NAT router op gelijk subnet of toch Transparent?

[Fairy]

Ik ben op dit moment bezig met de voorbereiding op aansluiting op "KPN One" dit lijkt een beetje op Epacity. Je krijgt op het kantoor een router, op elke locatie stel je die simpel gezegd in als default gateway en dan heb je verbinding met elkaar.

Echter, vanuit onze hoofdlocatie willen we de verbinding gaan beveiligen. Die locatie is eigenlijk ook het hoofdpunt. Er kan onderling niet gecommuniceerd worden, enkel vanuit een locatie naar de hoofdlocatie en terug.

Nu heb ik een Fortigate 200a router aangeschaft met FortiAnalyzer.

Deze router kan zowel in NAT als in Transparant werken. Transparant zou ik het wel werkende krijgen, maar in de gewone modus weet ik niet hoe ik het voor elkaar ga krijgen. Transparant wil ik niet gebruiken aangezien je e.e.a. aan fucties gaat missen, en omdat we tevens de 2e WAN poort willen gebruiken om internet verkeer te firewallen.

Nu heb ik even een voorbeeldje 2 locatie

Hoofdkantoor: 192.168.0.x 255.255.255.0
Router hoofdkantoor: 192.168.0.254

Kantoor 2: 192.168.5.x
Router kantoor 2: 192.168.5.254

Deze routers kunnen dus zonder problemen gegevens met elkaar uitwisselen, maar zoals je ziet zit de router op het hoofdkantoor al in hetzelfde subnet als het gewone netwerk. Kan ik hier uberhaupt een NAT router tussen plaatsen als het subnet gelijk is? Ik dacht het toch niet?

Ik zat zelf te denken of ik dan de router op 192.168.1.254 moet laten afleveren, maar volgens mij kom ik dan met de routering te zitten, want dan weet het KPN One netwerk niet dat er ook nog een 192.168.0.x netwerk is.

De andere mogelijkheid is om transparant te draaien, maar kan kom ik te zitten met de internetfaciliteiten van de router.

Wie heeft hier ervaring mee?

[ChaserBoZ_]

Als je 'm niet transparant gebruikt krijg je de situatie router-achter-router

Je krijgt dan dus tussen de router voor het VPN en de fortigate een apart netwerkje (/30 is voldoende), waarover je je LAN reeks en de VPN reeksen routeert.

De LAN interface van de fortigate wordt dan de default gateway voor al je apparatuur op de hoofdlocatie. Op de WAN interface van de fortigate zet je een 0/0 richting de router voor het VPN.

Enige wat je dan nog aangepast dient te krijgen is dat de beherende partij (niet jij zelf neem ik aan) op de router op de hoofdlocatie een en ander aan moet passen, omdat er nog een extra netwerkje bijkomt.


Edit; vorige week wat zitten spelen met een 200A, leuk apparaatje

[ Voor 5% gewijzigd door ChaserBoZ_ op 11-03-2008 12:54 ]

[Fairy]

Bedankt voor je input.

Ik ben wel redelijk thuis in netwerken maar als het op routering aankomt zo met routers achter elkaar dan wordt het toch even wat complex.

Er is hier pas een dedicated glasvezel door KPN gegraven voor ons. Daarvan hebben we nu 1 glasvezel internet verbinding (met een Cisco er achter, kun je 16 IP adressen mee adresseren (minus overhead)). En een KPN One koppeling van 20MBit ook met een eigen router (alleen die moeten ze nog plaatsen).

De Fortigate router 200a krijg ik binnenkort binnen, deze heb ik nog niet. (Heb nu een Fortigate 100A, en 2x 50A routers, maar die draaien in productie). Ik heb nog even tijd om te experimenteren, maar als ik het zelf niet werkende krijg dan moet ik het gaan uitbesteden, maar daar heb ik niet zo'n zin in, ik wil het namelijk ook zelf kunnen. Sowieso in beide gevallen wordt de configuratie door een externe partij gevalideerd en geevalueerd dus al zou ik configuratiefouten maken, dan is dit ondervangen.

Zelf zit ik te twijfel hoe te gaan werken.

Wat ik ook kan doen is het volgende:

Router in transparant modus:

Dan krijgt alleen elk device dat rechtstreeks op internet moet een eigen IP op internet. Dus de mailserver een eigen IP, de ISA server een eigen IP. Op zich is dat óók wel weer prettig. Na levering heb ik een dikke maand om er mee te gaan kloten, dus ik heb nog even de tijd. Vraag me alleen af of de antivirus, spamfilter etc etc lekker functioneert als ik transparant draai.

Dat gaat ook niet werken, want dan kom ik te zitten met dat ik elke server een extra netwerkkaart moet gaan geven.

[ Voor 9% gewijzigd door Fairy op 11-03-2008 13:23 ]

[TrailBlazer]

weet je zeker dat je geen communicatie tussen je sites onderling hebt. Het zou kunnen hoor he tis al weer een tijdje geleden dat ik iets met epacity deed bij KPN. Volgens mij heb ik nog de 1e klant op KPN One gezet en toen was de dienst gewoon Any2Any

[Fairy]

De dienst is zo in te richten zoals je dat zelf wilt. Het gaat hier om heel wat meer dan 4 kantoren.
Ik ben ondertussen zo ver dat ik de lijn op een aparte range wil laten binnenkomen en deze zelf ga routeren. Dit zal ik dus met de provider goed moeten afstemmen.

[ Voor 12% gewijzigd door Fairy op 11-03-2008 14:55 ]

[TrailBlazer]

Het kan ook technisch wel met MPLS door middel van vrf leaking alleen toen ik daar zat was dat nog geen bestaande feature.

[ChaserBoZ_]

De transparante functie heb ik nog niet hoeven testen
Die zou inderdaad goed passen in het VPN, dan blijft KPN de router beheren, en jij managed het verkeer er direct achter.

Maar goed, je hebt ook ergens NAT nodig lees ik

VPN op 1 WAN poort, Internet op de andere. Overal een zone voor aanmaken, en je kunt het onderlinge verkeer netjes regelen

Hoe bedoel je trouwens je servers uitrusten met een tweede netwerkkaart ? Op die 200A kun je een DMZ aanmaken waarop je publieke servers aangesloten kunnen worden. De Fortigate routeert dan netjes tussen de zones, met uiteraard de firewall policies.