Zum Inhalt springen
  • 0

Routing zwischen zwei Firewalls nur in eine Richtung möglich, Kerio / pfSense


DTCTVE

Frage

Hallo allerseits.

Ich schlage mich schon einige Tage und Wochen mit dem Thema Routing zwischen zwei unterschiedlichen Firewalls herum, da wir unsere "alte" Kerio Control Box loswerden möchten. Leider komme ich nicht wirklich weiter. Ich vermute, dass ich da etwas zwischen den beiden Firewalls nicht richtig anwende, daher wäre es super wenn ihr mal drüber schauen könnt.

Physikalisches Setup:
Mehrere HPE-Switches mit VLAN's und Trunking
Kerio Control Box (altes IP-Netz)
Netgate XG-7100 1U HA (neues 10er-Netz für LAN und kommendes VOIP getrennt)

Logisches Setup:
VLANs mit Trunking über die verschiedenen Switches - funktioniert auch alles, kein Problem.
1 - Default LAN (192.168.2.0/24)
5 - VOIP (10.22.0.0/24)
10 - LAN_NEU (10.20.0.0/8)

Ziel:
Softe Migration in ein 10er-Netz (LAN_NEU)
Bereitstellung eines VOIP VLAN, da wir demnächst umstellen müssen...
Die beiden Firewalls sollen im Optimalfall in beide Richtungen routen, sodass ich manuell Server für Server und die ganzen Clients in das VLAN umziehen kann.


Problemstellung: Derzeit habe ich zwar ein Setup, welches mir die problemlose Verbindung von "LAN_ALT" in "VOIP" ermöglicht, jedoch nicht in die andere Richtung. Ich habe die Vermutung dass es etwas mit der Kerio Control Box zutun hat, da die auch eher "eigenwillig" einzurichten ist, finde ich. Vielleicht kennt sich jemand ja mit beiden Produkten aus?

Ping von LAN_ALT nach Host in VOIP ist möglich
Ping von VOIP nach LAN_ALT ist nur bis zur Kerio Box möglich (192.168.2.1/24), nicht zu den Servern oder Clients.
 

Kerio:
Eigene IP: 192.168.2.1/24
Statische Route für 10.22.0.0/24 nach 192.168.2.4/24(CARP IP der pfSense)

pfSense:
Schnittstelle LAN_ALT mit jeweils IP 192.168.2.2/24(pfSense01) und 192.168.2.3/24(pfSense02)
Darüber dann CARP auf 192.168.2.4/24
Eine statische Route kann ich hier nicht mehr hinterlegen, da die mit dem Netzwerk auf dem Interface kollidiert.
Wäre das vielleicht die Lösung? Das Interface zu löschen und die statische Route anzulegen?
Bei der Kerio war das ja auch nicht notwendig, dort kann man auch fröhlich Netzwerk-Loops erzeugen.

 

Hier noch Screenshots der Konfiguration:
Kerio Schnittstellen: (sind deaktiviert, da es mit diesen nicht geklappt hat)
1046252224_Anmerkung2019-08-20162102.thumb.jpg.ab6c78b9685964a44769f52d8ff9f1aa.jpg

Kerio Regel:
1911005132_Anmerkung2019-08-20162227.thumb.jpg.eb25792d3b3677cee9de8bb99b779faf.jpg

Kerio Routen:
1583189443_Anmerkung2019-08-20162521.jpg.20be7a14ca196141e8cf8dd9e16bb0fa.jpg

 

pfSense:
LAN_ALT auf VLAN 4091 (lagg0)
Kein Gateway, nur Interface.

Regeln: (Nicht wundern, das ist so offen bis ich das Problem eingrenzen/lösen kann)
341630488_Anmerkung2019-08-20163138.thumb.jpg.7796e814cb66478225a74eb07df01336.jpg

971185919_Anmerkung2019-08-20163217.thumb.jpg.501331105a26ff7a793802bf51719e25.jpg

^ LAN net bei der DNS Regel ist in diesem Falle LANALT net, der Fehler ist mir gerade aufgefallen, tut aber nichts zur sache ?

 

Jemand ideen?

 

Bearbeitet von dani4k
Link zu diesem Kommentar
Auf anderen Seiten teilen

9 Antworten auf diese Frage

Empfohlene Beiträge

  • 1
Gast Dr. Komtur

Ganz einfach die Kerio hat gelernt ah an Port 1 liegt mein Next Hop Router (mein Default Gateway wo ich Pakete zustelle für Subnetze die ich selbst nicht kenne). So jetzt erwartet Kerio auch wenn Pakete zurück kommen müssen die Ja von dem Interface kommen welches angeschlossen ist. Ohne NAT sendet das "Virtuelle" Gateway Interface deines VLANs zb. 10.22.0.4 diese ist dann die Source Adresse - wenn die dann nicht auf das outside interface translated wird, sagt Kerio "hmm die source kenne ich nicht" und dropped das Paket.

Link zu diesem Kommentar
Auf anderen Seiten teilen

  • 0

Hallo,

Zitat

Ping von LAN_ALT nach Host in VOIP ist möglich
Ping von VOIP nach LAN_ALT ist nur bis zur Kerio Box möglich (192.168.2.1/24), nicht zu den Servern oder Clients.

Handelt es sich um Windows Clients / Server? Wenn ja, wurde an die ICMP Regel gedacht? Weil standardgemäß wird bei Windows ICMP aus anderen Subnetzen geblockt.

