KKeine Bearbeitungszusammenfassung |
Maltea (Diskussion | Beiträge) Keine Bearbeitungszusammenfassung |
||
| Zeile 6: | Zeile 6: | ||
| Anbindung von Drittanbieter Routern - Best Practice | | Anbindung von Drittanbieter Routern - Best Practice | ||
| Integration of third party routers - Best Practice }} | | Integration of third party routers - Best Practice }} | ||
{{var | | {{var | head | ||
| Vorschlag zur Integration von Routern von Dienstanbietern | | Vorschlag zur Integration von Routern von Dienstanbietern | ||
| Suggestion for the integration of service provider routers }} | | Suggestion for the integration of service provider routers }} | ||
{{var | Ausgangslage | {{var | Ausgangslage | ||
| Ausgangslage | | Ausgangslage | ||
| Zeile 22: | Zeile 19: | ||
| Routing issues }} | | Routing issues }} | ||
{{var | Probleme--desc | {{var | Probleme--desc | ||
| Wird der Router einfach mit in das interne Netz aufgenommen, dann ergibt sich zunächst ein Routing- Problem: <br>Verbindungen in das Netzwerk des Drittanbieters müssen über diesen Router gehen. Ein lokales Routing auf den Geräten des Netzwerks kommt nicht in Frage. Ein Routing über die Firewall ist ebenfalls problematisch. | | Wird der Router einfach mit in das interne Netz aufgenommen, dann ergibt sich zunächst ein Routing- Problem:<br> Verbindungen in das Netzwerk des Drittanbieters müssen über diesen Router gehen. Ein lokales Routing auf den Geräten des Netzwerks kommt nicht in Frage. Ein Routing über die Firewall ist ebenfalls problematisch.<br><br> Beim Herstellen einer TCP-Verbindung ergibt sich hier ein ''asynchrones Routing'': <br>Wird von einem Gerät eine solche Verbindung initiiert, wird das SYN-Paket des TCP-Dreiwege- Handshakes zunächst zur UTM und dann über den Router des Drittanbieters geroutet. Das SYN/ACK-Paket des Responders aus dem Netz des Drittanbieters wird hingegen vom Router direkt an den Initiator zugestellt und nicht über die UTM. Das dritte Paket des Dreiwege-Handshakes (ACK) geht wieder über die UTM und wird dort vom Paketfilter aufgrund eines unplausiblen Status verworfen (Stateful Inspection). | ||
| If the router is simply included in the internal network, then initially a routing problem arises: <br>Connections to the third-party network must go through this router. Local routing on the network devices is not an option. Routing via the firewall is also problematic.<br><br> When establishing a TCP connection, this results in ''asynchronous routing'': <br>If such a connection is initiated by a device, the SYN packet of the TCP three-way handshake is first routed to the UTM and then via the third-party router. The SYN/ACK packet of the responder from the third-party network, on the other hand, is delivered by the router directly to the initiator and not via the UTM. The third packet of the three-way handshake (ACK) goes via the UTM again and is discarded there by the packet filter due to an implausible status (stateful inspection). }} | |||
Beim Herstellen einer TCP-Verbindung ergibt sich hier ein ''asynchrones Routing'': <br>Wird von einem Gerät eine solche Verbindung initiiert, wird das SYN-Paket des TCP-Dreiwege- Handshakes zunächst zur UTM und dann über den Router des Drittanbieters geroutet. Das SYN/ACK-Paket des Responders aus dem Netz des Drittanbieters wird hingegen vom Router direkt an den Initiator zugestellt und nicht über die UTM. Das dritte Paket des Dreiwege-Handshakes (ACK) geht wieder über die UTM und wird dort vom Paketfilter aufgrund eines unplausiblen Status verworfen (Stateful Inspection). | |||
