Firewall meerdere VLAN's

[xares]

Ik heb verschillende servers/devices welke achter een hardware/software Firewall moeten komen.
Bijvoorbeeld ESXi servers waarbij het vrijwel onmogelijk is om dit via software te doen.

Het probleem is dat we meestal maar een aantal servers uit het VLAN achter de firewall willen hebben.
Hierbij komt ook nog dat we veel verschillende VLAN's en subnets hebben.

Het wijzigen van de IP-adressen is geen optie. De servers welke achter de firewall staan ook nog is verspreid door het pand (kan meer als 500 meter tussen zitten).

Op dit moment hebben we nog geen firewall aangeschaft. Wellicht dat we een server weg zetten met Pfsense bijvoorbeeld.

De kabels van de switches komen allemaal uit in het router rack op onze Cisco's.

Hoe zou ik zoiets het beste kunnen opzetten?

Ik waardeer jullie tips/opmerkingen

[ Voor 5% gewijzigd door xares op 31-10-2012 17:01 ]

[IceTeaGX]

1 (of meerdere) VLAN met alles wat achter de firewall moet komen, en de firewall tussen dit VLAN en de WAN, ander VLAN of whatever plaatsen, en voor de rest dit VLAN isoleren.

Ik zie eigenlijk het probleem niet, je bent het precies moeilijker aan't maken dan het is.

[Paul]

Teken het eens uit, want ik snap het niet helemaal?

Je hebt een VLAN, met daarin servers. Slechts een deel van die servers moeten 'achter een firewall', de andere servers moeten (waarvandaan?) direct benaderbaar zijn?

Als je geen ip-adressen mag veranderen kan het zijn dat dit al vrij lastig wordt, tenzij je er geen firewall (filtering bridge?) tussenzet maar de router vervangt (en deze laat firewallen).

De management-laag van ESXi zet je over het algemeen in een management-VLAN, en door inderdaad een router/firewall te plaatsen zorg je dat niet iedereen daar zomaar bij kan. Dat je lijkt te suggereren (maar ik kan het mis hebben) dat je in een VLAN maar een aantal apparaten wilt firewallen wekt bij mij de indruk dat je netwerk een ondoordacht (organisch gegroeid?) zooitje is

Als je echt maar een paar servers per VLAN wilt firewallen en verder eigenlijk niks aan kunt passen dan zou ik tussen de router en de rest van dat VLAN een filtering bridge zetten. pfSense kan dit, maar een simpele Linux-doos met 3 interfaces (of je moet hem willen managen over 1 van de 2 bridge-poorten) kan het ook. In dat laatste geval moet je zelf met iptables (of zo) aan de gang, in het eerste geval heb je een mooie webinterface voor pf.