to read 1000-paged documents.

But now, after in-depth experience with ASG V7, I'm somehow disappointed. I don't know the "typical" customer of Astaro, but some in my eyes elemental features like negated network definitions (eg. "!192.168.5.0/24") are just missing.

Here's our problem:
We have a LAN (192.168.30.0), connected via IPSEC-VPN with a remote LAN (192.168.40.0).
On the WAN side, we have a small subnet with public IPs (let's call it 1.2.3.0/28).

We want to masquerade most of our LAN->WAN traffic with the external IP 1.2.3.2, but need that some specific LAN hosts masquerade as 1.2.3.3.

After having tried configuring this for several hours, I gave up.

Normal masquerading works fine, but doesn't allow us to use specific public IPs for specific LAN hosts.
SNAT might be a solution, but when building a rule like "SRC Any - DST Any - SNAT 1.2.3.2" also all VPN traffic got SNAT'd (which itself is correct, as I don't have a chance to say "SRC Any - DST !VPN - SNAT 1.2.3.2").
I don't really want to create a host group containing all world-wide networks except my VPN... [;)]

So dear Astaro guys, PLEASE (!!) add a way for negating addresses, and maybe also give some hints on how to configure SNAT/Masquerading with different public IPs.

My research showed that this is indeed an old topic not yet solved:
https://community.sophos.com/products/unified-threat-management/astaroorg/f/54/t/38210
https://community.sophos.com/products/unified-threat-management/astaroorg/f/54/t/38200

Or did I miss something?

Thanks & best regards


This thread was automatically locked due to age.
Parents
  • 0
    Did you try /ipsec/connections/strict routing enabled ?
  • 0 in reply to ClausP
    I have almost this exact same setup and it works fine...
    Basically you setup an interface for your default gateway, and then an additional address for the 1.2.3.3 address. Setup a single masq. rule for Internetwork & external (1.2.3.2) addy...


    Now all you need is some policy routing to force the traffic you want to hit that other gateway 1.2.3.3 and some SNAT rules to make sure the packets know where to return back to (otherwise return traffic will hit 1.2.3.2).

    Let me know if you have any questions.. I'll check back later when I have some more time.
Reply
  • 0 in reply to ClausP
    I have almost this exact same setup and it works fine...
    Basically you setup an interface for your default gateway, and then an additional address for the 1.2.3.3 address. Setup a single masq. rule for Internetwork & external (1.2.3.2) addy...


    Now all you need is some policy routing to force the traffic you want to hit that other gateway 1.2.3.3 and some SNAT rules to make sure the packets know where to return back to (otherwise return traffic will hit 1.2.3.2).

    Let me know if you have any questions.. I'll check back later when I have some more time.
Children
No Data