| If the router is simply included in the internal network, then initially a routing problem arises: <br>Connections to the third-party network must go through this router. Local routing on the network devices is not an option. Routing via the firewall is also problematic. | |||
When establishing a TCP connection, this results in ''asynchronous routing'': <br>If such a connection is initiated by a device, the SYN packet of the TCP three-way handshake is first routed to the UTM and then via the third-party router. The SYN/ACK packet of the responder from the third-party network, on the other hand, is delivered by the router directly to the initiator and not via the UTM. The third packet of the three-way handshake (ACK) goes via the UTM again and is discarded there by the packet filter due to an implausible status (stateful inspection). }} | |||
{{var | Probleme--Bild | {{var | Probleme--Bild | ||
| Fremdrouter-08.png <!-- Drittanbieter-Router Asynchron.png --> | | Fremdrouter-08.png <!-- Drittanbieter-Router Asynchron.png --> | ||
| Zeile 49: | Zeile 42: | ||
| Fremdrouter-09.png <!-- Drittanbieter-Router.png --> | | Fremdrouter-09.png <!-- Drittanbieter-Router.png --> | ||
| Fremdrouter-09.png <!-- Drittanbieter-Router.png --> }} | | Fremdrouter-09.png <!-- Drittanbieter-Router.png --> }} | ||
{{var | Vorgehensweise | {{var | Vorgehensweise | ||
| Vorgehensweise | | Vorgehensweise | ||
| Approach }} | | Approach }} | ||
{{var | Vorgehensweise--desc | {{var | Vorgehensweise--desc | ||
| * Voraussetzungen: | | | ||
* Voraussetzungen: | |||
** Gegeben sei ein internes Netzwerk 10.0.0.0/24 an LAN2. | ** Gegeben sei ein internes Netzwerk 10.0.0.0/24 an LAN2. | ||
** Es ist eine weitere Schnittstelle an der UTM verfügbar, die bisher noch nicht genutzt wurde (LAN3) | ** Es ist eine weitere Schnittstelle an der UTM verfügbar, die bisher noch nicht genutzt wurde (LAN3) | ||
<br> | |||
* Ziel: | * Ziel: | ||
** Über den Router eines Dienstanbieters soll die Verbindung in ein privates Subnetz 172.16.0.0/16 hergestellt werden. | ** Über den Router eines Dienstanbieters soll die Verbindung in ein privates Subnetz 172.16.0.0/16 hergestellt werden. | ||
<br> | |||
* Vorgehen: | * Vorgehen: | ||
** Die ungenutzte Schnittstelle (LAN3) soll das Subnetz 10.0.1.0/24 mit der IP 10.0.1.1 bekommen. | ** Die ungenutzte Schnittstelle (LAN3) soll das Subnetz 10.0.1.0/24 mit der IP 10.0.1.1 bekommen. | ||
** Der Router des Dienstanbieters erhält die IP 10.0.1.100 | ** Der Router des Dienstanbieters erhält die IP 10.0.1.100 | ||
** Um die Einbindung des Routers zu vereinfachen soll die UTM in diesem Subnetz als DHCP-Server dienen. <br>Hierzu soll ein fester Lease für das Router-Interface mit der IP 10.0.1.100 konfiguriert werden. | ** Um die Einbindung des Routers zu vereinfachen soll die UTM in diesem Subnetz als DHCP-Server dienen. <br>Hierzu soll ein fester Lease für das Router-Interface mit der IP 10.0.1.100 konfiguriert werden. | ||
| * Prerequisites: | | | ||
* Prerequisites: | |||
