KKeine Bearbeitungszusammenfassung |
Maltea (Diskussion | Beiträge) Keine Bearbeitungszusammenfassung |
||
| (Eine dazwischenliegende Version von einem anderen Benutzer wird nicht angezeigt) | |||
| Zeile 6: | Zeile 6: | ||
| Anbindung von Drittanbieter Routern - Best Practice | | Anbindung von Drittanbieter Routern - Best Practice | ||
| Integration of third party routers - Best Practice }} | | Integration of third party routers - Best Practice }} | ||
{{var | | {{var | head | ||
| Vorschlag zur Integration von Routern von Dienstanbietern | | Vorschlag zur Integration von Routern von Dienstanbietern | ||
| Suggestion for the integration of service provider routers }} | | Suggestion for the integration of service provider routers }} | ||
{{var | Ausgangslage | {{var | Ausgangslage | ||
| Ausgangslage | | Ausgangslage | ||
| Zeile 22: | Zeile 19: | ||
| Routing issues }} | | Routing issues }} | ||
{{var | Probleme--desc | {{var | Probleme--desc | ||
| Wird der Router einfach mit in das interne Netz aufgenommen, dann ergibt sich zunächst ein Routing- Problem: <br>Verbindungen in das Netzwerk des Drittanbieters müssen über diesen Router gehen. Ein lokales Routing auf den Geräten des Netzwerks kommt nicht in Frage. Ein Routing über die Firewall ist ebenfalls problematisch. | | Wird der Router einfach mit in das interne Netz aufgenommen, dann ergibt sich zunächst ein Routing- Problem:<br> Verbindungen in das Netzwerk des Drittanbieters müssen über diesen Router gehen. Ein lokales Routing auf den Geräten des Netzwerks kommt nicht in Frage. Ein Routing über die Firewall ist ebenfalls problematisch.<br><br> Beim Herstellen einer TCP-Verbindung ergibt sich hier ein ''asynchrones Routing'': <br>Wird von einem Gerät eine solche Verbindung initiiert, wird das SYN-Paket des TCP-Dreiwege- Handshakes zunächst zur UTM und dann über den Router des Drittanbieters geroutet. Das SYN/ACK-Paket des Responders aus dem Netz des Drittanbieters wird hingegen vom Router direkt an den Initiator zugestellt und nicht über die UTM. Das dritte Paket des Dreiwege-Handshakes (ACK) geht wieder über die UTM und wird dort vom Paketfilter aufgrund eines unplausiblen Status verworfen (Stateful Inspection). | ||
| If the router is simply included in the internal network, then initially a routing problem arises: <br>Connections to the third-party network must go through this router. Local routing on the network devices is not an option. Routing via the firewall is also problematic.<br><br> When establishing a TCP connection, this results in ''asynchronous routing'': <br>If such a connection is initiated by a device, the SYN packet of the TCP three-way handshake is first routed to the UTM and then via the third-party router. The SYN/ACK packet of the responder from the third-party network, on the other hand, is delivered by the router directly to the initiator and not via the UTM. The third packet of the three-way handshake (ACK) goes via the UTM again and is discarded there by the packet filter due to an implausible status (stateful inspection). }} | |||
Beim Herstellen einer TCP-Verbindung ergibt sich hier ein ''asynchrones Routing'': <br>Wird von einem Gerät eine solche Verbindung initiiert, wird das SYN-Paket des TCP-Dreiwege- Handshakes zunächst zur UTM und dann über den Router des Drittanbieters geroutet. Das SYN/ACK-Paket des Responders aus dem Netz des Drittanbieters wird hingegen vom Router direkt an den Initiator zugestellt und nicht über die UTM. Das dritte Paket des Dreiwege-Handshakes (ACK) geht wieder über die UTM und wird dort vom Paketfilter aufgrund eines unplausiblen Status verworfen (Stateful Inspection). | |||
| If the router is simply included in the internal network, then initially a routing problem arises: <br>Connections to the third-party network must go through this router. Local routing on the network devices is not an option. Routing via the firewall is also problematic. | |||
