KKeine Bearbeitungszusammenfassung |
KKeine Bearbeitungszusammenfassung |
||
| Zeile 9: | Zeile 9: | ||
| Multipathrouting auf der UTM einrichten | | Multipathrouting auf der UTM einrichten | ||
| Set up multipath routing on the UTM }} | | Set up multipath routing on the UTM }} | ||
{{var | | {{var | Netzwerk | ||
| | | Netzwerk | ||
| | | Network }} | ||
{{var | | {{var | Netzwerkkonfiguration | ||
| | | Netzwerkkonfiguration | ||
| | | Network configuration }} | ||
{{var | Vorbemerkung | {{var | Vorbemerkung | ||
| Vorbemerkung | | Vorbemerkung | ||
| Zeile 22: | Zeile 22: | ||
| General }} | | General }} | ||
{{var | Allgemein--desc | {{var | Allgemein--desc | ||
| In diesem | | In diesem How-To wird erklärt, was Multipathrouting bedeutet und wie es auf einer Securepoint UTM eingerichtet werden kann. Außerdem wird beschrieben, wie der Datenverkehr bestimmter Dienste/Endgeräte über eine bestimmte Leitung geleitet werden kann. | ||
| This HowTo explains what multipath routing is and how it can be set up on a Securepoint UTM. It also describes how traffic from specific services/end devices can be routed over a specific line. }} | | This HowTo explains what multipath routing is and how it can be set up on a Securepoint UTM. It also describes how traffic from specific services/end devices can be routed over a specific line. }} | ||
{{var | Was ist Multipathrouting | {{var | Was ist Multipathrouting | ||
| Zeile 29: | Zeile 29: | ||
{{var | Was ist Multipathrouting--desc | {{var | Was ist Multipathrouting--desc | ||
| Die Kopplung mehrerer Internetleitungen zu '''einem''' logischen "Internet" wird Multipathrouting genannt. Hierbei existieren zwei oder mehr default-Routen auf der Firewall und die Pakete werden entsprechend verteilt. | | Die Kopplung mehrerer Internetleitungen zu '''einem''' logischen "Internet" wird Multipathrouting genannt. Hierbei existieren zwei oder mehr default-Routen auf der Firewall und die Pakete werden entsprechend verteilt. | ||
Neben dem Multipathrouting übernimmt die Securepoint UTM auch die Verteilung des Datenverkehrs (Loadbalancing). Beim Loadbalancing | Neben dem Multipathrouting übernimmt die Securepoint UTM auch die Verteilung des Datenverkehrs (Loadbalancing). Beim Loadbalancing kann für die einzelnen Routen eine gewünschte Gewichtung eingetragen werden. Die Securepoint UTM kann somit beispielsweise zwei, oder mehr Leitungen mit einer jeweiligen Bandbreite von z.B. 16 MBit/s und 100 MBit/s, gleichmäßig belasten. | ||
| The combination of several Internet lines into '''one''' logical "Internet" is called multipath routing. Here, two or more default routes exist on the firewall and the packets are distributed accordingly. | | The combination of several Internet lines into '''one''' logical "Internet" is called multipath routing. Here, two or more default routes exist on the firewall and the packets are distributed accordingly. | ||
In addition to multipath routing, the Securepoint UTM also handles the distribution of data traffic (load balancing). In load balancing, a desired weighting can be entered for the individual routes. The Securepoint UTM can thus, for example, load two or more lines with a respective bandwidth of e.g. 16 MBit/s and 100 MBit/s equally. }} | In addition to multipath routing, the Securepoint UTM also handles the distribution of data traffic (load balancing). In load balancing, a desired weighting can be entered for the individual routes. The Securepoint UTM can thus, for example, load two or more lines with a respective bandwidth of e.g. 16 MBit/s and 100 MBit/s equally. }} | ||
| Zeile 53: | Zeile 53: | ||
| Zones }} | | Zones }} | ||
{{var | Szenario 1, Schritt 1--desc | {{var | Szenario 1, Schritt 1--desc | ||
| Die PPP-Schnittstellen werden so konfiguriert, dass beide eindeutige Zonen besitzen. In diesem Beispiel legen wir die Zonen "external-2" und "firewall-external-2" an und weisen | | Die PPP-Schnittstellen werden so konfiguriert, dass beide eindeutige Zonen besitzen. In diesem Beispiel legen wir die Zonen "external-2" und "firewall-external-2" an und weisen sie der Schnittstelle wan1 zu. Die wan0 besitzt die Zonen "external" und "firewall-external". Die Zonen sind nötig, damit später entsprechende Netzwerkobjekte und Regeln angelegt werden können. | ||
