Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Firewall gesucht die als transparenter Paketfilter, VLAN-Makierer und Bandbreitenmanagement fungiert

Frage Netzwerke Router & Routing

Mitglied: StefanKittel

StefanKittel (Level 4) - Jetzt verbinden

21.02.2013 um 22:19 Uhr, 2644 Aufrufe, 11 Kommentare

Hallo,

ich suche für ein "Problem" eine Lösung.

Ein Kunde von uns vermietet Büroräumen und vermietet auch seinen Internet-Anschluss unter.
Es ist ein SDSL-Anschluss mit 20MBit und vielen festen IP-Adressen (v4).

Die "normalen" Kunden gekommen auf seiner Firewall (Gateprotect) ein Subnetz mit eigenem Adressbereich und DHCP.
Einige benötige eine feste ausgehende IP und bestimmte Regeln zur Firewall: Auch kein Problem.

Einige wollen aber direkte die externe IP, da deren Router nicht störungsfrei funktionieren.

Ich suche also eine Möglichkeite (Firewall, oder Linux-Kiste mit Firewall) welches wie folgt funktionieren.

Das Geräte hat 2 Netzwerkkarte (LAN und WAN).
An WAN ist der Router des Providers angeschlossen. An LAN ein Switch mit VLAN Fähigkeiten.

Eingehende Datenpackete an feste IP x werden ohne routen direkt auf der LAN-Seite ausgegeben und das VLAN Tag x hinzugefügt.
Dabei wird der Port anhand einer Liste von freigeben Ports überprüft und das Paket ggf gelöscht.

Ausgehende Datenpakete werden auf der LAN-Seite angenommen und auf der WAN-Seite ausgebene.
Dabei wird geprüft ob VLAN-ID und feste IP zusammenpast und dass der Zielport erlaubt ist.

Zusätzlich wird die maximale Bandbreite festgelegt.

Also quasi ein transparenter Paketfilter.


Natürlich könnte ich den Kundenrouter direkt anschliessen.
Dann kann ich aber nicht verhindern, dass er zeitweise für illegale Zwecke eine andere feste IP konfiguriert (weiterzählen ist ja nicht so schwer). Auch darf der Kunden über diese IP nur VPN nutzen. Kein surfen ist erlaubt. und ein Bandbreitenmanagement ist auch nicht möglich.


Jemand eine Idee?

Danke

Stefan
Mitglied: orcape
22.02.2013 um 09:03 Uhr
Hi Stefan,
hast Du Dir mal die pfSense genauer angeschaut.
Das Teil auf einem PC laufen lassen, jederzeit erweiterbar.
Ist natürlich mit einem ganz schönen Aufwand verbunden, das dann nach Deinen Gesichtspunkten zurecht zu biegen, sollte aber machbar sein.
Gruß orcape
Bitte warten ..
Mitglied: aqui
22.02.2013, aktualisiert um 09:28 Uhr
Das Konzept hört sich etwas nach Frickelei an und sollte man auch nicht so machen.
Wenn er ein Kontingent an festen öffentlichen IPs hat fasst man die in ein Subnetz zusammen und hängt das an einen freine Port des Routers oder Firewall.
In diesem Subnetz hängt man die Kundenrouter oder FWs ein für die die eine feste IP benötigen. Deren lokales LAN verteilt man dann mit einem VLAN Switch.
Kunden die keine feste IP brauchen kann man über ein normales Office Netz und NAT abfackeln.
So würde man das pragmatisch lösen ohne komplizierte Konfiguration und einfach zu handeln für den Bürodienstleister.
Ansonsten kann die FW von oben das was du willst:
http://www.administrator.de/wissen/preiswerte-vpn-f%c3%a4hige-firewall- ...
aber auch jegliche andere Firewall am Markt.
Bitte warten ..
Mitglied: Lochkartenstanzer
22.02.2013, aktualisiert um 09:30 Uhr
Moin,

wenn man "Handarbeit" mag würde ich einfach eine standad-linux-Installation nehmen (debian oder ubuntu-lts server).

Da kann man das bridging zwischen den Netzwerken einschalten und auch VLANs konfigurieren.

Durch Iptables kann man dann den Datenverkehr sehr granular regeln.

Howtos für die einzelnen punkte gibt es genügend im Netz. Sollte nicht schwer sein, ist aber bei guter Planung auch nicht wartungsintensiver als Kauflösungen. Nur beim Aufsetzen kostet es etwas mehr (Zeit-)Aufwand.

lks
Bitte warten ..
Mitglied: sk
22.02.2013, aktualisiert um 09:59 Uhr
sofern der Paketfilter nicht stateful arbeiten muss und die Bandbreiten fest zugewiesen werden, sollten sich diese Anforderungen auch von vielen Switches erfüllen lassen. Ich denke da z.B. an die 3000er und 4000er von ZyXEL. Möglicherweise wären auch die 2200er geeignet - müsste ich testen. Voraussetzung wäre natürlich, dass am Modem direkt Ethernet mit einem IP-Netz "herausfällt" - keine ppp(oE)-Einwahl. Aber das ist bei SDSL idR gegeben.
Bitte warten ..
Mitglied: Lochkartenstanzer
22.02.2013 um 09:58 Uhr
Moin,