When establishing a TCP connection, this results in ''asynchronous routing'': <br>If such a connection is initiated by a device, the SYN packet of the TCP three-way handshake is first routed to the UTM and then via the third-party router. The SYN/ACK packet of the responder from the third-party network, on the other hand, is delivered by the router directly to the initiator and not via the UTM. The third packet of the three-way handshake (ACK) goes via the UTM again and is discarded there by the packet filter due to an implausible status (stateful inspection). }} | |||
{{var | Probleme--Bild | {{var | Probleme--Bild | ||
| Fremdrouter-08.png <!-- Drittanbieter-Router Asynchron.png --> | | Fremdrouter-08.png <!-- Drittanbieter-Router Asynchron.png --> | ||
| Zeile 49: | Zeile 42: | ||
| Fremdrouter-09.png <!-- Drittanbieter-Router.png --> | | Fremdrouter-09.png <!-- Drittanbieter-Router.png --> | ||
| Fremdrouter-09.png <!-- Drittanbieter-Router.png --> }} | | Fremdrouter-09.png <!-- Drittanbieter-Router.png --> }} | ||
{{var | Vorgehensweise | {{var | Vorgehensweise | ||
| Vorgehensweise | | Vorgehensweise | ||
| Approach }} | | Approach }} | ||
{{var | Vorgehensweise--desc | {{var | Vorgehensweise--desc | ||
| * Voraussetzungen: | | | ||
* Voraussetzungen: | |||
** Gegeben sei ein internes Netzwerk 10.0.0.0/24 an LAN2. | ** Gegeben sei ein internes Netzwerk 10.0.0.0/24 an LAN2. | ||
** Es ist eine weitere Schnittstelle an der UTM verfügbar, die bisher noch nicht genutzt wurde (LAN3) | ** Es ist eine weitere Schnittstelle an der UTM verfügbar, die bisher noch nicht genutzt wurde (LAN3) | ||
<br> | |||
* Ziel: | * Ziel: | ||
** Über den Router eines Dienstanbieters soll die Verbindung in ein privates Subnetz 172.16.0.0/16 hergestellt werden. | ** Über den Router eines Dienstanbieters soll die Verbindung in ein privates Subnetz 172.16.0.0/16 hergestellt werden. | ||
<br> | |||
* Vorgehen: | * Vorgehen: | ||
** Die ungenutzte Schnittstelle (LAN3) soll das Subnetz 10.0.1.0/24 mit der IP 10.0.1.1 bekommen. | ** Die ungenutzte Schnittstelle (LAN3) soll das Subnetz 10.0.1.0/24 mit der IP 10.0.1.1 bekommen. | ||
** Der Router des Dienstanbieters erhält die IP 10.0.1.100 | ** Der Router des Dienstanbieters erhält die IP 10.0.1.100 | ||
** Um die Einbindung des Routers zu vereinfachen soll die UTM in diesem Subnetz als DHCP-Server dienen. <br>Hierzu soll ein fester Lease für das Router-Interface mit der IP 10.0.1.100 konfiguriert werden. | ** Um die Einbindung des Routers zu vereinfachen soll die UTM in diesem Subnetz als DHCP-Server dienen. <br>Hierzu soll ein fester Lease für das Router-Interface mit der IP 10.0.1.100 konfiguriert werden. | ||
| * Prerequisites: | | | ||
* Prerequisites: | |||
** Specify an internal network 10.0.0.0/24 on LAN2. | ** Specify an internal network 10.0.0.0/24 on LAN2. | ||
** There is another interface available on the UTM that has not been used yet (LAN3) | ** There is another interface available on the UTM that has not been used yet (LAN3) | ||
<br> | |||
* Objective: | * Objective: | ||
** A service provider's router is to be used to connect to a private subnet 172.16.0.0/16 | ** A service provider's router is to be used to connect to a private subnet 172.16.0.0/16 | ||
<br> | |||
* Approach: | * Approach: | ||
** The unused interface (LAN3) should get the subnet 10.0.1.0/24 with the IP 10.0.1.1 | ** The unused interface (LAN3) should get the subnet 10.0.1.0/24 with the IP 10.0.1.1 | ||
| Zeile 82: | Zeile 74: | ||
| Network configuration }} | | Network configuration }} | ||
{{var | Netzwerkkonfiguration--desc | {{var | Netzwerkkonfiguration--desc | ||
| Zur Konfiguration von LAN3 wird unter {{Menu|Netzwerk|Netzwerkkonfiguration}} die Netzwerkkonfiguration und dann das Interface LAN3 zur Bearbeitung {{Button||w}} geöffnet. Unter „IP- Adressen“ wird nun die IP 10.0.1.1/24 eingetragen und gespeichert. | | Zur Konfiguration von LAN3 wird unter {{Menu-UTM|Netzwerk|Netzwerkkonfiguration}} die Netzwerkkonfiguration und dann das Interface LAN3 zur Bearbeitung {{Button||w}} geöffnet. Unter „IP- Adressen“ wird nun die IP 10.0.1.1/24 eingetragen und gespeichert. | ||