| The PPP interfaces are configured so that both have unique zones. In this example, we create the zones "external-2" and "firewall-external-2" and assign them to wan1. The wan0 has the zones "external" and "firewall-external". The zones are necessary so that corresponding network objects and rules can be created later. }} | | The PPP interfaces are configured so that both have unique zones. In this example, we create the zones "external-2" and "firewall-external-2" and assign them to the interface wan1. The wan0 has the zones "external" and "firewall-external". The zones are necessary so that corresponding network objects and rules can be created later. }} | ||
{{var | Szenario 1, Schritt 1--Bild | {{var | Szenario 1, Schritt 1--Bild | ||
| UTM v12.4 Netzwerkkonfiguration PPoE.png | | UTM v12.4 Netzwerkkonfiguration PPoE.png | ||
| Zeile 85: | Zeile 85: | ||
| Create network objects }} | | Create network objects }} | ||
{{var | Szenario 1, Schritt 3--desc | {{var | Szenario 1, Schritt 3--desc | ||
| Regeln werden in der Securepoint UTM mithilfe von Netzwerkobjekten unter {{Menu|Firewall|Portfilter|Netzwerkobjekte|+ Objekt hinzufügen}} angelegt. Da standardmäßig keine Netzwerkobjekte für eine zweite Leitung existieren, | | Regeln werden in der Securepoint UTM mithilfe von Netzwerkobjekten unter {{Menu|Firewall|Portfilter|Netzwerkobjekte|+ Objekt hinzufügen}} angelegt. Da standardmäßig keine Netzwerkobjekte für eine zweite Leitung existieren, müssen diese nun angelegt werden. Wir benötigen zum einen das Netzwerkobjekt für das Netzwerk (Internet-2) und zum anderen das Netzwerkobjekt für die Schnittstelle der Firewall in dieser Zone (external-interface-2). <br>Die Netzwerkobjekte sollten wie folgt aussehen: | ||
| Rules are created in Securepoint UTM using network objects under {{Menu|Firewall|Portfilter|Network objects|+ Add object}}. Since there is no network object for a second line by default, it must now be created. On the one hand we need the network object for the network (Internet-2) and on the other hand the network object for the interface of the firewall in this zone (external-interface-2). | | Rules are created in Securepoint UTM using network objects under {{Menu|Firewall|Portfilter|Network objects|+ Add object}}. Since there is no network object for a second line by default, it must now be created. On the one hand we need the network object for the network (Internet-2) and on the other hand the network object for the interface of the firewall in this zone (external-interface-2). | ||
<br> The network objects should look like the following: }} | <br> The network objects should look like the following: }} | ||
| Zeile 107: | Zeile 107: | ||
| Create rules }} | | Create rules }} | ||
{{var | 1=Szenario 1, Schritt 4--desc | {{var | 1=Szenario 1, Schritt 4--desc | ||
| 2=Nun werden die Regeln angelegt. In diesem Beispiel | | 2=Nun werden die Regeln angelegt. In diesem Beispiel muss "default-internet" ins Internet freigegeben werden.<br> {{Hinweis-box||g}} Hierbei muss darauf geachtet werden, dass das Internet-Objekt in der Regel mit dem ausgewählten HideNAT-Objekt überein stimmt!<br> Die Regeln sehen dann wie folgt aus: | ||
| 3=Now the rules are created. In this example, | | 3=Now the rules are created. In this example, "default-internet" must be released to the Internet. <br> {{Hinweis-box||g}} Here it must be ensured that the Internet object matches the selected HideNAT object as a rule!<br> The rules will then look like this: }} | ||
{{var | Szenario 1, Schritt 4--Bild | {{var | Szenario 1, Schritt 4--Bild | ||
| UTM v12. | | UTM v12.5 Firewall Portfilter Regel anlegen Ziel Internet.png | ||
| UTM v12. | | UTM v12.5 Firewall Portfilter Regel anlegen Ziel Internet-en.png }} | ||
{{var | Szenario 1, Schritt 4--cap | {{var | Szenario 1, Schritt 4--cap | ||
| Regeln im Portfilter | | Regeln im Portfilter | ||
| Rules in the port filter }} | | Rules in the port filter }} | ||
{{var | Beispielszenario 2--desc | {{var | Beispielszenario 2--desc | ||
