UTM/VPN/Netmap v11.8.7: Unterschied zwischen den Versionen

Version vom 23. Dezember 2019, 14:26 Uhr

Verbinden von VPN-Netzen mit den gleichen Broadcast-Domains (IP-Bereiche)

Letzte Anpassung zur Version: 11.8.7

Änderungen:

Zone des Remote-Netzes korrigiert
Layoutanpassung

Vorherige Versionen: 11.7

Sollten auf beiden Seiten einer VPN Verbindung die gleichen Subnetze eingesetzt werden, ist es normalerweise nicht möglich diese Verbindung einzurichten.
Weiterhin kann es passieren, dass hinter verschiedenen Gegenstellen die gleichen Netzwerke eingerichtet sind.
Mit dem NAT-Typ NETMAP und Hilfsnetzwerken (Mapnetz) die auf keinen der zu verbindenden Gegenstellen eingerichtet sind, können diese Verbindungen trotzdem erstellt werden, ohne auf eine der Seiten das Subnetz komplett zu ändern.

NATen von kompletten Subnetzen mit NETMAP

Vorbereitungen

Netzwerkobjekt auf Adresse umstellen

Zentrale & Filiale
Zur Nutzung der NETMAP Funktion sind folgende Bedingungen zu beachten:

Die Subnetze der am NETMAP beteiligten Objekte müssen alle die gleiche Größe haben, zum Beispiel alle /24.

Alle beteiligten Objekte müssen eine definierte Netzwerk IP-Adresse eingetragen haben. Es dürfen also keine Schnittstellen ausgewählt werden.

Überprüfung des Netzwerkobjektes des internen Netzwerkes und gegebenenfalls Umstellung auf Adresse, indem der Radio-Button vor Adresse aktiviert und die Netzwerk-Adresse mit der entsprechenden Subnetzmaske in das Feld eintragen wird. In diesem Beispiel haben wir das Netzwerk 172.16.3.0/24 auf beiden Seiten.

Ausgangslage:

Zentrale und Filiale haben das gleiche Subnetz

In diesem Fall muss das Mapping auf beiden Seiten der Verbindung eingerichtet werden.

	Lokales Netz	Öffentliche IP	Netmap
Zentrale	172.16.3.0/24	192.0.2.192	10.0.1.0/24
Filiale	172.16.3.0/24	192.0.2.193	10.0.2.0/24

Die Verbindung soll über IPSec hergestellt werden.

Netzwerkobjekte erstellen

Netzwerkobjekt in der Zentrale für das eigene Netz (Mapnetz Lokal)

Netzwerkobjekt in der Zentrale für das Filial-Netz (Mapnetz Remote)

Es müssen in der Zentrale zwei Netzwerkobjekte mit Netzwerken erstellt werden, die weder in der Zentrale noch in der Filiale eingerichtet sind.
Zentrale
→ Firewall →Portfilter → Netzwerkobjekte → Objekt hinzufügen

Das Netzwerkobjekt für das (entfernte) Mapnetz der Filiale muss vom Typ Netzwerk (Adresse) sein.

Bei IPSec-Verbindungen, muss sich das Netzwerkobjekt in der Zone befinden.

Bei SSL-VPN-Verbindungen muss zuerst eine Verbindung angelegt werden.
Dabei wird ein Zone VPN-SSL-Verbindungsname angelegt.
Das Netzwerkobjekt muss dann mit dieser Zone angelegt werden.

Das Netzwerkobjekt erhält in unserem Beispiel die Netzwerkadresse 10.0.2.0/24

Das Netzwerkobjekt für das (eigene) Mapnetz der Zentrale muss sich in der Zone des internen Netzwerkes befinden und bekommt in unserem Beispiel die Netzwerkadresse 10.0.1.0/24

Netzwerkobjekt in der Filiale für das eigene Netz

Netzwerkobjekt in der Filiale für das Netz der Zentrale

Filiale
Auf der Seite der Filiale werden ebenfalls zwei Netzwerkobjekte erstellt.
Dort ist das Netzwerk 10.0.1.0/24, das Mapnetz der Zentrale, das sich in der Zone external befindet und das Netzwerk 10.0.2.0/24, das Mapnetz der Filiale, das mit der Zone des internen Netzwerkes internal angelegt wird.