| For the configuration of LAN3 the network configuration is opened under {{Menu|Network|Network configuration}} and then the interface LAN3 for editing {{Button||w}}. Under "IP addresses" the IP 10.0.1.1/24 is now entered and saved. }} | | For the configuration of LAN3 the network configuration is opened under {{Menu-UTM|Network|Network configuration}} and then the interface LAN3 for editing {{Button||w}}. Under "IP addresses" the IP 10.0.1.1/24 is now entered and saved. }} | ||
{{var | Netzwerkkonfiguration--Bild | {{var | Netzwerkkonfiguration--Bild | ||
| | | UTM v12.6 Szenario Drittanbieter-Router Schnittstelle LAN3 bearbeiten.png | ||
| | | UTM v12.6 Szenario Drittanbieter-Router Schnittstelle LAN3 bearbeiten-en.png }} | ||
{{var | Netzwerkkonfiguration--cap | {{var | Netzwerkkonfiguration--cap | ||
| Konfiguration der DMZ-Schnittstelle | | Konfiguration der DMZ-Schnittstelle | ||
| Configuration of DMZ interface }} | | Configuration of DMZ interface }} | ||
{{var | Ethernet-Schnittstelle bearbeiten | |||
| Ethernet-Schnittstelle bearbeiten | |||
| Edit Ethernet interface }} | |||
{{var | Netzwerk | |||
| Netzwerk | |||
| Network }} | |||
{{var | IP- Adressen | {{var | IP- Adressen | ||
| IP-Adressen: | | IP-Adressen: | ||
| Zeile 97: | Zeile 95: | ||
| Create DHCP pool }} | | Create DHCP pool }} | ||
{{var | DHCP-Pool--desc | {{var | DHCP-Pool--desc | ||
| Es wird ein DHCP-Pool für dynamische Adressen vergeben. <br> | | Es wird ein DHCP-Pool für dynamische Adressen vergeben. <br>Dies ist unter {{Menu-UTM|Netzwerk|Netzwerkkonfiguration|DHCP- Pools|Pool hinzufügen|+}} möglich. Die Konfigurationen sollten wie folgt getroffen werden: | ||
| A DHCP pool for dynamic addresses | | A DHCP pool is assigned for dynamic addresses.<br> This is possible under {{Menu-UTM|Network|Network configuration|DHCP- Pools|Add pool|+}}. The configurations should be made as follows: }} | ||
{{var | DHCP-Pool--Bild | {{var | DHCP-Pool--Bild | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router DHCP-Pool.png | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router DHCP-Pool-en.png }} | ||
{{var | DHCP-Pool--cap | {{var | DHCP-Pool--cap | ||
| Konfigurierter DHCP-Pool | | Konfigurierter DHCP-Pool | ||
| Zeile 120: | Zeile 118: | ||
| Letzte IP-Adresse, die per DHCP vergeben werden kann | | Letzte IP-Adresse, die per DHCP vergeben werden kann | ||
| Last IP address that can be assigned via DHCP }} | | Last IP address that can be assigned via DHCP }} | ||
{{var | Nameserver--desc | {{var | Nameserver--desc | ||
| Als Nameserver dient die UTM selbst, also die IP der zugehörigen Schnittstelle | | Als Nameserver dient die UTM selbst, also die IP der zugehörigen Schnittstelle | ||
| The UTM itself serves as the name server, i.e. the IP of the associated interface }} | | The UTM itself serves as the name server, i.e. the IP of the associated interface }} | ||
{{var | Router--desc | {{var | Router--desc | ||
| Als Router dient die UTM selbst, also die IP der zugehörigen Schnittstelle | | Als Router dient die UTM selbst, also die IP der zugehörigen Schnittstelle | ||
| The UTM itself serves as the router, i.e. the IP of the associated interface }} | | The UTM itself serves as the router, i.e. the IP of the associated interface }} | ||
{{var | Schritt1--Bild | {{var | Schritt1--Bild | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router DHCP-Pool hinzufuegen Schritt 1.png | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router DHCP-Pool hinzufuegen Schritt 1-en.png }} | ||
{{var | Pool hinzufügen | |||
| Pool hinzufügen | |||
| Add pool }} | |||
{{var | Schritt2--Bild | {{var | Schritt2--Bild | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router DHCP-Pool hinzufuegen Schritt 2.png | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router DHCP-Pool hinzufuegen Schritt 2-en.png}} | ||
{{var | Schritt3--Bild | {{var | Schritt3--Bild | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router DHCP-Pool hinzufuegen Schritt 3.png | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router DHCP-Pool hinzufuegen Schritt 3-en.png }} | ||
{{var | Lease hinzufügen | {{var | Lease hinzufügen | ||