** Specify an internal network 10.0.0.0/24 on LAN2. | ** Specify an internal network 10.0.0.0/24 on LAN2. | ||
** There is another interface available on the UTM that has not been used yet (LAN3) | ** There is another interface available on the UTM that has not been used yet (LAN3) | ||
<br> | |||
* Objective: | * Objective: | ||
** A service provider's router is to be used to connect to a private subnet 172.16.0.0/16 | ** A service provider's router is to be used to connect to a private subnet 172.16.0.0/16 | ||
<br> | |||
* Approach: | * Approach: | ||
** The unused interface (LAN3) should get the subnet 10.0.1.0/24 with the IP 10.0.1.1 | ** The unused interface (LAN3) should get the subnet 10.0.1.0/24 with the IP 10.0.1.1 | ||
| Zeile 92: | Zeile 84: | ||
{{var | Ethernet-Schnittstelle bearbeiten | {{var | Ethernet-Schnittstelle bearbeiten | ||
| Ethernet-Schnittstelle bearbeiten | | Ethernet-Schnittstelle bearbeiten | ||
| | | Edit Ethernet interface }} | ||
{{var | Netzwerk | {{var | Netzwerk | ||
| Netzwerk | | Netzwerk | ||
| | | Network }} | ||
{{var | IP- Adressen | {{var | IP- Adressen | ||
| IP-Adressen: | | IP-Adressen: | ||
| Zeile 104: | Zeile 96: | ||
{{var | DHCP-Pool--desc | {{var | DHCP-Pool--desc | ||
| Es wird ein DHCP-Pool für dynamische Adressen vergeben. <br>Dies ist unter {{Menu-UTM|Netzwerk|Netzwerkkonfiguration|DHCP- Pools|Pool hinzufügen|+}} möglich. Die Konfigurationen sollten wie folgt getroffen werden: | | Es wird ein DHCP-Pool für dynamische Adressen vergeben. <br>Dies ist unter {{Menu-UTM|Netzwerk|Netzwerkkonfiguration|DHCP- Pools|Pool hinzufügen|+}} möglich. Die Konfigurationen sollten wie folgt getroffen werden: | ||
| | | A DHCP pool is assigned for dynamic addresses.<br> This is possible under {{Menu-UTM|Network|Network configuration|DHCP- Pools|Add pool|+}}. The configurations should be made as follows: }} | ||
{{var | DHCP-Pool--Bild | {{var | DHCP-Pool--Bild | ||
| UTM v12.6 Szenario Drittanbieter-Router DHCP-Pool.png | | UTM v12.6 Szenario Drittanbieter-Router DHCP-Pool.png | ||
| Zeile 126: | Zeile 118: | ||
| Letzte IP-Adresse, die per DHCP vergeben werden kann | | Letzte IP-Adresse, die per DHCP vergeben werden kann | ||
| Last IP address that can be assigned via DHCP }} | | Last IP address that can be assigned via DHCP }} | ||
{{var | Nameserver--desc | {{var | Nameserver--desc | ||
| Als Nameserver dient die UTM selbst, also die IP der zugehörigen Schnittstelle | | Als Nameserver dient die UTM selbst, also die IP der zugehörigen Schnittstelle | ||
| The UTM itself serves as the name server, i.e. the IP of the associated interface }} | | The UTM itself serves as the name server, i.e. the IP of the associated interface }} | ||
{{var | Router--desc | {{var | Router--desc | ||
| Als Router dient die UTM selbst, also die IP der zugehörigen Schnittstelle | | Als Router dient die UTM selbst, also die IP der zugehörigen Schnittstelle | ||
| Zeile 149: | Zeile 129: | ||
{{var | Pool hinzufügen | {{var | Pool hinzufügen | ||
| Pool hinzufügen | | Pool hinzufügen | ||
| | | Add pool }} | ||
{{var | Schritt2--Bild | {{var | Schritt2--Bild | ||
| UTM v12.6 Szenario Drittanbieter-Router DHCP-Pool hinzufuegen Schritt 2.png | | UTM v12.6 Szenario Drittanbieter-Router DHCP-Pool hinzufuegen Schritt 2.png | ||