NETMAP Regel anlegen

NETMAP Portfilterregel
Das Mapnetz kann als

Netzwerkobjekt

nicht ausgewählt werden, wenn es noch mit einer Schnittstelle anstatt mit einer IP-Adresse verknüpft ist.

Es müssen auf jeder Seite, je nach Nutzungsszenario, Portfilterregeln erstellt werden.

Auf der Seite der Zentrale für ausgehenden Netzwerkverkehr
Quelle	internal network
Ziel	Mapnetz der Filiale
Dienst	Dienst der gemappt werden soll
[–] NAT Typ	NETMAP
Netzwerkobjekt	Mapnetz der Zentrale
Auf der Seite der Zentrale für Netzwerkverkehr, der von der Gegenstelle initiiert wird
Quelle	Mapnetz der Filiale
Ziel	internal network
Dienst	benötigter Dienst
[–] NAT Typ	Hierfür wird kein NAT vom Typ NETMAP mehr benötigt

Auf der Seite der Filiale für ausgehenden Netzwerkverkehr
Quelle	Internes Netzwerk
Ziel	Mapnetz der Zentrale
Dienst	Dienst der gemappt werden soll
[–] NAT Typ	NETMAP
Netzwerkobjekt	Mapnetz der Filiale
Auf der Seite der Filiale für Netzwerkverkehr, der von der Gegenstelle initiiert wird
Quelle	Mapnetz der Zentrale
Ziel	Internes Netzwerk
Dienst	Dienst der gemappt werden soll
[–] NAT Typ	Hierfür wird kein NAT vom Typ NETMAP mehr benötigt

VPN-Verbindung anlegen

Zentrale

Zentrale Schritt 4 mit remote Mapnetz der Filiale

Zentrale Schritt 3 mit lokalem Mapnetz der Zentrale

Anlegen einer IPSec-Site-to-Site VPN-Verbindung, wie im Wiki beschrieben im Menü → VPN →IPSec mit der Schaltfläche + IPSec-Verbindung hinzugügen.

In Schritt 3 muss das lokale Mapnetz freigegeben werden
in Schritt 4 das remote Mapnetz.

Filiale

Filiale Schritt 4 mit remote Mapnetz der Zentrale

Filiale Erreichbarkeit von Hosts der Gegenstelle

Anlegen einer IPSec-Site-to-Site VPN-Verbindung, wie im Wiki beschrieben im Menü → VPN →IPSec mit der Schaltfläche + IPSec-Verbindung hinzugügen.

In Schritt 3 muss das lokale Mapnetz freigegeben werden
in Schritt 4 das remote Mapnetz.

Erreichbarkeit von Hosts der Gegenstelle

Ein Rechner mit der IP-Adresse 172.16.3.10 in der Filiale wird von der Zentrale aus mit der IP-Adresse 10.0.2.10 angesprochen.
Einen Rechner mit der IP-Adresse 172.16.3.120 in der Zentrale wird von der Filiale aus mit der IP-Adresse 10.0.1.120 angesprochen.

Mehrere Filialen haben das gleiche Subnetz

Ausgangslage:

	Lokales Netz	Öffentliche IP	Netmap
Zentrale	172.16.0.0/24	192.0.2.192	nicht erforderlich
Filiale 1:	172.16.3.0/24	192.0.2.193	nicht erforderlich
Filiale 2:	172.16.3.0/24	192.0.2.194	10.0.1.0/24

Hierbei wird das Mapping nur auf den Filialen eingerichtet, die das gleiche Netzwerk nutzen wie auf einer schon eingerichteten VPN-Verbindung. In der Zentrale wird kein Mapping benötigt, sofern sich das interne Netz der Zentrale von denen der Filialen unterscheidet. Ebenfalls kann in einer Filiale das vorhandene Netz ohne Mapping verwendet werden.