| Lease hinzufügen | | Lease hinzufügen | ||
| Zeile 154: | Zeile 143: | ||
| In the {{Reiter|Static DHCP}} tab, the {{Button|Add Lease|+}} button adds a fixed lease for the router. }} | | In the {{Reiter|Static DHCP}} tab, the {{Button|Add Lease|+}} button adds a fixed lease for the router. }} | ||
{{var | Lease hinzufügen--Bild | {{var | Lease hinzufügen--Bild | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router Lease hinzufuegen.png | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router Lease hinzufuegen-en.png }} | ||
{{var | Lease hinzufügen--cap | {{var | Lease hinzufügen--cap | ||
| Statische IP-Adresse für den Router des Diensteanbieters | | Statische IP-Adresse für den Router des Diensteanbieters | ||
| Zeile 175: | Zeile 164: | ||
| The UTM must have a route into the service provider's network through this router. <br>Under the {{Reiter|Routing}} tab and after pressing the {{Button|Add Route|+}} button, the following is configured: }} | | The UTM must have a route into the service provider's network through this router. <br>Under the {{Reiter|Routing}} tab and after pressing the {{Button|Add Route|+}} button, the following is configured: }} | ||
{{var | Route hinzufügen--Bild | {{var | Route hinzufügen--Bild | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router Route hinzufuegen.png <!-- Fremdrouter-04.png --> | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router Route hinzufuegen-en.png }} | ||
{{var | Quellnetzwerk | {{var | Quellnetzwerk | ||
| Quellnetzwerk: | | Quellnetzwerk: | ||
| Zeile 186: | Zeile 172: | ||
| Die Angabe eines Quellnetzwerks ist nicht erforderlich. | | Die Angabe eines Quellnetzwerks ist nicht erforderlich. | ||
| It is not necessary to specify a source network. }} | | It is not necessary to specify a source network. }} | ||
{{var | Gateway-IP--desc | {{var | Gateway-IP--desc | ||
| IP des Routers des Diensteanbieters | | IP des Routers des Diensteanbieters | ||
| IP of the service provider's router }} | | IP of the service provider's router }} | ||
{{var | Gateway | {{var | Gateway Typ | ||
| Gateway | | Gateway Typ | ||
| Gateway | | Gateway Type }} | ||
{{var | Gateway | {{var | Gateway Typ--desc | ||
| | | Der Typ des Gateways | ||
| | | The type of gateway }} | ||
{{var | Zielnetzwerk | {{var | Zielnetzwerk | ||
| Zielnetzwerk | | Zielnetzwerk | ||
| Zeile 207: | Zeile 190: | ||
| Gewichtung | | Gewichtung | ||
| Weight }} | | Weight }} | ||
{{var | Regelwerk | {{var | Regelwerk | ||
| Regelwerk | | Regelwerk | ||
| Rulebook }} | | Rulebook }} | ||
{{var | Regelwerk--desc | {{var | Regelwerk--desc | ||
| Zur Gestaltung des Regelwerks werden zwei Netzwerkobjekte gebraucht.<br>Für den Router: | | Zur Gestaltung des Regelwerks werden zwei Netzwerkobjekte gebraucht. Diese können unter {{Menu-UTM|Firewall|Netzwerkobjekte||Objekt hinzufügen|+}} hinzugefügt werden.<br> Für den Router: | ||
| Two network objects are needed to design the rule book.<br>For the router: }} | | Two network objects are needed to design the rule book. These can be added under {{Menu-UTM|Firewall|Network objects||Add object|+}}.<br> For the router: }} | ||
{{var | Netzwerkobjekt Router--Bild | {{var | Netzwerkobjekt Router--Bild | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router Netzwerkobjekt Dienstanbierter-Router hinzufuegen.png <!-- Fremdrouter-05.png --> | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router Netzwerkobjekt Dienstanbierter-Router hinzufuegen-en.png }} | ||
{{var | Netzwerkobjekt Router--cap | {{var | Netzwerkobjekt Router--cap | ||
| Netzwerkobjekt für den Router | | Netzwerkobjekt für den Router | ||
| Network object for the router }} | | Network object for the router }} | ||
{{var | Netzwerkobjekt hinzufügen | |||
| Netzwerkobjekt hinzufügen | |||
| Add network object }} | |||
{{var | Netzwerkobjekt Netzwerk Diensteanbieter--Bild | {{var | Netzwerkobjekt Netzwerk Diensteanbieter--Bild | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router Netzwerkobjekt Dienstanbierter-Netzwerk hinzufuegen.png <!-- Fremdrouter-06.png --> | ||