| An | | An LAN0 der Firewall ist ein Modem angeschlossen, wobei die Securepoint UTM die Einwahl übernimmt. An LAN2 befindet sich eine Fritzbox, welche als Router fungiert. Leitung 1 (wan0) verfügt über eine Bandbreite von 50 MBit/s und Leitung 2 (LAN2) besitzt eine Bandbreite von 25 MBit/s. | ||
| A modem is connected to | | A modem is connected to LAN0 of the firewall, with the Securepoint UTM taking over dialing in. A Fritzbox, which acts as a router, is connected to LAN2. Line 1 (wan0) has a bandwidth of 50 MBit/s and line 2 (LAN2) has a bandwidth of 25 MBit/s. }} | ||
{{var | Szenario 2, Schritt 1 | {{var | Szenario 2, Schritt 1 | ||
| Szenario 2, Schritt 1 - Zonen | | Szenario 2, Schritt 1 - Zonen | ||
| Scenario 2, Step 1 - Zones }} | | Scenario 2, Step 1 - Zones }} | ||
{{var | Szenario 2, Schritt 1--desc | {{var | Szenario 2, Schritt 1--desc | ||
| Die externen Schnittstellen (wan0 und | | Die externen Schnittstellen (wan0 und LAN2) werden so konfiguriert, dass beide eindeutige Zonen besitzen. In diesem Beispiel werden ebenfalls die Zonen "external-2" und "firewall-external-2" angelegt und LAN2 zugewiesen. Die wan0 besitzt die Zonen "external" und "firewall-external". Die Zonen sind nötig, damit später entsprechende Netzwerkobjekte und Regeln angelegt werden können. | ||
| The external interfaces (wan0 and | | The external interfaces (wan0 and LAN2) are configured so that both have unique zones. In this example, the zones "external-2" and "firewall-external-2" are also created and assigned to LAN2. The wan0 has the zones "external" and "firewall-external". The zones are necessary so that corresponding network objects and rules can be created later. }} | ||
{{var | Szenario 2, Schritt 2 | {{var | Szenario 2, Schritt 2 | ||
| Szenario 2, Schritt 2 - Routen | | Szenario 2, Schritt 2 - Routen | ||
| Scenario 2, Step 2 - Routes }} | | Scenario 2, Step 2 - Routes }} | ||
{{var | Szenario 2, Schritt 2--desc | {{var | Szenario 2, Schritt 2--desc | ||
| Damit der Datenverkehr über beide Leitungen geschickt werden kann, wird pro Leitung eine Default-Route benötigt. | | Damit der Datenverkehr über beide Leitungen geschickt werden kann, wird pro Leitung eine Default-Route benötigt. In diesem Szenario gibt es allerdings aufgrund des Routers vor der LAN2 eine Besonderheit:<br> Damit in den Routen die LAN2 als Gateway-Schnittstelle angegeben werden kann, ist es erforderlich, dass der Firewall das Gateway für diese Schnittstelle mitgeteilt wird. Das funktioniert über die Option {{ic|Route-Hint IPv4}} in den Einstellungen der LAN2. Hier wird das Gateway 192.168.178.1 angegeben. Nun lässt sich als Default-Gateway die LAN2 angeben.<br> Nun müssen die beiden Default-Routen angelegt werden. Da die Leitungen eine unterschiedliche Bandbreite besitzen (50 MBit/s bzw. 25 MBit/s), kann über die Option {{ic|Gewichtung}} eine gleichmäßige Belastung der Leitungen erreicht werden. | ||
In diesem Szenario gibt es allerdings aufgrund des Routers vor der | | In order for the data traffic to be send over both lines, a default route is required for each line. In this scenario, however, there is a special feature due to the router in front of the LAN2:<br> For routes to specify LAN2 as the gateway interface, it is necessary to tell the firewall the gateway for this interface. This works via the {{ic|Route-Hint IPv4}} option in the eth2 settings. The gateway 192.168.178.1 is specified here. Now the LAN2 can be specified as the default gateway.<br> Now the two default routes must be created. Since the lines have different bandwidths (50 MBit/s and 25 MBit/s respectively), the {{ic|Weighting}} option can be used to achieve an even load on the lines. }} | ||
Damit in den Routen die | |||
Nun müssen die beiden Default-Routen angelegt werden. Da die Leitungen eine unterschiedliche Bandbreite besitzen (50 MBit/s bzw. 25 MBit/s), kann über die Option {{ic|Gewichtung}} eine gleichmäßige Belastung der Leitungen erreicht werden. | |||
| In order for the data traffic to be send over both lines, a default route is required for each line. | |||
In this scenario, however, there is a special feature due to the router in front of the | |||
For routes to specify | |||