Netzwerkobjekte erstellen

Netzwerkobjekt in den Filialen für das Netz der Zentrale. Es kann direkt das Subnetz der Zentrale verwendet werden.

In Filiale 1 (und in jeder anderen Filiale, die ein ansonsten ungenutzes Subnetz verwendet) wird ein IPSec-Netzwerkobjekt für die Zentrale eingerichtet.
Das Netzwerkobjekt für das Netz der Gegenstelle muss sich in der Zone vpn-ipsec befinden und hat in unserem Beispiel die Netzwerkadresse 172.16.0.0/24.

Netzwerkobjekt in der Filiale 2 für das eigene Mapnetz (Lokal). So wird die Filiale 2 für die Zentrale gemapt.

Netzwerkobjekt in der Filiale 2 für das Netz der Zentrale

In der Filiale 2 (und in jeder weiteren Filiale, die ein bereits genutztes Subnetz verwendet) erhält das Netzwerk der Zentrale die Zone external

Das ermöglicht den Paketen, vor dem Verlassen der Schnittstelle gemapt zu werden!

. Zusätzlich wird ein zweites Netzwerkobjekt für das eigene Subnetz erstellt, das gemapt wird.

Das Mapnet darf weder in der Filiale, noch in der Zentrale, noch auf einer der anderen Filialen die per VPN Verbindungen an die Zentrale angebunden sind, genutzt werden.
Das Netzwerkobjekt für das Mapnetz in der Filiale muss sich in der Zone des internen Netzwerkes befinden und bekommt in unserem Beispiel die Netzwerkadresse 10.0.1.0/24. (weitere Filialen erhalten an dieser Stelle ein anderes Mapnet!)

NETMAP Regel anlegen

NETMAP Portfilterregel

Portfilterregeln in der Filiale 2 (und in jeder weiteren Filiale, die ein bereits genutztes Subnetz verwendet)

Auf der Seite der Filiale 2
Quelle	Internes Netzwerk
Ziel	IPSec-Netz der Zentrale
Dienst	benötigter Dienst
[–] NAT Typ	NETMAP
Netzwerkobjekt	Lokales Mapnetz der Filiale 2

VPN-Verbindung anlegen

Schritt 4 mit Remotenetz

Schritt 3 in Filiale 2 mit lokalem Mapnetz

Anlegen einer IPSec-Site-to-Site VPN-Verbindung, wie im Wiki beschrieben im Menü → VPN →IPSec mit der Schaltfläche + IPSec-Verbindung hinzugügen.

Filiale 1

In Schritt 3 muss das lokale Netz (ohne mapping) freigegeben werden.
Im Beispiel:»172.16.3.0/24

Filiale 2 (und ggf. weitere Filialen)

In Schritt 3 muss das lokale Mapnetz freigegeben werden.
Im Beispiel: »10.0.1.0/24

jede Filiale

in Schritt 4 wird das direkte Remote-Netz der Zentrale (ohne mapping) freigegeben.
Im Beispiel: »172.16.0.0/24

Zentrale

Es wird für jede Filiale eine Verbindung benötigt.
In Schritt 3 muss das lokale Netz freigegeben werden.
Im Beispiel: »172.16.0.0/24
in Schritt 4 wird das gemapte Remote-Netz der entsprechenden Filiale freigegeben.
Im Beispiel: »10.0.1.0/24

Portfilterregeln

Zwei Möglichkeiten stehen zur Verfügung:

Zentrale & jede Filiale

Menü → Firewall →Implizite Regeln → Gruppe IpsecTraffic → Regel Acceppt Ein

In diesem Falle werden Regeln im Hintergrund angelegt, die alle Dienste für alle Rechner auf beiden Seiten zulassen. (Default)