| UTM v12. | | UTM v12.6 Szenario Drittanbieter-Router Netzwerkobjekt Dienstanbierter-Netzwerk hinzufuegen-en.png }} | ||
{{var | Netzwerkobjekt Netzwerk Diensteanbieter--cap | {{var | Netzwerkobjekt Netzwerk Diensteanbieter--cap | ||
| | | Netzwerkobjekt für das Netzwerk | ||
| | | Network object for the network }} | ||
{{var | Name--Netzwerkobjekt-Router--val | {{var | Name--Netzwerkobjekt-Router--val | ||
| Diensteanbieter Router | | Diensteanbieter Router | ||
| Zeile 243: | Zeile 226: | ||
| Typ: | | Typ: | ||
| Type: }} | | Type: }} | ||
{{var | Typ--Netzwerk--val | {{var | Typ--Netzwerk--val | ||
| Netzwerk (Adresse) | | Netzwerk (Adresse) | ||
| Network (address) }} | | Network (address) }} | ||
{{var | Adresse | {{var | Adresse | ||
| Adresse | | Adresse | ||
| Zeile 261: | Zeile 235: | ||
| IP-Adresse, die als Static Lease per DHCP an den Router des Diensteanbieters vergeben wurde | | IP-Adresse, die als Static Lease per DHCP an den Router des Diensteanbieters vergeben wurde | ||
| IP address assigned as a static lease via DHCP to the service provider's router. }} | | IP address assigned as a static lease via DHCP to the service provider's router. }} | ||
{{var | Gruppen | {{var | Gruppen | ||
| Gruppen: | | Gruppen: | ||
| Zeile 279: | Zeile 247: | ||
| Für das Netzwerk des Diensteanbieters: | | Für das Netzwerk des Diensteanbieters: | ||
| For the service provider's network: }} | | For the service provider's network: }} | ||
{{var | Quelle | Quelle | Quelle }} | {{var | Quelle | ||
{{var | Ziel | Ziel | Target }} | | Quelle | ||
{{var | Dienst | Dienst | Service }} | | Quelle }} | ||
{{var | Aktion | Aktion | Action }} | {{var | Ziel | ||
{{var | Aktiv | Aktiv | Active }} | | Ziel | ||
| Target }} | |||
{{var | Dienst | |||
| Dienst | |||
| Service }} | |||
{{var | Aktion | |||
| Aktion | |||
| Action }} | |||
{{var | Aktiv | |||
| Aktiv | |||
| Active }} | |||
{{var | Freigabe der IPSec-Verbindung--desc | {{var | Freigabe der IPSec-Verbindung--desc | ||
| Freigabe der IPSec-Verbindung | | Freigabe der IPSec-Verbindung | ||
| Zeile 300: | Zeile 278: | ||
* Die Verbindung erfolgt über IPSec | * Die Verbindung erfolgt über IPSec | ||
* Im Netzwerk des Diensteanbieters sollen verschiedene Terminalserver über das RDP-Protokoll erreicht werden | * Im Netzwerk des Diensteanbieters sollen verschiedene Terminalserver über das RDP-Protokoll erreicht werden | ||
| The required port filter rules depend on which VPN method the router uses and which services are required within the secured connection. | | The required port filter rules depend on which VPN method the router uses and which services are required within the secured connection. <br>Assumptions for this example: | ||
<br>Assumptions for this example: | |||
* The connection is established via IPSec | * The connection is established via IPSec | ||
* In the service provider's network, various terminal servers are to be reached via the RDP protocol }} | * In the service provider's network, various terminal servers are to be reached via the RDP protocol }} | ||
| Zeile 310: | Zeile 287: | ||
| Durch die Integration des Diensteanbieter-Routers in die DMZ wurden sämtliche beschriebenen Routing-Probleme beseitigt und gleichzeitig die Kontrolle über sämtliche Verbindungen in und aus dem eigenen Netzwerk beibehalten. | | Durch die Integration des Diensteanbieter-Routers in die DMZ wurden sämtliche beschriebenen Routing-Probleme beseitigt und gleichzeitig die Kontrolle über sämtliche Verbindungen in und aus dem eigenen Netzwerk beibehalten. | ||
| By integrating the service provider router into the DMZ, all of the routing issues described above were eliminated while maintaining control over all connections into and out of its own network. }} | | By integrating the service provider router into the DMZ, all of the routing issues described above were eliminated while maintaining control over all connections into and out of its own network. }} | ||
{{var | | |||
| | |||
| }} | |||
---- | ---- | ||
UTM/NET/Szenario Drittanbieter-Router.lang: Unterschied zwischen den Versionen
Aus Securepoint Wiki