Dobbel bannmur

[xClaymanx]

Hei

 

Har et spørsmål angående å sette opp 2 separate brannmurer i samme nettverk.

Nei, jeg har ingen mulighet til å ordne flere vpn koblinger siden begge er levert fra forskjellige leverandører og vil ikke la meg få konfigurasjonen.

 

Det jeg vet:

Har to IP'er tilgjengelig

Blir det noe slik?

 

Inntak -> Switch - brannmur/brannmur - Over til switchepanel som da går ut til maskinene?

 

Eller er det noe jeg har tenkt feil her?

Endret 18. september 2014 av xClaymanx

[stigfjel]

Hva ønsker du egentlig å oppnå her?

[xClaymanx]

Det som skal skje er følgende.

 

Brannmur A har en brannmur til brannmur kobling.

Brannmur B har også en brannmur til brannmur kobling.

 

Jeg trenger at begge brannmurene skal kunne jobbe samtidig uten at det skaper forstyrrelser eller at nettet blir sperret/loopet når jeg kobler til brannmur B.

Brannmurene skal være konfigurert korrekt etter det jeg vet, men det er altså da ikke jeg som har konfigurert dem, men kun videreinformert informasjon.

[stigfjel]

Så det du ønsker er en HA-løsning med automatisk failover?

[tingo]

Dersom brannmurene kjører en VPN tunnel (tenker hjemmekontor, siden du skriver "brannmur til brannmur kopling") så er du avhengig av at VPN tunnelene er konfigurert som "åpen" for at dette skal fungere slik du ønsker.

"åpen" VPN tunnel - kun trafikk til hovedkontoret går gjennom tunnelen, all annen trafikk går utenom (via Internett)

"lukket" VPN tunnel - all trafikk (også trafikk til Internett) går via tunnelen

 

konfigurasjonen på en VPN tunnel er vanligvis styrt fra sentralt hold, slik at det ikke er sikkert at du kan endre denne.

[xClaymanx]

Så det du ønsker er en HA-løsning med automatisk failover?

 

Det er ikke dette jeg ønsker

Brannmurene skal ikke jobbe sammen, men separat.

Brannmur A skal holde VPN tunellen til Site A

Brannmur B skal holde VPN tunellen til Site B

[stigfjel]

Så det du EGENTLIG skal ha er tilgang til to forskjellige siter over hver sin VPN-tunnel?

[xClaymanx]

Så det du EGENTLIG skal ha er tilgang til to forskjellige siter over hver sin VPN-tunnel?

Stemmer

[stigfjel]

Stemmer

Skjønner. Men det trenger du da ikke to forskjellige brannmurer til. Med rett oppsett får du til det der på en brannmur. Du kan, selvfølgelig, men da må du begynne å herje med statiske ruter på enkeltmaskiner osv.

[xClaymanx]

 

Stemmer

Skjønner. Men det trenger du da ikke to forskjellige brannmurer til. Med rett oppsett får du til det der på en brannmur. Du kan, selvfølgelig, men da må du begynne å herje med statiske ruter på enkeltmaskiner osv.

 

Problemet er at det er akkurat det jeg trenger.

Jeg må ha 2 brannmurer, ellers hadde jeg jo bare satt opp en enkel konfigurerbar switch med WAN addr til begge sites, noe som vi har andre steder.

Brannmuren som blir levert fra datacenteret får jeg ikke røre konfigen på, men får bestille.

Brannmuren som står onsite fra før av skal de absolutt ha der, og får ikke snakket dem fra dette.

 

Men siden det er bestillt 2 IP'er, vil jeg da ikke kunne konfigurere hver brannmur til å svare på hver sin IP?

Helt klar over at dette her er mulig å gjøre på andre måter, men de skal absolutt ha det slik

[stigfjel]

Du må nesten skissere opp hvordan du har satt opp maskinene du skal ha tilgang til fra de to forskjellige sitene (nettverksmessig, selvfølgelig). Klart, det at du ikke har kontroll over brannmurene kompliserer en del. På de fleste ordentlige brannmurer kan man fint sette opp flere VPN-tunneler. Det gjør de på jobben. Til og med min egen brannmur som står hjemme er kapabel til flere VPN-tunneler, både site-to-site, dialup og via IPSec eller SSL.

[xClaymanx]

Jeg er helt enig i at det kunne gjort seg enklere. Brannmuren som de har kan fint settes opp med flere site to site adresser, men når leverandør kommer med egen brannmur er det ikke stort jeg kan gjøre med det.

Jeg ser for meg som følgende.

 

http://imgur.com/Kv9qWFP

 

Dette er mer eller mindre slik jeg ser det for meg.

[stigfjel]

Nå var jeg mer interessert i hvordan det faktisk ser ut. Husk, en brannmur er også en router, og trafikken fra en server bak en brannur går i hovedsak til og fra det man setter som default gateway. Skal man sende/motta trafikk fra et annet sted må man sette opp statiske ruter på hver enkelt maskin involvert.

[xClaymanx]

Ja slik jeg ser det for meg så har FW1 som står onsite nå kun en funksjon og det er å koble opp til LAN via Remote desktop slik at DC og de andre maskinene kan behandles.

 

Sett at det må nok mest trolig brukes FW2, den nye som gateway.

Går også sterkt utifra at det er et modem på plass uten å være 100% sikker.

[power]

Hvor mange nettverksinterface har du tilgjengelig på hver brannmur? Hvis jeg har tolket designet ditt riktig (at det kun er et nettverk bak brannveggene) så hadde jeg gjort følgende:

- Bruk den ene brannveggen som "hoved-brannvegg"

- Lag en interconnect (koble de sammen nettverkskort til nettverkskort med et linknett i mellom)

- Lag statiske ruter til den brannmuren som ikke er hovedbrannmur til de nettene som du har VPN-tunell med. (husk også å lage retur-ruter)

- La default rute til klientene peke mot "hoved"-brannveggen

 

Legger ved en liten prinsippskisse som et eksempel. Dette var veldig kjapt og gæli, men det burde funke

[xClaymanx]

Hvor mange nettverksinterface har du tilgjengelig på hver brannmur? Hvis jeg har tolket designet ditt riktig (at det kun er et nettverk bak brannveggene) så hadde jeg gjort følgende:

- Bruk den ene brannveggen som "hoved-brannvegg"

- Lag en interconnect (koble de sammen nettverkskort til nettverkskort med et linknett i mellom)

- Lag statiske ruter til den brannmuren som ikke er hovedbrannmur til de nettene som du har VPN-tunell med. (husk også å lage retur-ruter)

- La default rute til klientene peke mot "hoved"-brannveggen

 

Legger ved en liten prinsippskisse som et eksempel. Dette var veldig kjapt og gæli, men det burde funke

Takker for svar.

 

Lurer på om jeg skal ta ut den brannmuren som står der pr idag nå og få den som i hovedsak trenger å fungere til å fungere. Teste dette i første omgang, men som sagt takk