UTM v11.8.7 Firewall Portfilter Regel Netmap-Filiale2.png

Besser: Eigene Portfilterregeln, die nur die Dienste zuzulassen, die auch benötigt werden.
Dazu wird im Menü → Firewall →Implizite Regeln im Abschnitt IpsecTraffic die Option Accept deaktiviert Aus und Portfilterregeln manuell angelegt.
Beispiel:

Auf der Seite der Zentrale
Quelle	mapnet_remotenet_Filiale1 (Mapnetz der VPN Gegenstelle)
Ziel	internal network
Dienst	benötigter Dienst
Es wird für jede Filiale eine Verbindung benötigt. Hierfür wird kein NAT vom Typ NETMAP mehr benötigt .

Auf der Seite der Filiale
Quelle	ipsec_remotenet (Netz der Zentrale)
Ziel	internal network
Dienst	benötigter Dienst

Erreichbarkeit von Hosts der Gegenstelle

Ein Rechner mit der IP-Adresse 172.16.3.10 in der Filiale 1 wird von der Zentrale aus mit eben dieser IP-Adresse (172.1.6.3.10) angesprochen.
Ein Rechner mit der IP-Adresse 172.16.3.10 in der Filiale 2 wird von der Zentrale aus mit der gemapten IP-Adresse 10.0.1.10 angesprochen.
Einen Rechner mit der IP-Adresse 172.16.0.120 in der Zentrale wird von der Filiale aus mit der IP-Adresse 172.16.0.120 angesprochen.