Now the two default routes must be created. Since the lines have different bandwidths (50 MBit/s and 25 MBit/s respectively), the {{ic|Weighting}} option can be used to achieve an even load on the lines. }} | |||
{{var | Szenario 2, Schritt 2--Bild | {{var | Szenario 2, Schritt 2--Bild | ||
| UTM v12.4 Netzwerkkonfiguration Einstellung Route hint IPv4.png | | UTM v12.4 Netzwerkkonfiguration Einstellung Route hint IPv4.png | ||
| Zeile 146: | Zeile 140: | ||
| This is what the created default routes look like. }} | | This is what the created default routes look like. }} | ||
{{var | So sehen dann die angelegten Defaul-Routen aus--Bild | {{var | So sehen dann die angelegten Defaul-Routen aus--Bild | ||
| UTM v12. | | UTM v12.5 Netzwerkkonfiguration Routing LAN2.png | ||
| UTM v12. | | UTM v12.5 Netzwerkkonfiguration Routing LAN2-en.png }} | ||
{{var | So sehen dann die angelegten Defaul-Routen aus--cap | {{var | So sehen dann die angelegten Defaul-Routen aus--cap | ||
| Angelegte Default-Routen | | Angelegte Default-Routen | ||
| Zeile 162: | Zeile 156: | ||
{{var | Routing für bestimmte Endgeräte und Dienste--desc | {{var | Routing für bestimmte Endgeräte und Dienste--desc | ||
| Da der Datenverkehr bei einem Multipathrouting ohne Weiteres immer von Leitung zu Leitung "springt", kann dies bei bestimmten Szenarien zu Fehlern führen. Beispielsweise muss ein extern stehender Server immer über die selbe Quell-IP angesprochen werden. Um dieses Vorhaben umzusetzen, wird die Funktion "Rule-Routing" genutzt. | | Da der Datenverkehr bei einem Multipathrouting ohne Weiteres immer von Leitung zu Leitung "springt", kann dies bei bestimmten Szenarien zu Fehlern führen. Beispielsweise muss ein extern stehender Server immer über die selbe Quell-IP angesprochen werden. Um dieses Vorhaben umzusetzen, wird die Funktion "Rule-Routing" genutzt. | ||
Als Beispiel soll der SBS mit der IP 203.0.113. | Als Beispiel soll der SBS mit der IP 203.0.113.203 immer über die Leitung wan0 geschickt werden. | ||
| Since data traffic always "jumps" from line to line in multipath routing, this can lead to errors in certain scenarios. For example, an external server must always be addressed via the same source IP. To implement this, the "rule routing" function is used. | | Since data traffic always "jumps" from line to line in multipath routing, this can lead to errors in certain scenarios. For example, an external server must always be addressed via the same source IP. To implement this, the "rule routing" function is used. | ||
As an example, the SBS with the IP 203.0.113. | As an example, the SBS with the IP 203.0.113.203 should always be sent via the line wan0. }} | ||
{{var | Schritt 1 - Netzwerkobjekt für den Server | {{var | Schritt 1 - Netzwerkobjekt für den Server | ||
| Schritt 1 - Netzwerkobjekt für den Server | | Schritt 1 - Netzwerkobjekt für den Server | ||
| Zeile 175: | Zeile 169: | ||
| First, a network object is created for the server so that it can be specified later in the rule.<br> In this example, the network object looks like this: }} | | First, a network object is created for the server so that it can be specified later in the rule.<br> In this example, the network object looks like this: }} | ||
{{var | Schritt 1 - Netzwerkobjekt für den Server--Bild | {{var | Schritt 1 - Netzwerkobjekt für den Server--Bild | ||
| UTM v12. | | UTM v12.5 Portfilter Netzwerkobjekt hinzufügen Server.png | ||
| UTM v12.5 Portfilter Netzwerkobjekt hinzufügen Server-en.png }} | |||
{{var | Schritt 1 - Netzwerkobjekt für den Server--cap | {{var | Schritt 1 - Netzwerkobjekt für den Server--cap | ||
| SBS-Netzwerkobjekt | | SBS-Netzwerkobjekt | ||
| Zeile 188: | Zeile 182: | ||
{{var | Schritt 2 - Regel anlegen--desc | {{var | Schritt 2 - Regel anlegen--desc | ||
| Nun kann mit dem Netzwerkobjekt eine Regel definiert werden. In der Regel muss dann das Rule-Routing angegeben werden und auf '''wan0''' gesetzt werden, damit der Server immer über diese Schnittstelle nach außen kommuniziert. | | Nun kann mit dem Netzwerkobjekt eine Regel definiert werden. In der Regel muss dann das Rule-Routing angegeben werden und auf '''wan0''' gesetzt werden, damit der Server immer über diese Schnittstelle nach außen kommuniziert. | ||
