m0n0wall > Untangle > LAN

[EverLast2002]

Beste,

ik zit met een probleem waar ik niet uit kom. Situatieschets :

internet > m0n0wall > Untangle (Transparant Bridge mode) > LAN

De bedoeling is dat m0n0wall dient als firewall.
Untangle die erachter draait wil ik voor antivirus en antispam inzetten.
Wanneer ik Untangle installeer en activeer dan loopt heel m'n netwerk vast, pc's verliezen verbinding etc.
Untangle heeft een vast IP adres, verder geen bijzonderheden qua setup.
Bovenstaand draait geheel virtueel in ESXi 5.5.
Met m0n0wall zonder Untangle is er geen enkel probleem, dat werkt prima.
Wat doe ik fout ??

[ Voor 11% gewijzigd door EverLast2002 op 15-11-2014 19:38 ]

[bundit]

Zelf heb ik gebruik gemaakt van pfSense i.c.m. ESXi 5.1. Hiervoor moest ik destijds de Promiscuous Mode van de vSwitch(es) op Accept zetten.

[EverLast2002]

Ik ben bekend met die VMware setting in de vSwitch, die staat al op "accept".
Untangle heb ik weleens draaiend gehad in Router mode (zonder m0nowall erbij), toen liep er niks vast en werkte alles prima.
Op internet heb ik iets kunnen vinden, al is het erg beknopt uitgelegd. Wanneer ik die setup/uitleg volg, dan loopt m'n netwerk dus compleet vast.

[ Voor 35% gewijzigd door EverLast2002 op 15-11-2014 19:12 ]

[bundit]

Als ik het goed begrijp heb je dus 3 vSwitches binnen ESXi aangemaakt:
1) WAN
2) DMZ
3) LAN

m0n0wall is dan verbonden met WAN en DMZ. Untangle met DMZ en LAN.

Op het moment dat je netwerk vast loopt, kun je dan de ESXi host pingen of is dit ook niet meer mogelijk? Wat gebeurt er als je de interfaces van Untangle 1 voor 1 actief maakt, wanneer gaat het fout?

Zelf heb ik momenteel één vm draaien die de taken van Firewall en Package Inspection / antispam / antivirus combineert. Dit heb ik gedaan met Sophos UTM.

[johnkeates]

Je kan pfSense ook prima Untangle over laten nemen. Dan gooi je m0n0wall en Untangle dus uit het raam en dan installeer je pfSense.

[EverLast2002]

bundit schreef op zondag 16 november 2014 @ 13:19:
Als ik het goed begrijp heb je dus 3 vSwitches binnen ESXi aangemaakt:
1) WAN
2) DMZ
3) LAN

m0n0wall is dan verbonden met WAN en DMZ. Untangle met DMZ en LAN.

Op het moment dat je netwerk vast loopt, kun je dan de ESXi host pingen of is dit ook niet meer mogelijk? Wat gebeurt er als je de interfaces van Untangle 1 voor 1 actief maakt, wanneer gaat het fout?

Zelf heb ik momenteel één vm draaien die de taken van Firewall en Package Inspection / antispam / antivirus combineert. Dit heb ik gedaan met Sophos UTM.

Die DMZ optie had ik niet aan gedacht, er waren maar 2 switches toen het misliep, een WAN en een LAN.
In feite kan DMZ ook Segment1 genoemd worden, het gaat om de werking en koppeling met m0n0wall <> Untangle.
Ik ga bovenstaande eens proberen en kijken of het dan wel goed gaat.
Bedankt voor de tip

Op het moment dat het netwerk onderuit gaat zijn alle nodes, inclusief de ESXi host, niet meer pingbaar.

Sophos ken ik nog uit een ver verleden, ik heb daar ooit ook iets mee gedaan.

[EverLast2002]

johnkeates schreef op zondag 16 november 2014 @ 13:23:
Je kan pfSense ook prima Untangle over laten nemen. Dan gooi je m0n0wall en Untangle dus uit het raam en dan installeer je pfSense.

Toevallig had ik die configuratie al in gedachten en gisteren ook uitgevoerd

[EverLast2002]

kleine update:
ik heb de configuratie internet > [WAN] m0n0wall [DMZ] > [DMZ] Untangle [LAN] > pc's draaiend en werkend.
Alleen vraag ik me af welke Gateway nu op de client pc's van toepassing is, zodat de antivirus op de Untangle server gebruikt wordt door het internetverkeer.
(m0n0wall is .250 en Untangle is .249)
Als ik een test pc configureer, dan heeft deze internettoegang met zowel .250 als met .249.

[bundit]

Ik verwacht dat je .249 (Untangle) als gateway dient te gebruiken.

Ter controle; Start vanuit één van de pc's eens een tracert x.x.x.250, gaat deze via hop x.x.x.249, dan heb je de juiste te pakken.

[EverLast2002]

Ik heb het anders getest, namenlijk een pc met Gateway .250 en in Untangle een blacklisted url ingevoerd.
Wanneer ik die url intik op de test pc dan krijg ik netjes de Untangle Blokkade pagina te zien.
Dat lijkt erop dat het goedzit. Tevens op de test pc (met .250 als Gateway) zie ik in Untangle ook de aantal geblokkeerde ads oplopen.
Met tracert -d x.x.x.250 krijg ik :

Tracing route to x.x.x.250 over a maximum of 30 hops

1 <1 ms <1 ms <1 ms x.x.x.249
2 <1 ms <1 ms <1 ms x.x.x.250

Trace complete.