@@ Zeile 1: / Zeile 1: @@
 {{Set_lang}}
+{{#vardefine:headerIcon| spicon-utm }}
 {{var|display|NETMAP
@@ Zeile 93: / Zeile 95: @@
 	| Creating a NETMAP Rule}}
 {{var|44| UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Zentrale.png
-	|  UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Zentrale-en.png }}
+	| UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Zentrale-en.png }}
-{{var|45| NETMAP Portfilterregel
+{{var|45| NETMAP Portfilterregel<br>{{Hinweis|!|r}}Das Mapnetz kann als {{Kasten|Netzwerkobjekt}} nicht ausgewählt werden, wenn es noch mit einer Schnittstelle anstatt mit einer [[#Vorbereitungen | IP-Adresse verknüpft ist.]]
 	| NETMAP Port Filter Rule }}
-{{var|46| Es muss auf jeder Seite eine Portfilterregel anhand der Netzwerkobjekte erstellt werden.
+{{var|46| Es müssen auf jeder Seite, je nach Nutzungsszenario, Portfilterregeln erstellt werden.
-	| A port filter rule must be created on each side based on the network objects.}}
+	| Port filter rules must be created on each page, depending on the usage scenario. }}
 {{var|47| Auf der Seite der
 	| On the side of the }}
+{{var|ausg| für ausgehenden Netzwerkverkehr
+	  | for outgoing network traffic }}
+{{var|eing| für Netzwerkverkehr, der von der Gegenstelle initiiert wird
+	  | for network traffic initiated by the remote peer }}
 {{var|48| Quelle
 	| Source }}
@@ Zeile 106: / Zeile 112: @@
 {{var|50| Mapnetz der Filiale
 	| Map network of the branch }}
+{{var|50b| Lokales Mapnetz der Filiale
+	 | Local map network of the branch }}
 {{var|51| Dienst
 	| Service }}
@@ Zeile 164: / Zeile 172: @@
 {{var|78| nicht erforderlich
 	| not required }}
-{{var|79| Hierbei wird das Mapping nur auf den Filialen eingerichtet, die das gleiche Netzwerk nutzen wie auf einer schon eingerichteten VPN-Verbindung. In der Zentrale wird kein Mapping benötigt, sofern sich das interne Netz der Zentrale von denen der Filiale unterscheidet. Ebenfalls kann in einer Filiale das vorhandene Netz ohne Mapping verwendet werden.
+{{var|79| Hierbei wird das Mapping nur auf den Filialen eingerichtet, die das gleiche Netzwerk nutzen wie auf einer schon eingerichteten VPN-Verbindung. In der Zentrale wird kein Mapping benötigt, sofern sich das interne Netz der Zentrale von denen der Filialen unterscheidet. Ebenfalls kann in einer Filiale das vorhandene Netz ohne Mapping verwendet werden.
 	| Mapping is only set up on branches that use the same network as already has been set up on a VPN connection. No mapping is required in the head office if the internal network of the head office differs from that of the branches. One existing network can also be used without mapping in a branch. }}
 {{var|80| UTM_v11.8.7_Firewall_Portfilter_Netzwerkobjekte_localnet-zentrale.png
@@ Zeile 170: / Zeile 178: @@
 {{var|81| Netzwerkobjekt in den Filialen für das Netz der Zentrale. Es kann direkt das Subnetz der Zentrale verwendet werden.
 	| Network object in the branches for the network of the head office. The subnet of the head office can be used directly. }}
-{{var|82| (und in jeder weiteren Filiale) wird ein IPSec-Netzwerkobjekt für die Zentrale eingerichtet.<br>Das Netzwerkobjekt für das Netz der Gegenstelle muss sich in der Zone vpn-ipsec befinden und hat in unserem Beispiel die Netzwerkadresse 172.16.0.0/24.
+{{var|82| (und in jeder anderen Filiale, die ein ansonsten ''ungenutzes Subnetz'' verwendet) wird ein IPSec-Netzwerkobjekt für die Zentrale eingerichtet.<br>Das Netzwerkobjekt für das Netz der Gegenstelle muss sich in der Zone vpn-ipsec befinden und hat in unserem Beispiel die Netzwerkadresse 172.16.0.0/24.
