Sonicwall 2 public ip's doorsturen over 1 lijn

[Verwijderd]

Ik zit met het volgende probleem.

Ik heb hier een sonicwall NSA240 staan welke onze vpn, firewall etc regelt.
We zijn aangesloten bij Ziggo zakelijkop de kabel, en hebben dus een IP blokje van 16 lopend van 213.125.153.64 naar 79 waarvan de .64 het vaste nw adres is, .65 de LAN kant van de ziggo router en .79 het broadcast adres.

Zelf zitten we nu via de .66 op internet.
Op de X1 interface staat het volgende ingesteld.
IP : 213.125.153.66
Subnet : 255.255.255.240
Gateway: 213.125.153.65

Nu komt het volgende,
helemaal aan de andere kant van het pand zitten 2 bedrijven die ook gebruik willen maken van onze verbinding.
Echter willen hun ook een eigen publiek IP adres gaan gebruiken.
Er hoeft echter geen firewalling oid op hun lijn te komen, gewoon rechtstreeks het internet op zonder security.

Nu wil ik bijvoorbeeld het .70 en .71 adres aan hun toewijzen.
Echter vanwege de afstand moeten ze beide over dezelfde UTP kabel aangesloten worden.

Moet ik dan enkel het WAN poort bridgen naar bv X8 ?
Als hun dan in hun firewall of router het .70 adres ingeven als eigen adres, en het .65 adres als gateway ?
Of moet ik beide adressen (.70 en .71) op de X8 poort configureren ?

Klopt het dat Ziggo zakelijk alle ip adressen uit ons blok stuurt naar de ziggo router hier, en dus altijd uitkomen bij ons ?

Alvast mijn dank voor je antwoord !

[Verwijderd]

Het IP 213.125.153.66 zal je nooit gebruikt zien. Dit IP wordt enkel door Ziggo gebruikt om te routeren. Voor Ziggo zit jouw range gewoon achter het IP 213.125.153.33. Alles voor jouw IP range wordt naar dit IP gestuurd. Om nu gebruik te maken van die twee extra IP's moet je daar gewoon een pc/firewall/... met de gewenste IP's achter koppelen ( aan de router ). Normaal gezien moet je daar dan gewoon kunnen naar pingen van buitenaf.

Ik vraag mij wel af hoe je jouw IP's geconfigureerd hebt. De configuratie zal toch hetzelfde zoals de andere IP's...

Enkele dingen verkeerd geinterpreteerd, zo de oplossing is niet relevant...

[ Voor 7% gewijzigd door Verwijderd op 10-08-2011 12:35 ]

[Verwijderd]

nu volg ik je even niet.

Op dit moment is mijn internetip het .66 adres

Ik heb van ziggo 3 vaste adressen gekregen,
namelijk het netwerkadres 213.125.153.64,
IP adres LAN kant Ziggo router 213.125.153.65
en het broadcast adres 213.125.153.79

Wat ik heb gedaan is het volgende.
Toen de oude router/fw er nog stond en ik ging naar watismijnip.nl dan gaf die aan 213.125.153.66

Ik heb dus op de WAN interface van de nsa240 het volgende ingesteld.
IP : 213.125.153.66
Subnet : 255.255.255.240
Gateway: 213.125.153.65

Vervolgens een LAN interface gemaakt met intern IP 192.168.0.250 en DHCP enabled.
M'n pc, laptop etc krijgen dus netjes een 192 adres, en als ik op internet ga dan doe ik dat via 213.125.153.66
vanuit huis kan via dit adres ook vpn'nen etc

Wat ik nu wil is op een andere poort van de nsa240 een lijn doorzetten naar de andere kant van het pand.
Daar wil ik 2 (of eigenlijk 3) publieke IP adressen overheen sturen.
Zodat men daar een firewall kan installeren en als internet IP 213.125.153.70 / 71 / 72 kunnen krijgen.
Die lijn zal echter wel via de WAN poort van de Sonicwall weer naar buiten moeten.

[Verwijderd]

Had iets verkeerd gelezen... Daarom was mijn uitleg niet correct, so nevermind mijn vorige post

Als je hen rechtstreeks de publieke IP adressen wil geven, waarom wil je deze dan door je NSA240 laten lopen? Kan je niet gewoon een switch tussen je Ziggo router en je NSA240 hangen en daarop de kabels aansluiten die naar hen lopen? Zo kunnen zij aan de andere kant van de kabel gewoon de publieke IP's op hun firewall instellen hetzelfde zoals jij ze instelt:

IP : 213.125.153.70/71/72
Subnet : 255.255.255.240
Gateway: 213.125.153.65

Of is er een specifieke reden waarom dit wel zou moeten door jouw NSA240 lopen?