Stimmt. So wie der TO geschildert hat, ist das sogar noch einfacher. Aber warum einfach, wenns auch kompliziert geht.

lks
Bitte warten ..
Mitglied: dog
22.02.2013, aktualisiert um 10:51 Uhr
Ich verstehe nicht, wo das Problem ist:

01.
            1.2.3.0/24                            1.2.3.18 
02.
Internet ----- Gateprotect ------[1.2.3.16/30]------ Kunden-Router ----[192.168.1.0/24]---- Kunden-LAN 
03.
                     1.2.3.17      vlan30                   192.168.1.1
Den Filter "Incoming von vlan30 nur IP 1.2.3.18 zulassen" kann auch jede Firewall...
Bitte warten ..
Mitglied: Lochkartenstanzer
22.02.2013, aktualisiert um 11:14 Uhr
Zitat von dog:
Ich verstehe nicht, wo das Problem ist:

01.
>             1.2.3.0/24                            1.2.3.18 
02.
> Internet ----- Gateprotect ------[1.2.3.16/30]------ Kunden-Router ----[192.168.1.0/24]---- Kunden-LAN 
03.
>                      1.2.3.17      vlan30                   192.168.1.1 
04.
> 
Den Filter "Incoming von vlan30 nur IP 1.2.3.18 zulassen" kann auch jede Firewall...

Er will kein Routing sondern eine Bridge. Und offensichtlich kann seine FW keine Bridge spielen zumidenst habe ich das so verstanden. kann natürlich sein, daß die gateprotect das schon kann und er nur nciht den richtigen Knopf nicht gefunden hat. Dazu kenne ich die Gateprotec zu wenig.

lks
Bitte warten ..
Mitglied: sk
22.02.2013, aktualisiert um 11:17 Uhr
Zitat von dog:
Ich verstehe nicht, wo das Problem ist:
...
Den Filter "Incoming von vlan30 nur IP 1.2.3.18 zulassen" kann auch jede Firewall...

Ich kenne die Gateprotect leider nur vom Namen. Bei vielen Firewalls ergibt sich jedoch folgende Problematik: Er muss ja sein outside-Netz mit den VLANs der Kunden bridgen. In diesem Fall ist es eben häufig so, dass er dann nur noch das neue Bridge-Interface als Filterkriterium zur Verfügung hat - nicht aber die einzelnen VLANs/Bridgeports. Er will aber verhindern, dass sich Kunden eine andere IP des öff. Netzes nehmen. Möglicherweise kann er diese Policy auf dem vorhandenen Switch durchsetzen (nennt sich meist IP-Source-Guard).
Bitte warten ..
Mitglied: dog
22.02.2013, aktualisiert um 11:20 Uhr
Eigentlich will er eine Lösung für das Problem:

Einige wollen aber direkte die externe IP, da deren Router nicht störungsfrei funktionieren.
[...]
Natürlich könnte ich den Kundenrouter direkt anschliessen.
Dann kann ich aber nicht verhindern, dass er zeitweise für illegale Zwecke eine andere feste IP konfiguriert (weiterzählen ist ja nicht so schwer). Auch darf der Kunden über diese IP nur VPN nutzen. Kein surfen ist erlaubt. und ein Bandbreitenmanagement ist auch nicht möglich.

Und da ist nunmal Routing das Mittel der Wahl.






Er muss ja sein outside-Netz mit den VLANs der Kunden bridgen

So wie ich das verstanden habe hat er eher für jeden Kunden ein VLAN und die Gateprotect spielt Multi-Tenant NAT-Router (so ein Setup habe ich mit einem MT auch, wo sich mehrere "Kunden" einen Internetanschluss teilen), jetzt wollen aber ein paar Kunden selbst das NAT übernehmen.
Bitte warten ..
Mitglied: sk
22.02.2013, aktualisiert um 11:53 Uhr
Zitat von dog:
So wie ich das verstanden habe hat er eher für jeden Kunden ein VLAN und die Gateprotect spielt Multi-Tenant NAT-Router (so
ein Setup habe ich mit einem MT auch, wo sich mehrere "Kunden" einen Internetanschluss teilen), jetzt wollen aber ein
paar Kunden selbst das NAT übernehmen.

Ja so verstehe ich das auch. Und er will sicherstellen, dass diejenigen, denen er eine öff. IP-Adresse zuweist, nur diese verwenden können.
Blankes Routing ist m.E. jedoch nicht die Lösung, da er scheinbar kein separat geroutetes öff. IP-Netz hat (sprich - da ist kein Transfernetz zwischen seiner Firewall und dem Provider, sondern das Netz liegt outside an). M.E. muss er dann inside bzw. Kunden-VLANs und outside bridgen oder wie würdest Du das mit Mikrotik lösen?
Zum Kunden hin könnte man ja mit point-to-point-Adressierung (/32) arbeiten. Insbesondere ein PPPoE-Server würde sich zum Kunden hin anbieten.