-	| (and in each additional branch) an IPSec network object is set up for the head office.<br>The network object for the network of the remote terminal must be located in the zone vpn-ipsec. In our example, it has the network address 172.16.0.0/24. }}
+	| (and in any other branch that uses an otherwise ''unused subnet'') an IPSec network object is set up for the head office.<br>The network object for the network of the remote terminal must be located in the zone vpn-ipsec. In our example, it has the network address 172.16.0.0/24. }}
 {{var|83| UTM_v11.8.7_Firewall_Portfilter_Netzwerkobjekte_localnet-filiale2.png
 	| UTM_v11.8.7_Firewall_Portfilter_Netzwerkobjekte_localnet-filiale2-en.png }}
 {{var|84| Netzwerkobjekt in der Filiale 2 für das eigene Mapnetz (Lokal). So wird die '''Filiale 2''' für die Zentrale gemapt.
 	| Network object in branch 2 for your own map network (local). '''Branch 2''' is mapped like this for the head office. }}
-{{var|85| In der {{spc|utm|s|'''Filiale 2'''|c={{Farbe|grün}} }} (und in jeder weiteren Filiale, die ein bereits genutztes Subnetz verwendet) wird ein zweites Netzwerkobjekt für das eigene Subnetz erstellt, das gemapt wird.</p><p>Das Mapnet darf weder in der Filiale, noch in der Zentrale, noch auf einer der anderen Filialen die per VPN Verbindungen an die Zentrale angebunden sind, genutzt werden.<br>Das Netzwerkobjekt für das Mapnetz in der Filiale muss sich in der Zone des internen Netzwerkes befinden und bekommt in unserem Beispiel die Netzwerkadresse 10.0.1.0/24. (weitere Filialen erhalten an dieser Stelle '''ein anderes''' Mapnet!)
+{{var|83b| UTM_v11.8.7_Netzwerk_Portfilter_Netzwerkobjekte_f2z.png
+	| }}
+{{var|84b| Netzwerkobjekt in der Filiale 2 für das Netz der Zentrale
+	| Network object in Branch 2 for the network of the head office}}
+{{var|85| In der {{spc|utm|s|'''Filiale 2'''|c={{Farbe|grün}} }} (und in jeder weiteren Filiale, die ein bereits genutztes Subnetz verwendet) erhält das Netzwerk der Zentrale die Zone {{Button|external|dr}} {{info|Das ermöglicht den Paketen, vor dem Verlassen der Schnittstelle gemapt zu werden!}}. Zusätzlich wird ein zweites Netzwerkobjekt für das eigene Subnetz erstellt, das gemapt wird.</p><p>Das Mapnet darf weder in der Filiale, noch in der Zentrale, noch auf einer der anderen Filialen die per VPN Verbindungen an die Zentrale angebunden sind, genutzt werden.<br>Das Netzwerkobjekt für das Mapnetz in der Filiale muss sich in der Zone des internen Netzwerkes befinden und bekommt in unserem Beispiel die Netzwerkadresse 10.0.1.0/24. (weitere Filialen erhalten an dieser Stelle '''ein anderes''' Mapnet!)
 	| In the {{spc|utm|s|'''Branch office 2'''|c={{Farbe|grün}}} }} (and in each additional branch that uses an already used subnet), a second network object is created for its own subnet, which is mapped.</p><p>The Mapnet must not be used in the branch, in the head office, or in any of the other branches that are connected to the head office via VPN connections.<br>The network object for the map network in the branch office must be located in the zone of the internal network and in our example is given the network address 10.0.1.0/24. (Other branches get a '''different''' Mapnet at this point!)}}
 {{var|86| NETMAP Regel anlegen
 	| Creating a NETMAP Rule}}
-{{var|87| UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Filiale.png
+{{var|87| UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Filiale3.png