{{Hinweis- | {{Hinweis-box|Es muss unbedingt darauf geachtet werden, dass das Ziel-Netzwerkobjekt (Internet) mit dem HideNAT-Objekt (external-interface) und der Rule-Routing Schnittstelle (wan0) überein stimmt! Ansonsten funktioniert das Rule-Routing nicht. |g}} | ||
| Now a rule can be defined with the network object. In the rule, the rule routing must then be specified and set to '''wan0''' so that the server always communicates to the outside via this interface. | | Now a rule can be defined with the network object. In the rule, the rule routing must then be specified and set to '''wan0''' so that the server always communicates to the outside via this interface. | ||
{{Hinweis- | {{Hinweis-box| It is imperative that the destination network object (Internet) matches the HideNAT object (external-interface) and the rule routing interface (wan0)! Otherwise the rule routing will not work.|g}} }} | ||
{{var | Schritt 2 - Regel anlegen--Bild | {{var | Schritt 2 - Regel anlegen--Bild | ||
| UTM v12. | | UTM v12.5 Portfilter Regel hinzufügen LAN2.png | ||
| UTM v12. | | UTM v12.5 Portfilter Regel hinzufügen LAN2-en.png }} | ||
{{var | Schritt 2 - Regel anlegen--cap | {{var | Schritt 2 - Regel anlegen--cap | ||
| Rule-Routing-Regel | | Rule-Routing-Regel | ||
| Zeile 207: | Zeile 201: | ||
| Since the ruleset in the Securepoint UTM is processed from top to bottom, it is essential that the rule routing rule comes before the "global" rule. To be on the safe side, it is best to create a new rule group that is positioned at the top of the port filter. All rule routing rules are then created in this rule group and thus take effect first. }} | | Since the ruleset in the Securepoint UTM is processed from top to bottom, it is essential that the rule routing rule comes before the "global" rule. To be on the safe side, it is best to create a new rule group that is positioned at the top of the port filter. All rule routing rules are then created in this rule group and thus take effect first. }} | ||
{{var | Schritt 3 - Regel positionieren--Bild | {{var | Schritt 3 - Regel positionieren--Bild | ||
| UTM v12. | | UTM v12.5 Portfilter Rule-Routing.png | ||
| UTM v12. | | UTM v12.5 Portfilter Rule-Routing-en.png }} | ||
{{var | Schritt 3 - Regel positionieren--cap | {{var | Schritt 3 - Regel positionieren--cap | ||
| Positionierung | | Positionierung | ||
| Positioning }} | | Positioning }} | ||
| Zeile 240: | Zeile 234: | ||
| Choose a name }} | | Choose a name }} | ||
{{var | Netzwerk (Adresse) | {{var | Netzwerk (Adresse) | ||
| Netzwerk (Adresse) | |||
| Network (Address) }} | | Network (Address) }} | ||
{{var | Typ--desc | {{var | Typ--desc | ||
| Zeile 254: | Zeile 248: | ||
| Angelegte Zone auswählen | | Angelegte Zone auswählen | ||
| Select created zone }} | | Select created zone }} | ||
{{var | Kann | {{var | Kann frei bleiben | ||
| Kann | | Kann frei bleiben | ||
| Can remain blank }} | | Can remain blank }} | ||
{{var | Gruppen | {{var | Gruppen | ||
| Gruppen | |||
| Groups }} | | Groups }} | ||
{{var | Speichern | {{var | Speichern | ||
| Zeile 296: | Zeile 290: | ||
| IP-Adresse angeben | | IP-Adresse angeben | ||
| Specify IP address }} | | Specify IP address }} | ||
{{var | Als Zone internal auswählen | {{var | Als Zone internal auswählen | ||
| Als Zone "internal" auswählen | | Als Zone "internal" auswählen | ||
| Select "internal" as zone }} | | Select "internal" as zone }} | ||
| Zeile 308: | Zeile 302: | ||
| Als Ziel das "Internet" angeben | | Als Ziel das "Internet" angeben | ||
| Specify the "Internet" as the destination }} | | Specify the "Internet" as the destination }} | ||
{{var | | {{var | default internet wählen | ||
| "default-internet" wählen | |||
| choose }} | | choose "default-internet" }} | ||
{{var | Accept auswählen | {{var | Accept auswählen | ||
| "Accept" auswählen | | "Accept" auswählen | ||
| Choose "Accept"}} | | Choose "Accept" }} | ||
{{var | Rule-Routing auswählen | {{var | Rule-Routing auswählen | ||
| "Rule-Routing" auswählen | | "Rule-Routing" auswählen | ||
UTM/NET/Mutlipathrouting.lang: Unterschied zwischen den Versionen
Aus Securepoint Wiki