| Zeile 186: | Zeile 166: | ||
| UTM v12.6 Szenario Drittanbieter-Router Route hinzufuegen.png <!-- Fremdrouter-04.png --> | | UTM v12.6 Szenario Drittanbieter-Router Route hinzufuegen.png <!-- Fremdrouter-04.png --> | ||
| UTM v12.6 Szenario Drittanbieter-Router Route hinzufuegen-en.png }} | | UTM v12.6 Szenario Drittanbieter-Router Route hinzufuegen-en.png }} | ||
{{var | Quellnetzwerk | {{var | Quellnetzwerk | ||
| Quellnetzwerk: | | Quellnetzwerk: | ||
| Zeile 195: | Zeile 172: | ||
| Die Angabe eines Quellnetzwerks ist nicht erforderlich. | | Die Angabe eines Quellnetzwerks ist nicht erforderlich. | ||
| It is not necessary to specify a source network. }} | | It is not necessary to specify a source network. }} | ||
{{var | Gateway-IP--desc | {{var | Gateway-IP--desc | ||
| IP des Routers des Diensteanbieters | | IP des Routers des Diensteanbieters | ||
| Zeile 206: | Zeile 180: | ||
{{var | Gateway Typ--desc | {{var | Gateway Typ--desc | ||
| Der Typ des Gateways | | Der Typ des Gateways | ||
| | | The type of gateway }} | ||
{{var | Zielnetzwerk | {{var | Zielnetzwerk | ||
| Zielnetzwerk | | Zielnetzwerk | ||
| Zeile 216: | Zeile 190: | ||
| Gewichtung | | Gewichtung | ||
| Weight }} | | Weight }} | ||
{{var | Regelwerk | {{var | Regelwerk | ||
| Regelwerk | | Regelwerk | ||
| Rulebook }} | | Rulebook }} | ||
{{var | Regelwerk--desc | {{var | Regelwerk--desc | ||
| Zur Gestaltung des Regelwerks werden zwei Netzwerkobjekte gebraucht. Diese können unter {{Menu-UTM|Firewall|Netzwerkobjekte||Objekt hinzufügen|+}} hinzugefügt werden.<br>Für den Router: | | Zur Gestaltung des Regelwerks werden zwei Netzwerkobjekte gebraucht. Diese können unter {{Menu-UTM|Firewall|Netzwerkobjekte||Objekt hinzufügen|+}} hinzugefügt werden.<br> Für den Router: | ||
| Two network objects are needed to design the rule book.<br>For the router: }} | | Two network objects are needed to design the rule book. These can be added under {{Menu-UTM|Firewall|Network objects||Add object|+}}.<br> For the router: }} | ||
{{var | Netzwerkobjekt Router--Bild | {{var | Netzwerkobjekt Router--Bild | ||
| UTM v12.6 Szenario Drittanbieter-Router Netzwerkobjekt Dienstanbierter-Router hinzufuegen.png <!-- Fremdrouter-05.png --> | | UTM v12.6 Szenario Drittanbieter-Router Netzwerkobjekt Dienstanbierter-Router hinzufuegen.png <!-- Fremdrouter-05.png --> | ||
| Zeile 233: | Zeile 204: | ||
{{var | Netzwerkobjekt hinzufügen | {{var | Netzwerkobjekt hinzufügen | ||
| Netzwerkobjekt hinzufügen | | Netzwerkobjekt hinzufügen | ||
| | | Add network object }} | ||
{{var | Netzwerkobjekt Netzwerk Diensteanbieter--Bild | {{var | Netzwerkobjekt Netzwerk Diensteanbieter--Bild | ||
| UTM v12.6 Szenario Drittanbieter-Router Netzwerkobjekt Dienstanbierter-Netzwerk hinzufuegen.png <!-- Fremdrouter-06.png --> | | UTM v12.6 Szenario Drittanbieter-Router Netzwerkobjekt Dienstanbierter-Netzwerk hinzufuegen.png <!-- Fremdrouter-06.png --> | ||
| Zeile 255: | Zeile 226: | ||
| Typ: | | Typ: | ||
| Type: }} | | Type: }} | ||
{{var | Typ--Netzwerk--val | {{var | Typ--Netzwerk--val | ||
| Netzwerk (Adresse) | | Netzwerk (Adresse) | ||
| Network (address) }} | | Network (address) }} | ||
{{var | Adresse | {{var | Adresse | ||
| Adresse | | Adresse | ||
| Zeile 273: | Zeile 235: | ||