-	| UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Filiale-en.png }}
+	| UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Filiale3-en.png }}
 {{var|88| NETMAP Portfilterregel
 	| NETMAP Port Filter Rule }}
@@ Zeile 242: / Zeile 255: @@
-</div>{{DISPLAYTITLE:{{#var:display|NETMAP}}::spicon-utm }}{{Select_lang}}{{TOC2}}
+</div>{{DISPLAYTITLE:{{#var:display|NETMAP}} }}{{Select_lang}}{{TOC2}}
 <p>'''{{#var:1|Verbinden von VPN-Netzen mit den gleichen Broadcast-Domains (IP-Bereiche)}} '''</p><br>
@@ Zeile 268: / Zeile 281: @@
 {{spc|utm|s|'''{{#var:10|Zentrale}}'''|c={{Farbe|grün}} }} & {{spc|utm|s|'''{{#var:11|Filiale}}'''|c={{Farbe|grün}} }}<br>
 {{#var:12|Zur Nutzung der NETMAP Funktion sind folgende Bedingungen zu beachten:}}
-* {{#var:13|Die Subnetze der am NETMAP beteiligten Objekte müssen alle die '''gleiche Größe''' haben, zum Beispiel alle /24.}}
+* {{Hinweis|!}} {{#var:13|Die Subnetze der am NETMAP beteiligten Objekte müssen alle die '''gleiche Größe''' haben, zum Beispiel alle /24.}}
-* {{#var:14|Alle beteiligten Objekte müssen eine '''definierte Netzwerk IP-Adresse''' eingetragen haben. Es dürfen also '''keine Schnittstellen ausgewählt''' werden.}}<br>
+* {{Hinweis|!}} {{#var:14|Alle beteiligten Objekte müssen eine '''definierte Netzwerk IP-Adresse''' eingetragen haben. Es dürfen also '''keine Schnittstellen ausgewählt''' werden.}}<br>
 {{#var:15|Überprüfung des Netzwerkobjektes des internen Netzwerkes und gegebenenfalls Umstellung auf {{b| Adresse}}, indem der Radio-Button vor ''Adresse'' aktiviert und die Netzwerk-Adresse mit der entsprechenden Subnetzmaske in das Feld eintragen wird. In diesem Beispiel haben wir auf beiden Seiten das Netzwerk 172.16.3.0/24.}}
@@ Zeile 325: / Zeile 339: @@
 ==== {{#var:43|NETMAP Regel anlegen}} ====
-{{pt3| {{#var:44|UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Zentrale.png}} |hochkant=1.75| {{#var:45|NETMAP Portfilterregel}} }}
+{{pt3| {{#var:44|UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Zentrale.png}} |hochkant=2| {{#var:45|NETMAP Portfilterregel}} }}
 {{#var:46|Es muss auf jeder Seite eine Portfilterregel anhand der Netzwerkobjekte erstellt werden.}} <br>
 {| class="sptable pd5"
-! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:10|Zentrale}}'''|c={{Farbe|grün}}}}
+! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:10|Zentrale}}'''|c={{Farbe|grün}} }} {{#var:ausg | für ausgehenden NEtzwerkverkehr}}
 |-
 | {{Kasten| {{#var:48|Quelle}} }} || {{Button| internal network|blau}}
@@ Zeile 337: / Zeile 351: @@
 | {{Kasten| {{#var:51|Dienst}} }} || {{Button| {{#var:52|Dienst der gemapt werden soll}} |blau}}
 |-
-| {{Kasten| <nowiki>[–]</nowiki> NAT}} {{Kasten|{{#var:53|Typ:: }} || {{Button| NETMAP|dr}}
+| {{Kasten| <nowiki>[–]</nowiki> NAT}} {{Kasten|{{#var:53|Typ}} }} || {{Button| NETMAP|dr}}
 |-
 | {{Kasten| {{#var:54|Netzwerkobjekt}} }} || {{Button| {{#var:55|Mapnetz der Zentrale}} |dr}}
+|-
+! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:10|Zentrale}}'''|c={{Farbe|grün}} }} {{#var:eing|von der Gegenstelle inititiert}}
+|-
+| {{Kasten| {{#var:48|Quelle}} }} || {{Button| {{#var:50|Mapnetz der Filiale}} |blau}}
+|-
+| {{Kasten| {{#var:49|Ziel}} }} || {{Button| internal network|blau}}
+|-
+| {{Kasten| {{#var:51|Dienst}} }} || {{Button| {{#var:91|benötigter Dienst}} |blau}}
+|-
+| {{Kasten| <nowiki>[–]</nowiki> NAT}} {{Kasten|{{#var:53|Typ}} }} || {{Hinweis| {{#var:112|! Hierfür wird kein NAT vom Typ NETMAP mehr benötigt}} |gelb}}
 |-
