Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 1 reply
  • Subscribers 1 subscriber
  • Views 959 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Separation of traffic on two diffrent ADSL connections

Ruprect
I have a working setup between our two offices.

Location 1.
Internal IP range 10.120.0.0/24

ETH0: 10.120.0.221 - Connected to the Office Switch, that also connects to the Workstations and IP Phones.
ETH1: 8x.x.x.x - Connected directly to a Fiber Media Converter, which is connected directly to a fiber channel.

Location 2.
Internal IP range 10.130.0.0/24
ETH0: 10.130.0.221 - Connected to the Office Switch, that also connects to the Workstations and IP Phones.
ETH1: 7x.x.x.x - Connected directly to an ADSL connection

Both locations are connected to each other using a IPSec tunnel, and all computers on both networks are able to access each other (as needed). Eg. the VOIP server and Exchange Server is at Location 1, and everything is dandy.

The only problem with this, is that the quality of connections at Location 2 are horrendous. We have therefore gotten an additional ADSL2+ connection, this comes with its own router.

I have configured the following for Location 2:

ETH2: 10.140.0.221 - Connected to the ADSL2+ router, which has an additional interface IP 10.140.0.224.

Here is what we would like to do with this setup:
[LIST=1]
  • Separate VOIP traffic on ETH1, this is the slowest connection - But fast enough for phones. I would accomplish this by giving the Workstations a new IP on the 10.140.0.x network, and use 10.140.0.221 as default gateway.
    And then establish a new IPSec Tunnel from ETH2 to Location 1, and have this run as mail and filesharing within the company - An also as the surfing connection.

    Phones would then run on the existing 10.130.0.x network and IPSec connection.
  • Bundle ETH1+2 - And have traffic run on the slow connection (ETH1) and Internet and mail traffic go through the faster ADSL2+ on ETH2.
  • ?? Do you have a better suggestion.
[/LIST]

Here are some of the issues I have:
[LIST=1]
  • Admin interface on Sophos can ping 10.140.0.221, and 10.140.0.224
  • A client on 10.130.0.x network can ping 10.140.0.221, but not 10.140.0.224
[/LIST]


This thread was automatically locked due to age.
Parents
  • 0
    Hi, Ruprect, and welcome to the User BB!

    I'm moving this to the VPN forum.

    In Location 2, I think what you want is to bridge the new router, and then activate Uplink Balancing so that the new WAN connection can be assigned a default gateway.  Then, on the 'Interfaces' tab, define a "VoIP Group" with the slower connection in the first position and the faster one below it.  Similarly, make a "Data Group" with the faster connection on top.

    Use "Data Group" as the 'Local interface' for the existing IPsec Connection and "VoIP Group" in the new voice VPN.  In Location 1, replace the Host definition in 'Gateway' in the existing Remote Gateway with an Availability Group "Location 2 Data" containing, in order, the public IP of the fast connection followed by the one of the slower.  Similarly, use a Group "Location 2 VoIP" for the other tunnel.

    In this way, you will have the separation you desire and automatic failover if either WAN connection goes down.  You might want to make some QoS rules, but that's beyond the scope of this question.

    Cheers - Bob
    PS Outbound pinging is regulated on the 'ICMP' tab.  Pinging between interface subnets is regulated with firewall rules; "Ping" is not included in the "Any" Services object.
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Reply
  • 0
    Hi, Ruprect, and welcome to the User BB!

    I'm moving this to the VPN forum.

    In Location 2, I think what you want is to bridge the new router, and then activate Uplink Balancing so that the new WAN connection can be assigned a default gateway.  Then, on the 'Interfaces' tab, define a "VoIP Group" with the slower connection in the first position and the faster one below it.  Similarly, make a "Data Group" with the faster connection on top.

    Use "Data Group" as the 'Local interface' for the existing IPsec Connection and "VoIP Group" in the new voice VPN.  In Location 1, replace the Host definition in 'Gateway' in the existing Remote Gateway with an Availability Group "Location 2 Data" containing, in order, the public IP of the fast connection followed by the one of the slower.  Similarly, use a Group "Location 2 VoIP" for the other tunnel.

    In this way, you will have the separation you desire and automatic failover if either WAN connection goes down.  You might want to make some QoS rules, but that's beyond the scope of this question.

    Cheers - Bob
    PS Outbound pinging is regulated on the 'ICMP' tab.  Pinging between interface subnets is regulated with firewall rules; "Ping" is not included in the "Any" Services object.
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Children
No Data
Unfiltered HTML