Gruß
sk
Bitte warten ..
Mitglied: dog
22.02.2013 um 13:05 Uhr
(sprich - da ist kein Transfernetz zwischen seiner Firewall und dem Provider, sondern das Netz liegt outside an)

Das ist unüblich, aber ja, der Fall wäre problematisch.

Da müsste man wahrscheinlich tatsächlich eine Bridge machen. Bei Mikrotik hat man dann ja immernoch die Bridge Firewall oder kann die IP Firewall für den Bridged Traffic aktivieren.

PPPoE bietet sich an, um IPs von Transfernetzen zu sparen (wobei zumindest MT untereinander kein Problem damit hat, auch auf normalem Ethernet /32 zu benutzen), setzt aber auch erstmal voraus, dass die IPs auf die Firewall geroutet sind.
Bitte warten ..
Ähnliche Inhalte
LAN, WAN, Wireless
Transparente Firewall mit VLANs
Frage von whitbreadLAN, WAN, Wireless2 Kommentare

Ich versuche Folgendes an sich ja einfache Szenario umzusetzen, scheitere jedoch kläglich: Ich möchte meinen Webserver, meine WLAN-Clients und ...

Router & Routing
PfSense als transparente Firewall
gelöst Frage von SickOneRouter & Routing11 Kommentare

Hallo zusammen, ich habe mir vor ein paar Tagen eine PfSense zugelegt. Diese habe ich hinter meinen jetzigen Router ...

LAN, WAN, Wireless
VLAN zwischen Routern und Firewall
gelöst Frage von Seoxx1LAN, WAN, Wireless9 Kommentare

Hallo, wir haben von unserem ISP einen Hauptrouter und einen Backuprouter. Dazu noch zwei /29er Netzte. Als Beispiel: Netzadresse: ...

LAN, WAN, Wireless
VLAN Routing - L3 oder Firewall?
gelöst Frage von patayaLAN, WAN, Wireless17 Kommentare

Moin, nach ner Menge Lesestoff zum Thema bin ich nicht wirklich fündig zu meinem Vorhaben gekommen: Mein Netzwerk soll ...

Neue Wissensbeiträge
DSL, VDSL

ALL-BM200VDSL2V - Neues VDSL-Modem mit Vectoring von Allnet

Information von Lochkartenstanzer vor 2 StundenDSL, VDSL1 Kommentar

Moin, Falls jemand eine Alternative zu dem draytek sucht: Gruß lks

Windows 10

Microsoft bestätigt DMA-Policy-Problem in Win10 v1709

Information von DerWoWusste vor 3 StundenWindows 10

Wer sein Gerät mit der DMA-Policy absichert, bekommt evtl. Hardwareprobleme in v1709 von Win10. Warum? Weil v1709 endlich "richtig" ...

Verschlüsselung & Zertifikate

Die Hölle friert ein weiteres Stück zu: Microsoft integriert OpenSSH in Windows

Information von ticuta1 vor 6 StundenVerschlüsselung & Zertifikate

Interessant Die Hölle friert ein weiteres Stück zu: Microsoft integriert OpenSSH in Windows SSH-Kommando in CMD.exe und PowerShell

Apple

IOS 11.2.1 stopft HomeKit-Remote-Lücke

Tipp von BassFishFox vor 1 TagApple

Das Update für iPhone, iPad und Apple TV soll die Fernsteuerung von Smart-Home-Geräten wieder in vollem Umfang ermöglichen. Apple ...

Heiß diskutierte Inhalte
Windows Server
RODC kann nicht aus Domäne entfernt werden
Frage von NilsvLehnWindows Server19 Kommentare

HAllo, ich arbeite in einem Universitätsnetzwerk mit 3 Standorten. Die Standorte haben alle ein ESXi Cluster und auf diesen ...

Hardware
Kein Bild mit nur einer bestimmten Grafikkarten - Mainboard Konfiguration
gelöst Frage von bestelittHardware18 Kommentare

Hallo zusammen, ich hatte schon einmal eine ähnliche Frage gestellt. Damals hatte ich genau das gleiche Problem. Allerdings lies ...

Netzwerkmanagement
Mehrere Netzwerkadapter in einem PC zu einem Switch zusammenfügen
Frage von prodriveNetzwerkmanagement17 Kommentare

Hallo zusammen Vorweg, ich konnte schon einige IT-Probleme mit Hilfe dieses Forums lösen. Wirklich klasse hier! Doch für das ...

Hardware
Links klick bei Maus funktioniert nicht
gelöst Frage von Pablu23Hardware16 Kommentare

Hallo erstmal. Ich habe ein Problem mit meiner relativ alten maus jedoch denke ich nicht das es an der ...