 | class="Leerzeile" |
 |-
-! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:11|Filiale}} '''|c={{Farbe|grün}} }}
+! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:11|Filiale}} '''|c={{Farbe|grün}} }} {{#var:ausg | für ausgehenden NEtzwerkverkehr}}
 |-
 | {{Kasten|  {{#var:48|Quelle}} }} || {{Button| {{#var:56|Internes Netzwerk}} |blau}}
@@ Zeile 354: / Zeile 378: @@
 |-
 | {{Kasten| {{#var:54|Netzwerkobjekt}} }} || {{Button| {{#var:59|Mapnetz der Filiale}} |dr}}
+|-
+! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:11|Filiale}} '''|c={{Farbe|grün}} }}  {{#var:eing|von der Gegenstelle inititiert}}
+|-
+| {{Kasten|  {{#var:48|Quelle}} }} || {{Button| {{#var:57|Mapnetz der Zentrale}} |blau}}
+|-
+| {{Kasten| {{#var:49|Ziel}} }} || {{Button| {{#var:56|Internes Netzwerk}} |blau}}
+|-
+| {{Kasten| {{#var:51|Dienst}} }} || {{Button| {{#var:58|Dienst der gemapt werden soll}} |blau}}
+|-
+| {{Kasten| <nowiki>[–]</nowiki> NAT}} {{Kasten|{{#var:53|Typ}} }} ||  {{Hinweis| {{#var:112|! Hierfür wird kein NAT vom Typ NETMAP mehr benötigt}} |gelb}}
 |}
@@ Zeile 406: / Zeile 440: @@
 ==== {{#var:26|Netzwerkobjekte erstellen}} ====
 {{pt3| {{#var:80|UTM_v11.8.7_Firewall_Portfilter_Netzwerkobjekte_localnet-zentrale.png}} |hochkant=1| {{#var:81|Netzwerkobjekt in den Filialen für das Netz der Zentrale. Es kann direkt das Subnetz der Zentrale verwendet werden.}} }}
-In {{spc|utm|s|'''{{#var:11|Filiale}} 1'''|c={{Farbe|grün}} }} & {{spc|utm|s|'''{{#var:11|Filiale}} 2'''|c={{Farbe|grün}} }} {{#var:82|(und in jeder weiteren Filiale) wird ein IPSec-Netzwerkobjekt für die Zentrale eingerichtet.<br>
+In {{spc|utm|s|'''{{#var:11|Filiale}} 1'''|c={{Farbe|grün}} }} {{#var:82|(und in jeder weiteren Filiale) wird ein IPSec-Netzwerkobjekt für die Zentrale eingerichtet.<br>
 Das Netzwerkobjekt für das Netz der Gegenstelle muss sich in der Zone vpn-ipsec befinden und hat in unserem Beispiel die Netzwerkadresse 172.16.0.0/24.}}
@@ Zeile 413: / Zeile 447: @@
 {{pt3| {{#var:83|UTM_v11.8.7_Firewall_Portfilter_Netzwerkobjekte_localnet-filiale2.png}} | hochkant=1| {{#var:84|Netzwerkobjekt in der Filiale 2 für das eigene Mapnetz (Lokal). So wird die '''Filiale 2''' für die Zentrale gemapt.}} }}
+{{pt3 | {{#var:83b| UTM_v11.8.7_Netzwerk_Portfilter_Netzwerkobjekte_f2z.png }} | hochkant=1 | {{#var:84b| Netzwerkobjekt in der Filiale 2 für das Netz der Zentrale }} }}
 <p>{{#var:85|In der {{spc|utm|s|'''Filiale 2'''|c={{Farbe|grün}} }} (und in jeder weiteren Filiale, die ein bereits genutztes Subnetz verwendet) wird ein zweites Netzwerkobjekt für das eigene Subnetz erstellt, das gemapt wird.</p>
 <p>Das Mapnet darf weder in der Filiale, noch in der Zentrale, noch auf einer der anderen Filialen die per VPN Verbindungen an die Zentrale angebunden sind, genutzt werden.<br>
@@ Zeile 421: / Zeile 456: @@
 ==== {{#var:86|NETMAP Regel anlegen}} ====
+<!-- XXXXXXXXXXXXXXXXXXXXXXXXX -->
 {{pt3| {{#var:87|UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Filiale.png}} |{{#var:88|NETMAP Portfilterregel}} }}
 {{#var:89|Portfilterregeln in der '''Filiale 2''' (und in jeder weiteren Filiale, die ein bereits genutztes Subnetz verwendet)}}
@@ Zeile 435: / Zeile 471: @@
 | {{Kasten| <nowiki>[–]</nowiki> NAT}} {{Kasten|{{#var:53|Typ}} }} || {{Button| NETMAP|dr}}
 |-
-| {{Kasten| {{#var:92|Netzwerkobjekt}} }} || {{Button| {{#var:50|Mapnetz der Filiale}} 2 | dr}}
+| {{Kasten| {{#var:92|Netzwerkobjekt}} }} || {{Button| {{#var:50b| Lokales Mapnetz der Filiale}} 2 | dr}}
 |}
 <br clear=All>