| IP-Adresse, die als Static Lease per DHCP an den Router des Diensteanbieters vergeben wurde | | IP-Adresse, die als Static Lease per DHCP an den Router des Diensteanbieters vergeben wurde | ||
| IP address assigned as a static lease via DHCP to the service provider's router. }} | | IP address assigned as a static lease via DHCP to the service provider's router. }} | ||
{{var | Gruppen | {{var | Gruppen | ||
| Gruppen: | | Gruppen: | ||
| Zeile 291: | Zeile 247: | ||
| Für das Netzwerk des Diensteanbieters: | | Für das Netzwerk des Diensteanbieters: | ||
| For the service provider's network: }} | | For the service provider's network: }} | ||
{{var | Quelle | Quelle | Quelle }} | {{var | Quelle | ||
{{var | Ziel | Ziel | Target }} | | Quelle | ||
{{var | Dienst | Dienst | Service }} | | Quelle }} | ||
{{var | Aktion | Aktion | Action }} | {{var | Ziel | ||
{{var | Aktiv | Aktiv | Active }} | | Ziel | ||
| Target }} | |||
{{var | Dienst | |||
| Dienst | |||
| Service }} | |||
{{var | Aktion | |||
| Aktion | |||
| Action }} | |||
{{var | Aktiv | |||
| Aktiv | |||
| Active }} | |||
{{var | Freigabe der IPSec-Verbindung--desc | {{var | Freigabe der IPSec-Verbindung--desc | ||
| Freigabe der IPSec-Verbindung | | Freigabe der IPSec-Verbindung | ||
| Zeile 312: | Zeile 278: | ||
* Die Verbindung erfolgt über IPSec | * Die Verbindung erfolgt über IPSec | ||
* Im Netzwerk des Diensteanbieters sollen verschiedene Terminalserver über das RDP-Protokoll erreicht werden | * Im Netzwerk des Diensteanbieters sollen verschiedene Terminalserver über das RDP-Protokoll erreicht werden | ||
| The required port filter rules depend on which VPN method the router uses and which services are required within the secured connection. | | The required port filter rules depend on which VPN method the router uses and which services are required within the secured connection. <br>Assumptions for this example: | ||
<br>Assumptions for this example: | |||
* The connection is established via IPSec | * The connection is established via IPSec | ||
* In the service provider's network, various terminal servers are to be reached via the RDP protocol }} | * In the service provider's network, various terminal servers are to be reached via the RDP protocol }} | ||
| Zeile 322: | Zeile 287: | ||
| Durch die Integration des Diensteanbieter-Routers in die DMZ wurden sämtliche beschriebenen Routing-Probleme beseitigt und gleichzeitig die Kontrolle über sämtliche Verbindungen in und aus dem eigenen Netzwerk beibehalten. | | Durch die Integration des Diensteanbieter-Routers in die DMZ wurden sämtliche beschriebenen Routing-Probleme beseitigt und gleichzeitig die Kontrolle über sämtliche Verbindungen in und aus dem eigenen Netzwerk beibehalten. | ||
| By integrating the service provider router into the DMZ, all of the routing issues described above were eliminated while maintaining control over all connections into and out of its own network. }} | | By integrating the service provider router into the DMZ, all of the routing issues described above were eliminated while maintaining control over all connections into and out of its own network. }} | ||
{{var | | |||
| | |||
| }} | |||
---- | ---- | ||
UTM/NET/Szenario Drittanbieter-Router.lang: Unterschied zwischen den Versionen
Aus Securepoint Wiki