Intergration einer Firewall

[Woodz]

Hi,


ich bin außerplanmäßig an eine Zyxel usg 20 Firewall ran gekommen und möchte Diese nun zwischen DSL Kabelmodem und dem Router Dlink DIR-855 packen.
Nun frage ich mich allerdings wie ich genau vorzugehen habe.
> In den WAN Port der Zyxel steck ich das Netwzerkkabel des DSL Modems:
--> Ok, dass hat funktioniert und eine Internetverbindung konnte die Frewall auch aufbauen.
(Firewall ist standardmäßig erst einmal auf "allow all" eingestellt)

> Ich gehe dann vom LAN P1 Port (192.168.1.1.) der Zyxel zu meinem Router.
--> Hier ergeben sich jetzt 2 Möglichkeiten
(1) Ich betreibe den Router (DIR-855) als Switch und stecke das LAN Kabel des Zyxel in den LAN Port des Router (192.168.1.2)
Modem --> Firewall(Standardgateway, DNS-Server) --> Router (nur als Switch konfiguriert)--> Clients

(2) Ich betreibe den Router weiterhin als zentralen Router, sowie DNS Server, etc.: Wo habe ich dann das Kabel der
Zyxel in den Router rein zu stecken? In den WAN Port?
(Geht das überhaupt, oder ist nur Möglichkeit (1) zu empfehlen?)
Modem --> Firewall --> Router (als Router konfiguriert Standardgateway für Clients, DNS-Server) --> Clients

Wie habe ich bei (2) den Router zu konfigurieren? Ich bekomme einfach keine Internetverbindung zwischen Router und
Zyxel Firewall hin. Muss ich für den Router dann die Zyxel als Standardgateway angeben? Und für die Clients, den Router als Standardgateway?

Die Clients sind alle per static IP angebunden.

Vielleicht hat jemand verstanden was ich vor habe und hat ein paar Hinweise und hilfreiche Tipps für mich, bzw. einen Vorschlag wie man das Ganze besser realisieren kann. Den Router würde ich gern auch weiterhin benutzen wollen.

Gruß

 

[Timmey2291]

Hallo Woodz,

bei herkömmlichen consumer-DSL Verträgen hat man eine öffentliche IP, daher brauchst du einen Router für zwei Netze der dann das NAT bzw. Masquerading übernimmt. Daher ist die erste Methode imo nicht möglich, es sei denn dir stehen mehrere feste IPs von deinem Provider zu Verfügung.

Bei deiner zweiten Methode muss die Firewall als Standardgateway angegeben werden. Für die Clients gilt der Router als Standardgateway. Zwischen der Firewall und dem Router muss ein anderes Subnetz angegeben sein als zwischen Router und Clients, damit der Router NAT richtig ausführt.

Das sähe dann so aus:
Modem -> Firewall (WAN) ---- Firewall (LAN, Subnetz 192.168.99.0 /24) -> Router (WAN, Subnetz 192.168.99.0 /24) --- Router (LAN, Subnetz 192.168.1.0) -> Clients (lass den Router einfach DHCP machen).

 

[Private]

Verzichte auf den D-Link.
Deine Firewall wird auch Routerfunktionen haben, haben die meisten UTMs die ich kenne.

Private

 

[Timmey2291]

Verzichte auf den D-Link.
Deine Firewall wird auch Routerfunktionen haben, haben die meisten UTMs die ich kenne.

Private

Wenn dem so seien sollte, dann ist das auf jeden fall die einfachste Lösung.
Den D-Link kann man ja immer noch Access Point verwenden.

 

[Woodz]

Ok, ich werden die Vorschläge mal probieren umzusetzen, melde mich aber bestimmt nochmal, da mit Sicherheit so einige Fragen aufkommen werden.

Vielen Dank erst einmal bis hierhin.

Gruß

 

[Woodz]

Also ich habe folgendes gemacht:
Zyxel Firewall:
WAN: DHCP
Subnetz: 255.255.255.254

LAN: 192.168.1.1
Subnetz: 255.255.255.0
----------------------------------------------
Dlink 855 (WAN)
> static IP
IP-Adresse: 192.168.1.1
WAN-Subnetz: 255.255.255.0
Standardgateway: 192.168.1.1
DNS-Server: 192.168.1.1
----------------------------------------------
Dlink 855 (LAN)
statische IP`s
IP des Routers: 192.168.1.2
LAN-Subnetz: 255.255.255.0

Das Problem ist, dass ich nicht wirklich weiß, wie ich den Konflikt zwischen den gleichen Subnetzmasken des Routers im WAN und LAN beheben kann. Muss ich im LAN dann eine andere IP-range benutzen?Welche?
Hab versucht mich ein wenig mit dem Thema Subnetzmaske zu beschäfftigen, aber das ist alles ein wenig knifflig.

Die Option "static IP" im WAN des Routers ist doch richtig, oder? Sonst gäbe es nur noch DHCP, aber dass kann es auch nicht sein.

Der Plan ist immer noch:
Modem --> Zyxel Firewall --> Router --> Clients

Gruß

 

[Private]

Der Plan ist immer noch:
Modem --> Zyxel Firewall --> Router --> Clients

Gruß

Warum den?

Nach der FW eine NAT ist sinnbefreit in meinen Augen.


Private

 

[Woodz]

Ok, habe es hinbekommen.
Habe 2 Subnetze erstellt, die der Router miteinander verbindet.

Warum den?

Nach der FW eine NAT ist sinnbefreit in meinen Augen.


Private

Ja mag sein, aber für mich ist das hier auch eine Art experimentellen Bastelns.
Immerhin habe ich durch diese Aktion jetzt auch die Funktion eines Routers und die Umsetzung eines solchen Problems gelernt, inkl.
erstellen/berechnen von Subnetzen, etc. .

Mir ist schon klar, dass aufgrund des NAT des Routers, ehh nicht nachvollziehbar ist wer sich überhaupt im LAN noch aufhällt. D.h, selbst
für die Firewall ist eine genaue Lokalisierung/Identifizierung hinter dem Router nicht möglich, oder?


Meinst du das die Konfig.: Modem --> Router --> Firewall --> Clients sinnvoller wäre?
Ich will auch den "outgoing traffic" unter Kontrolle haben.