Wechseln zu:Navigation, Suche
Wiki

{























































En.png
Fr.png


Konfiguration einer Bridge im Zusammenhang mit WLAN-Schnittstellen

Letzte Anpassung zur Version: 11.8.7

Änderungen:

Vorherige Versionen: 11.7



Eine Bridge (Netzwerkbrücke) verbindet zwei physikalische Netzwerke zu einem gemeinsamen.
Die so zusammengeschlossenen Schnittstellen haben eine IP und die IP-Adressen der angeschlossenen Geräte liegen im selben Subnetz

 
Die Firewall darf nicht über diejenige Schnittstelle administriert werden, die zu einer Bridge hinzugefügt werden soll!
 

 Die Verbindung zum Admininterface fällt weg, sobald die IP-Adresse von der Schnittstelle entfernt wird, über die gerade auf die UTM zugegriffen wird.
Sollen alle verfügbaren internen Schnittstellen zu einer Bridge hinzugefügt werden (z. B. eth1 und eth2 bei einer Black Dwarf), muss der Zugriff auf die Firewall von außen über eth0 erfolgen.

Eine Portweiterleitung aus einem internen Netzwerk über eine externe IP-Adresse ist über eine Bridge nicht möglich.
Abhilfe könnte hierbei die Einrichtung einer Forward-Zone im Nameserver der UTM schaffen, sofern die UTM als Nameserver für die internen Clients eingerichtet ist. In diesem Fall verweist die externe URL, die von Intern aufgerufen wird direkt auf den Internen Ziel-Server.
Eine Anleitung zum einrichten der Forward-Zone befindet sich unter Forward-Zone im Nameserver Wiki.


Administrations-Zugang vorbereiten

  • Schnittstelle auf der Firewall identifizieren, die nicht gebridged werden soll
  • Im Menü → Netzwerk →Netzwerkkonfiguration

IP-Adressen vorhandene IP-Adresse dieser Schnittstelle notieren oder zuweisen (z.B. 10.0.10.1/24 oder 10.10.10.193/29).

  • Freie IP-Adresse aus dem zugehörigen Netzwerk finden.
  • Diese IP-Adresse oder das gesamte zugehörige Netzwerk (z.B. 10.0.10.0/24 oder 10.10.10.192/29) im Menü → Netzwerk →Servereinstellungen

Reiter Administration IP / Netzwerk hinzufügen hinzufügen und damit zur Administration berechtigen

  • Zugang auf der gewählten Schnittstelle über diese IP-Adresse bzw. dieses Netzwerk herstellen (z.B.: 10.0.10.1:11115 oder 10.10.10.193:11115)

Schnittstellen vorbereiten

IP-Adresse entfernen

Als erstes werden alle IP-Adressen von den Schnittstellen, die für die Bridge verwendet werden sollen, entfernt.
→ Netzwerk →Netzwerkkonfiguration in der entsprechenden Schnittstelle → Reiter IP-Adressen.
Entfernen der IP Adressen. Im Beispiel »192.168.100.1/24 mit Klick auf
Es darf auf keinen Fall die IP-Adresse entfernt werden, über die der aktuelle Zugriff erfolgt !


Zonen entfernen

Im Zweiten Schritt werden alle Zonen von den Schnittstellen, die für die Bridge verwendet werden sollen, entfernt. → Netzwerk →Netzwerkkonfiguration in der entsprechenden Schnittstelle → Reiter Zonen. Entfernen der Zonen mit Klick auf . Im Beispiel »dmz1 »firewall-dmz1 »dmz1_v6 »interface-dmz1_v6
Anschließend Speichern
Es darf auf keinen Fall die IP-Adresse entfernt werden, über die der aktuelle Zugriff erfolgt !


Anschließend Speichern

UTM v11.8.7 Netzwerk Konfiguration Schnittstellen.png
Ausgangslage Schnittstellen
UTM v11.8.7 Netzwerk Konfiguration Schnittstellen2.png
Vorbereitete Schnittstellen











Bridge erstellen

Im Beispiel sollen die Schnittstellen eth2 und wlan0 zu einer DMZ zusammengefasst werden.
Start des Assistenten im Menü → Netzwerk →Netzwerkkonfiguration → Reiter Netzwerkschnittstellen → Schaltfläche Bridge

Beschriftung Wert Funktion

Schritt 1

Schritt 1
Name bridge0 Name der Bridge-Schnittstelle
UTM v11.8.7 Netzwerk Schnittstellen Bridge-1.png
IP-Adresse: 10.50.50.1/24 Beispiel-IP Adresse der Bridge-Schnittstelle
STP aktivieren: Aus Zusätzlich kann das Spanning Tree Protokoll aktiviert werden.