Viele Grüße

Bearbeitet von Exception
Link zu diesem Kommentar
Auf anderen Seiten teilen

  • 0
vor 15 Stunden schrieb Exception:

Handelt es sich um Windows Clients / Server? Wenn ja, wurde an die ICMP Regel gedacht? Weil standardgemäß wird bei Windows ICMP aus anderen Subnetzen geblockt.

Ich teste mit zwei Debian maschinen, die in den jeweiligen VLAN's sitzen.

 

vor 13 Stunden schrieb Eta_Carinae:

Mach mal das NAT auf der pfSense aus. 

Dort sind nur manuelle NAT-Regeln angelegt für die WAN-Verbindungen, siehe hier:

5206381_Anmerkung2019-08-21083326.thumb.jpg.e7211db00fa56f3705c2590b10bd40e6.jpg

Link zu diesem Kommentar
Auf anderen Seiten teilen

  • 0

Nach einigem hin und her habe ich das Setup genau wie oben beschrieben wieder aktiv, allerdings kann ich jetzt nur noch bis zur Firewall vordringen (jeweils beidseitig). States wurden gelöscht.

 

Konkret frage ich mich folgendes noch:
Muss die Kerio Control Box ein Interface im jeweiligen Subnetz(+VLAN) haben?

Muss die pfSense ein Interface im "ALTEN" Subnetz haben?
 

Oder stellt man das besser mit statischen Routen auf die beine?

Link zu diesem Kommentar
Auf anderen Seiten teilen

  • 0
vor 23 Stunden schrieb Exception:

Hallo,

Handelt es sich um Windows Clients / Server? Wenn ja, wurde an die ICMP Regel gedacht? Weil standardgemäß wird bei Windows ICMP aus anderen Subnetzen geblockt.

Viele Grüße

Gerade ein kleines Erfolgserlebnis: Es klappt jetzt doch irgendwie. Nur der Windows-Server antwortet noch nicht. Ich prüfe das morgen nochmal, aber sieht ganz danach aus.

 

Stand:
Kerio OHNE Interfaces in den jeweiligen "Fremdnetzen", sondern nur eine statische Route über Default VLAN.
pfSense MIT Interface im LAN_ALT, ohne GW, ohne NAT Regel, nur Freigabe über Firewallregeln.

 

Ist gerade nicht nachvollziehbar, warum es vorher nicht geklappt hat...

Link zu diesem Kommentar
Auf anderen Seiten teilen

  • 0

Hi 

 

Ich gehe mal davon aus du hast die Kerio Port1 an die Pfsense angeschlossen: 

Kerio 192.168.2.1 -> pfsense HA Interface 192.168.2.4 VLAN 4091 lagg0 

- Deine VLAN's auf der Kerio brauchst du nicht. Weil du ja keine Endgeräte in den Netzen mit der Kerio hast oder ist am Port4 ein weiterer Switch angeschlossen der dann in deine neue Welt geht?

Dann ist der Traffic von Client zur Kerio zur Pfsense untagged - Vlan 4091 ist auch default untagged somit brauchst du in diese Richtung schon mal kein NAT machen sind ja bereits im gleichen Netz. wenn dann die Pakete zum Endclient Vlan5 oder 10 gehen Taggt pfsense für dich die Pakete weil er ja auch die netze inne hält. 

Wenn du nun von Endclient die VLAN 5 oder 10 getaggten Pakete zum alten LAN schicken willst welches untagged ist musst du NAT von Pfsense nach Kerio machen. Sonst werden die abgewiesen. Daher wird es sehr wahrscheinlich Rein ins Voip gehen Raus zum Alt netz nicht. 

 

MFG 

Dr.Komtur 

 

 

 

Link zu diesem Kommentar
Auf anderen Seiten teilen

  • 0
vor 1 Stunde schrieb Gast Dr.Komtur:

Wenn du nun von Endclient die VLAN 5 oder 10 getaggten Pakete zum alten LAN schicken willst welches untagged ist musst du NAT von Pfsense nach Kerio machen. Sonst werden die abgewiesen. Daher wird es sehr wahrscheinlich Rein ins Voip gehen Raus zum Alt netz nicht. 

Wozu NAT, wenn das Interface, für welche eine Standardroute durch die pfSense selbst erstellt wurde, bereits im LAN_ALT lebt und somit auch im VLAN 4091?

Aber... Prinzipiell macht das ja sinn, ich musste eine Externe NAT-Regel für die Ausgangs-IP anlegen. So klappt es jetzt.

Bearbeitet von dani4k
Link zu diesem Kommentar
Auf anderen Seiten teilen

Dein Kommentar

Du kannst jetzt schreiben und Dich später registrieren. Wenn Du ein Konto hast, melde Dich jetzt an, um unter Deinem Benutzernamen zu schreiben.

Gast
Diese Frage beantworten...

×   Du hast formatierten Text eingefügt.   Formatierung wiederherstellen

  Nur 75 Emojis sind erlaubt.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

Fachinformatiker.de, 2024 by SE Internet Services

fidelogo_small.png

Schicke uns eine Nachricht!

Fachinformatiker.de ist die größte IT-Community
rund um Ausbildung, Job, Weiterbildung für IT-Fachkräfte.

Fachinformatiker.de App

Download on the App Store
Get it on Google Play

Kontakt

Hier werben?
Oder sende eine E-Mail an

Social media u. feeds

Jobboard für Fachinformatiker und IT-Fachkräfte

×
×
  • Neu erstellen...