Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 5 replies
  • Subscribers 2 subscribers
  • Views 5652 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Need some help with my DMZ setup

ddywz
I am running version of UTM 9.311-3 and today decided to setup a web sever in DMZ.  I had 3 spare NICs in the UTM so I setup up one of them as a DMZ interface.  Here is what I have so far:

eth0 - external 
eth1 - DMZ (10.0.0.0)
eth2 - internal (192.168.2.0)

I have a DHCP for internal network with ..2.10 to 2.30 All devices use STATIC reserved DHCP addresses from ..2.100 to ...2.250.

I setup a DHCP for DMZ in a range of 10.0.0.10 to 10.0.0.20. The web server uses a reserved IP of 10.0.0.21.

I setup the Webserver protection by creating the real webserver and the virtual one and all is working fine and I am able to access the web page from external site.  At the same time I cannot access any of my internal devices from DMZ, so far so good.  My problem is that I cannot get outside from DMZ, like in the case to get server updates.

I have done the following:
1. Created a Masquerading rule that says  DMZ network - external interface.
2. Setup a FW rule that says DMZ network -any - external(address) - allow
3. Created a FW rule that says Internal Network - any - DMZ network -allow This is working fine and I'm able to ping and ssh to the web server from internal network.

Trying to ping an external site or run sudo apt-get update from the web server in DMZ does not go anywhere.  I also tried to put a FW rule that says DMZ network - any -Internal Network - allow [this is just to test out the rule (yes, I put it on top) but no matter what I enforce I cannot ping or access any internal devices from DMZ]   



Am I missing anything?

Additional questions:

1.Does the webserver protection interferes with DMZ setup? 
2. Should the DMZ network be included in the local networks for IPS?
3. Can I include the DMZ network under allowed netoworks under DNS global settings?

Thanks,


This thread was automatically locked due to age.
  • 0
    2. Setup a FW rule that says DMZ network -any - external(address) - allow

    Change "External (Address)" to "Internet" and you'll be fine.

    Additional questions:
    1. Please ask this question in a more-complete fashion in a separate thread in the appropriate forum.
    2. Yes.
    3. Probably.  See #1. [:)]

    Cheers - Bob
  • 0
    Thanks Bob for the quick reply.  I did change the FW rule to DMZ network -any -Internet IPV4 -allow.   Still no go.  I cannot get out to internet from that device in the DMZ. 

    At the same time from internal LAN network I can get out with no problem based on these:

    1. Masquerading NAT rule that says Internal Network - External
    2. FW rule that says: Internal Network - any - Internet IPV4 - allow

    Not sure why is not working for DMZ..

    Anything else I can try?

    Thanks,
  • 0
    I added the DMZ network to allowed networks in the DNS global setting and after this now I can get out with no problem.  I tested it and removed the entry from DNS and I'm back at the same status unable to get out from DMZ. 

    Thanks,
  • 0
    If you configure the UTM as your DNS-server then yes, you'll need to allow DNS for this subnet, otherwise DNS is simply rejected.
  • 0
    Yes, you guessed it right,  I am using UTM as a DNS server.  Everything is working as it should now.  

    Thanks to all of you.