Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 3 replies
  • Subscribers 2 subscribers
  • Views 905 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

ASG8 FullNAT issue

bdietz
Hello all,

I need a 2nd pair of eyes while working on a NAT issue.

Two headquarters (lets call them A+B) are connected with a leased line, at end B we have an ASG8.

Interfaces:

LOCAL  on eth0 [192.168.180.1/24]
UPLINK on eth4 [192.168.190.6/24]


To connect to several services from B to A I have a static gateway route in place:


GROUP_Networks_A -> Gateway Firewall_Network_A [192.168.190.1] 


To connect from A to B we addressed directly, so ASG8 knew to distribute this to LOCAL on eth0. If basically a client in A wanted to connect to 192.168.180.100 he used 192.168.180.100.

So far so good.

Due to some regulatoric changes now new connections from A to B are send to UPLINK to eth4, but with a new net: 10.7.0.0/16. The idea behind this: Requests to 10.7.0.100 should be NATted to 192.168.0.100.

To archieve this, I've added an additional address on ETH4:

10.7.0.1/24 on interface UPLINK


Then I've tried setting up a FullNAT to accomplish the goal:


Traffic Source: Any
Traffic Serice: Any
Traffic Destination 10.7.0.100
NAT mode: Full NAT
Destination: 192.168.180.100
Destination Service: (unchanged)
Source: UPLINK (address)
Source Service: (unchanged)
+ Log initial packets and Automatic firewall rules active.


The Firewall log shows two entries for the TCP requests:


12:26:27 Connection using NAT - TCP 10.2.173.6 -> 10.7.0.100:80 / len=60, ttl=59, tos=0x00 / srcmac=5c:5e:ab:e6:e:8d / dstmac=0:1b:21:be:b9:99
12:26:27 Connection using NAT - TCP 10.2.173.6 -> 192.168.180.100:80 / len=60, ttl=58 , tos=0x00 / srcmac=0:1b:21:be:b8:a8


...but the traffic doesn't show up on the destination server.

I guess I'm missing something, any clues?

Thank you in advance.


This thread was automatically locked due to age.
  • 0
    Please show a simple diagram that includes applicable subnets on each side.  Also, confirm that #3 in https://community.sophos.com/products/unified-threat-management/astaroorg/f/51/t/22065 is true.

    Cheers - Bob
  • 0
    Thanks for your reply. After doing a bit of early morning network tracing in network B I found out the packets arrive at their destination, but the responses don't arrive at the requesting server. I've simplified the NAT, now it isn't a full NAT anymore, just a DNAT.

    The people responsible for A are currently looking into this, I'll update once I have any news.
  • 0
    As it turned out, my setup was initially correct (there might be improvements, but that wasn't my question!).

    My statement ...


    ...but the traffic doesn't show up on the destination server.


    ...was just wrong, as my own traces later made clear, the traffic reached the destination, but the responses didn't arrive back at the requesting server.

    The reason for this was an incorrect IP spoofing setup in Headquarter A, so no ASG related issue, which has now been fixed.

    Thanks anyway!