Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 19 replies
  • Subscribers 2 subscribers
  • Views 132822 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Internal LAN - LAN traffic being blocked

Advoc8tr
Hi,  I'm having trouble getting Astaro to allow all communication between 2 internal subnets?  Both networks can access the internet, published servers and mail server work but internal workstations are all freezing up when anyone tries to access a domain share. 

I have tried many variations  none of which have worked so currently I have set up the DNS as described in other posts with the AD DNS server resolving all requests.  The internal DNS is set up as the only forwarder on Astaro and I have a forward and reverse domain override rules.

I have tried no firewall rules, LAN1 - any - any and LAN2- any - any none of which solved the problem of DNS and SMB / CIF traffic being blocked ??

All the servers including the astaro are virtual and running on esxi .. they are all connected via a virtual switch which is LAN2

LAN1 is mapped to a physical NIC and connects to the switch along with all other network devices.

Can I have clarification on a couple of questions please.

1.  Does astaro pass ALL traffic between internal networks by default or are rules necessary?

2. Is there a reason why you can't use the astaro DNS with ISP forwarders and domain override rules for the AD domain in an active directory environment - rather than send external DNS requests to internal DNS?

Can anyone offer any advice on what could be causing Astaro to block internal traffic between LANS

Thanks.


This thread was automatically locked due to age.
Parents
  • 0
    Thanks, I'm trying to avoid bridging and want to keep the 2 subnets (one virtual on physical) 

    If I shut down astaro and fire up pfsense using exact same config and ips it works perfectly and has done for years.

    The problem is Astaro actively dropping LAN - LAN traffic ... esp DNS which stuffs up shares etc..  Log shows all DNS traffic to DC being dropped (default drop)

    I have read in many posts that by default it passes everything between LANs .... but it doesn't??

    I even have a single rule any - any -any and it stills blocks the DNS with default drop??
  • 0 in reply to Advoc8tr
    Advoc8tr, 

    Is the network share in Subnet1 or Subnet2 or a different location.  If it's in a not in either and is in a different subnet you will need a firewall rule to allow access to that share.

    Also, are Subnet1 and Subnet2 in the same domain.  If not you will have to set up DNS trust relationships between the two domains (assuming windows domains).  This will allow DNS lookup from one domain to the other.

    The below is general examples of setting up access between different subnets.  The example about the specific host will be helpful if your network share is not located in either Subnet1 or Subnet2.

    General rules that would work for me (I'm running 4 subnets - each with own NIC, in addition to one WAN.):

    This will allow any device on each subnet to connect to any device on the other subnet: 

    Subnet1 (network) > ANY > Subnet2 (network > ALLOW
    Subnet2 (network) >  ANY > Subnet1 (network) > ALLOW

    This will allow any device on Subnet1 to connect to HOST PC-on-subnet2 but not any other device on Subnet2 (and vice versa)  The allow rule must come first before deny rules for each subnet:

    Subnet1 (network) > ANY > PC-on-subnet2 > ALLOW
    Subnet1 (network) > ANY > Subnet2 (network) > DROP

    PC-on-subnet2 > ANY > Subnet1 (network) > ALLOW
    Subnet2 (network) > ANY > Subnet1 (network) > DROP

    You can replace ANY service with specific service(s) or group(s) of services.  This gives you the gist of the logic needed.
Reply
  • 0 in reply to Advoc8tr
    Advoc8tr, 

    Is the network share in Subnet1 or Subnet2 or a different location.  If it's in a not in either and is in a different subnet you will need a firewall rule to allow access to that share.

    Also, are Subnet1 and Subnet2 in the same domain.  If not you will have to set up DNS trust relationships between the two domains (assuming windows domains).  This will allow DNS lookup from one domain to the other.

    The below is general examples of setting up access between different subnets.  The example about the specific host will be helpful if your network share is not located in either Subnet1 or Subnet2.

    General rules that would work for me (I'm running 4 subnets - each with own NIC, in addition to one WAN.):

    This will allow any device on each subnet to connect to any device on the other subnet: 

    Subnet1 (network) > ANY > Subnet2 (network > ALLOW
    Subnet2 (network) >  ANY > Subnet1 (network) > ALLOW

    This will allow any device on Subnet1 to connect to HOST PC-on-subnet2 but not any other device on Subnet2 (and vice versa)  The allow rule must come first before deny rules for each subnet:

    Subnet1 (network) > ANY > PC-on-subnet2 > ALLOW
    Subnet1 (network) > ANY > Subnet2 (network) > DROP

    PC-on-subnet2 > ANY > Subnet1 (network) > ALLOW
    Subnet2 (network) > ANY > Subnet1 (network) > DROP

    You can replace ANY service with specific service(s) or group(s) of services.  This gives you the gist of the logic needed.
Children
No Data