[ChaserBoZ_]

Verwijderd schreef op woensdag 10 augustus 2011 @ 12:34:
Had iets verkeerd gelezen... Daarom was mijn uitleg niet correct, so nevermind mijn vorige post

Als je hen rechtstreeks de publieke IP adressen wil geven, waarom wil je deze dan door je NSA240 laten lopen? Kan je niet gewoon een switch tussen je Ziggo router en je NSA240 hangen en daarop de kabels aansluiten die naar hen lopen? Zo kunnen zij aan de andere kant van de kabel gewoon de publieke IP's op hun firewall instellen hetzelfde zoals jij ze instelt:

IP : 213.125.153.70/71/72
Subnet : 255.255.255.240
Gateway: 213.125.153.65

Of is er een specifieke reden waarom dit wel zou moeten door jouw NSA240 lopen?

Precies, scheiden voor je firewall, dan beschermt je firewall je ook 'tegen' hun. Kun je op die ene UTP kabel niet werken met vlan tags ?

[Verwijderd]

Dat zou inderdaad de simpele oplossing zijn.
Echter willlen wij ook hun bandbreedte limiteren, we hebben een 50mb lijn en willen de andere max 20 geven.
en zouden ze dus ook (zonder dat wij dat weten) een ander publiek IP adres van ons kunnen gaan gebruiken.

Het gekke is, ik heb nergens een optie vlan tagging oid.... echter kijk ik naar de properties van een interface poort dan kan ik wel vlan's filteren.
Maar ze defineren kan dus niet....

[wagenveld]

Je kunt het beste 1 van de interfaces als transparant DMZ aanwijzen met bijbehorende IPs. Dus X3 bijvoorbeeld is transparant DMZ met .71 - die trek je naar een switch aan de andere kant. Wil je ze allebei nog scheiden met hun eigen IP denk ik dat je 2 interfaces apart als DMZ moet aanwijzen, maar ik weet niet zeker of dat werkt. Als het goed is kun je ook gewoon bandwidth management doen op die interfaces dan.

[DJSmiley]

Verwijderd schreef op woensdag 10 augustus 2011 @ 13:14:
Dat zou inderdaad de simpele oplossing zijn.
Echter willlen wij ook hun bandbreedte limiteren, we hebben een 50mb lijn en willen de andere max 20 geven.
en zouden ze dus ook (zonder dat wij dat weten) een ander publiek IP adres van ons kunnen gaan gebruiken.

Het gekke is, ik heb nergens een optie vlan tagging oid.... echter kijk ik naar de properties van een interface poort dan kan ik wel vlan's filteren.
Maar ze defineren kan dus niet....

Ik zou idd gewoon voor een vlan die kant op gaan. De poort waar je dat vlan op laat uitkomen knijp je naar 20Mbit, en dan 'zoeken hun het maar uit wat ze ermee doen'
Eventueel spijker je die switchtpoort verder dicht

edit: Zie hieronder voor een lange uitgebreide versie van mijn verhaal

[ Voor 4% gewijzigd door DJSmiley op 13-08-2011 14:54 ]

[Verwijderd]

Is de simpelste (maar iets kostelijkere) oplossing niet om voor een -managed- switch gaan, die uiteraard enkel door jullie beheerd wordt?

Bandwidth mgmt kan je doen door een limiet van 20Mbit op hun switchpoort.

Verder zorg je voor security dmv:
- mac-security op hun switchpoort. Enkel 1 device mag geconnecteerd zijn, waarvan het MAC address op voorhand onderling wordt vastgesteld. Zo kunnen ze niet zomaar de hardware aan hun kant vervangen.
- ACL op de switch, waarbij je enkel verkeer toelaat vanaf het IP dat jij aan hun geeft. Zo kunnen ze niet andere/extra publieke IPs van jullie gaan gebruiken.

Als ze fysieke toegang hebben tot de ruimte waar de switch staat, kan je eventueel zelfs nog alle andere poorten disablen, en ook MAC security op de switchpoort zetten waar jullie Sonicwall aan hangt.

Sluitende oplossing, lijkt me, tenzij ik iets over het hoofd zie? Zoals gezegd enkel wel een managed switch nodig die deze features ondersteund...

[Verwijderd]

wagenveld schreef op woensdag 10 augustus 2011 @ 13:19:
Je kunt het beste 1 van de interfaces als transparant DMZ aanwijzen met bijbehorende IPs. Dus X3 bijvoorbeeld is transparant DMZ met .71 - die trek je naar een switch aan de andere kant. Wil je ze allebei nog scheiden met hun eigen IP denk ik dat je 2 interfaces apart als DMZ moet aanwijzen, maar ik weet niet zeker of dat werkt. Als het goed is kun je ook gewoon bandwidth management doen op die interfaces dan.

dit klopt inderdaad. Op deze manier is het heel goed te doen. Hierbij kun je ook nog firewall regels toepassen mocht je dit willen.

[Verwijderd]

Als je Ziggo Zakelijk hebt met een Juniper router, dan zal je een extra poorten moeten gebruiken op je Sonicwall.
Ziggo configureert de routers zo dat er op elke poort van de Juniper een apart IP adres uitkomt. Zie handleiding @ Ziggo