[Routing/NAT] Geen Inet achter 2de FW

[Verwijderd]

Gezien de nieuwe netwerk uitbreiding en het subnetten van ons netwerk met 1 dmz en 3 secure client networks lopen we tegen het volgende probleem.

in de DMZ zijn er geen problemen. maar de secured networks hebben wel probleemen met internet acces.
alle pc`s gebruiken de LA110 als DNS server. Ik heb deze setup met verschillende hardware en met 2 verschillende ISP`s geprobeert. In bijde gevallen krijg ik het zelfde resultaat. De secured clients kunnen wel DNS omzetten maar er is geen verkeer mogelijk van internet naar de secured pc`s. Ik doe dus ergens structureel iets fout.

Het lijkt er net op alsof de router van de ISP niet weet waar het netwerk in de 192 range is. Maar dit zou goed moeten zijn gezien de LA 110 daar de NAT voor doet en de static routes heeft om het verkeer te mappen.

voor diagnostiek heb ik bijde fw`s helemaal open gezet dus rules "from any, to any, with protocol any=pass "



Diagnostiek:

ping LA110 -> google.nl -> OK
ping LA110 -> FW1 - OK
ping LA110 -> FW2 - OK
ping LA110 -> server 1 - OK
ping LA110 -> secured client - OK
DNS lookup -> OK

ping server 1 -> google.nl -> OK
ping server 1 -> FW1 - OK
ping server 1 -> FW2 - OK
ping server 1 -> LA110 - OK
ping server 1 -> secured client - OK
DNS lookup -> OK

ping secured client -> google.nl -> timed out
ping secured client -> FW1 - OK
ping secured client -> FW2 - OK
ping secured client -> server 1 - OK
ping secured client -> LA110 - OK
DNS lookup -> OK - krijgt ip adress van url maar ping timed out

[LuckY]

En wat kijg je als je vanuit de firewalls gaat pingen ?
Heb je ook wel eens geprobeerd op ip's te pingen ipv domains

en hoe staan je statische routes ingesteld ?

[ Voor 17% gewijzigd door LuckY op 25-01-2009 13:29 ]

[SambalBij]

Het lijkt haast toch wel een nat issue... Routeren lijkt goed te gaan omdat je vanaf de secured client wel die la110 kunt pingen.
Die LA110 ken ik verder niet, maar controleer eens extra of die inderdaad wel ingesteld staat om adressen uit de 192.168 range ook te natten.

[Verwijderd]

LA110 is het zakelijke kastje dat je bij busnis dsl krijgt van kpn, infeit een grote probleem doos, maar helaas scheid die doos de voip en dsl verbinding en kan je hem zomaar niet vervangen door eigen betaalbare hardware.



ik zal nog eens door de handleiding spitten maar voor zo ver ik op het eerste gezicht kan zien kan je NAt niet echt instellen per ip range

[Verwijderd]

LuckyY schreef op zondag 25 januari 2009 @ 13:27:
En wat kijg je als je vanuit de firewalls gaat pingen ?
Heb je ook wel eens geprobeerd op ip's te pingen ipv domains

en hoe staan je statische routes ingesteld ?

zoals sambalbij ook al zegt intern gaat alles goed dus statische routes zijn OK.

[leuk_he]

Als je een tracert doet vanuit secure cleint, zie je dan waar de ping struikelt?

En als je dmz nu 172.16..*(ander rfc1918) adres geeft , komt hij er dan wel uit?

Als de ISP intern in zijn netwerk nu 192.168 adressen gebruikt kon ik het begrijpen (mag niet, maar isp's maken ook fouten)

Ik zou de 10.0.0.* ook eens veranderen in een 10.0.2 adres. Sommige devices doen wel eens vreem met een 0, ook al is het toegestaan.