Schritt 2

Schritt 2
Schnittstellen: »eth2 »wlan0 Schnittstellen, die zusammengefasst werden sollen. In der Klick-Box können zur Verfügung stehende Schnittstellen ausgewählt werden.
UTM v11.8.7 Netzwerk Schnittstellen Bridge-2-wlan.png

Schritt 3

Schritt 3
Zonen: »dmz1 »firewall-dmz1 »dmz1_v6 »firewall-dmz1_v6 Zonen, die mit dem Bridge-Interface verknüpft werden sollen.
In unserem Beispiel dmz1, firewall-dmz1 sowie dmz1_v6 und firewall-dmz1_v6.
UTM v11.8.7 Netzwerk Schnittstellen Bridge-3.png
Neue Zone hinzufügen: Aus dmz2 Bei Aktivierung Ein kann der Bridge alternativ oder zusätzlich eine neue Zone hinzugefügt werden.
Regeln generieren: Aus Es werden automatisch Portfilterregeln für die neue Zone erstellt. Diese Regeln erlauben zunächst jedweden Netzwerkverkehr (any-Regeln) und müssen unbedingt durch angepasste Regeln ersetzt werden!

Konfigurierte WLAN-Bridge

Abschließen mit Fertig

Konfigurierte WLAN-Bridge



Netzwerkobjekte anpassen

UTM v11.8.7 Firewall Portfilter Netzwerkobjekte WLAN-Bridge.png

Nach der Einrichtung der Schnittstelle müssen die Netzwerkobjekte angepasst werden.

Menü → Firewall →Portfilter → Reiter Netzwerkobjekte → Schaltfläche für jedes Netzwerkobjekt, das zur Bridge gehört.

Dort: Schnittstelle auf bridge0  ändern.

Für automatisch angelegte Zonen kann dieser Schritt übersprungen werden:
  • Für diese Zonen werden jeweils zwei neue Netzwerkobjekte angelegt:
  • Die Netzwerkobjekte werden jeweils mit einer Zone verknüpft:
    • zone-interface mit der Zone firewall-zone und
    • zone-network mit der Zone zone
  • Die Netzwerkobjekte werden der Schnittstelle bridge-name zugeordnet.



Portfilterregel einrichten

Es wird noch eine Portfilterregel benötigt, die den Netzwerkverkehr zwischen den Schnittstellen, die zur Bridge gehören ermöglicht.
Dazu wird ein neues Netzwerkobjekt angelegt.
Name beliebig
UTM v11.8.7 Firewall Portfilter Netzwerkobjekte Bridge2.png
Typ: Netzwerk (Adresse)  
Adresse: 0.0.0.0/0 Jedweder Netzwerkverkehr soll möglich sein.
Zone: dmz1  Zone, die mit der Bridge verknüpft ist.



Portfilterregel für die Bridge

Zum Schluss muss nur noch die Portfilterregel mit dem gerade erstellten Netzwerkobjekt angelegt werden.
An dieser Stelle darf tatsächlich eine any-Regel verwendet werden, damit die Schnittstellen untereinander vollständig kommunizieren können.

╭╴ Aktion ╶╮ Accept  
╭╴ Quelle ╶╮ all-dmz
╭╴ Ziel ╶╮ all-dmz
╭╴ Dienst ╶╮ any
╭╴[–] Nat╶╮ ╭╴ Typ ╶╮ None 



Der Netzwerkverkehr zu anderen Netzwerken (intern oder extern) sollte dann mit Regeln beschränkt werden, die mit den Netzwerkobjekten arbeiten, die der Zone der Bridge zugeordnet sind.

Beispielregel, um nur ftp-Dienste aus der DMZ freizugeben
╭╴ Aktion ╶╮ Accept  
╭╴ Quelle ╶╮ dmz1-network
╭╴ Ziel ╶╮ Internet
╭╴ Dienst ╶╮ ftp
╭╴[–] Nat╶╮ ╭╴ Typ ╶╮ Hidenat 



Die Einrichtung der Bridge wird mit Hinzufügen und schließen Regeln aktualisieren abgeschlossen.