Einleitung
In diesem Szenario sollen die UTM und die Clients einer Außenstelle an die Domäne im Hauptstandort angebunden werden.
- Alle DNS Anfragen für die Domäne an den DNS Server, durch den VPN Tunnel, werden zum Hauptstandort weitergeleitet
- Die UTM soll DNS für die Clients in der Außenstelle bereitstellen
- Anfragen für das Domänen Netz sollen in den VPN Tunnel zum DNS Server im Hauptstandort weitergeleitet werden
Anlegen der DNS Relay Zone
[[Datei:|hochkant=2|mini| ]]
DNS Relay anlegen
Bereich Zonen
Im nächsten Schritt wird eine Relay-Zone angelegt.
- Im Fenster Nameserver den Reiter Zonen öffnen
- Auf die Schaltfläche klicken, um eine neue Relay-Zone anzulegen
- Unter Zonenname: den gewünschten Domänennamen eintragen
- Als Typ: auswählen
- Auf die Schaltfläche klicken, um die IP-Adresse des Nameservers einzutragen
- Unter IP-Adresse: wird die IP-Adresse des entfernten Nameservers eingetragen
Um diese nutzen zu können, den Dialog Relay-Zone hinzufügen und den Dialog Nameserver
Nach dem Anlegen der Relay-Zone leitet die Firewall alle Anfragen auf das Domänennetz zum DNS-Server im Hauptstandort weiter.
DNS Relay für einen IPSec Site-to-Site Tunnel
Um interne Domainanfragen an einen entfernten Nameserver weiterzuleiten, der sich in einem IPSec-Netz befindet, ist zu beachten, dass standardmäßig alle direkten Anfragen, die sich an externe Nameserver richten, von der Firewall mit der externen IP aus geschickt werden. Eine öffentliche IP wird aber nicht in einen IPSec-Tunnel geroutet.
Netzwerkobjekt anlegen
Die Paketfilterregeln in den Impliziten Regeln werden automatisch aktiviert. Damit ist noch kein Netzwerkobjekt für das IPSec-Netz vorhanden.
| Folgende Objekte sind bei Auslieferung vorkonfiguriert: | Netzwerkobjekt | zugehöriges Schnittstellen-Objekt |  |
|---|---|---|---|
 |
| ||
 |
| ||
| nur bei min. 3 vorhandenen Schnittstellen | |
| |
| Um das passende Netzwerkobjekt anzulegen, wird im Abschnitt Netzwerkobjekte auf die Schaltfläche geklickt. | |||
| Beschriftung | Wert | Beschreibung |  |
| Bezeichnung für das IPSec-Netzwerk | |||
| Typ | VPN-Netzwerk auswählen | ||
| Adresse | 192.168.8.0/24 | IP-Adresse des IPSec Netzwerkes | |
| Entsprechende VPN IPSec Zone | |||
| Gruppen | Eine entsprechende Gruppe kann eingetragen werden | ||
Netzwerkobjekt in Regelwerk übernehmen mit
Regel erstellen
Im letzten Schritt muss eine Firewallregel mit einem Hide-NAT angelegt werden.
Diese bewirkt, dass die DNS-Weiterleitung auch in den Tunnel und nicht direkt in das Internet geht.
| Beschriftung | Wert |  |
|---|---|---|
| ||
| ||
| ||
| ||
| ||
| ||
| ||
Mit dieser Regel werden alle Domain-UDP-Anfragen, die über die Firewall an den entfernten Nameserver gestellt werden, über die IP des internen Interfaces genatet und können somit in den IPSec-Tunnel geleitet werden.
DNS Relay für einen OpenVPN Site-to-Site Tunnel
Um interne Domainanfragen an einen entfernten Nameserver weiter zu leiten, der sich in einem OpenVPN-Netz befindet, ist zu beachten, dass standardmäßig alle direkten Anfragen, die sich an externe Nameserver richten, von der Firewall mit der externen IP aus geschickt werden. Eine öffentliche IP wird aber nicht in einen OpenVPN-Tunnel geroutet.
Zone anlegen
Um die DNS Anfragen in den OpenVPN Tunnel routen zu können, muss auf der UTM eine neue Interface Zone angelegt werden.
Eine neue Zone wird mit der Schaltfläche angelegt.
| Beschriftung | Wert | Beschreibung |  |
|---|---|---|---|
| Bezeichnung für die Interface Zone | |||
| Schnittstelle | Die passende Schnittstelle tunX auswählen | ||
| Interface: | Ein | FLAG Interface für diese Zone aktivieren | |
Open-VPN Netzwerkobjekte anlegen
Die Paketfilterregeln in den Impliziten Regeln werden automatisch aktiviert. Damit ist noch kein Netzwerkobjekt für das IPSec-Netz vorhanden.
| Folgende Objekte sind bei Auslieferung vorkonfiguriert: | Netzwerkobjekt | zugehöriges Schnittstellen-Objekt | |
|---|---|---|---|
| |
| ||
| |
| ||
| nur bei min. 3 vorhandenen Schnittstellen | |
| |
| Um das passende Netzwerkobjekt anzulegen, wird im Abschnitt Netzwerkobjekte auf die Schaltfläche geklickt. | |||
| Beschriftung | Wert | Beschreibung |  |
| Bezeichnung für das Open VPN-Netzwerk | |||
| Typ | Dynamische Schnittstelle auswählen | ||
| Schnittstelle | diese Schnittstelle auswählen | ||
| entsprechende Open VPN Zone auswählen | |||
| Gruppen | Eine entsprechende Gruppe kann eingetragen werden | ||
Netzwerkobjekt in Regelwerk übernehmen mit
Regel erstellen
Im letzten Schritt muss eine Firewallregel mit einem Hide-NAT angelegt werden.
Diese bewirkt, dass die DNS-Weiterleitung auch in den Tunnel und nicht direkt in das Internet geht.
| Beschriftung | Wert |  |
|---|---|---|
| ||
| ||
| ||
| ||
| ||
| ||
| ||
DNS Relay für einen WireGuard Site-to-Site Tunnel
Die internen Domainanfragen können auch an einen entfernten Nameserver weitergeleitet werden, der sich in einem WireGuard-Netz befindet. Für die Konfiguration eines solchen Szenarios wird eine vorhandene WireGuard Site-to-Site VPN (S2S) Verbindung benötigt.
Zone anlegen
Um die DNS Anfragen in den WireGuard Tunnel routen zu können, muss auf der UTM eine neue Interface-Zone angelegt werden.
| Beschriftung | Wert | Beschreibung |  |
|---|---|---|---|
| WireGuard-S2S-DNS-Relay | Bezeichnung für die Interface Zone | ||
| Schnittstelle | Die passende WireGuard-Schnittstelle wg0 auswählen | ||
| Interface: | Ein | FLAG Interface für diese Zone aktivieren | |
WireGuard Netzwerkobjekte anlegen
Die Paketfilterregeln in den Impliziten Regeln werden automatisch aktiviert. Damit ist noch kein Netzwerkobjekt für das IPSec-Netz vorhanden.
| Folgende Objekte sind bei Auslieferung vorkonfiguriert: | Netzwerkobjekt | zugehöriges Schnittstellen-Objekt | |
|---|---|---|---|
| |
| ||
| |
| ||
| nur bei min. 3 vorhandenen Schnittstellen | |
| |
| Um das passende Netzwerkobjekt anzulegen, wird im Abschnitt Netzwerkobjekte auf die Schaltfläche geklickt. | |||
| Beschriftung | Wert | Beschreibung |  |
| Bezeichnung für das WireGuard-Netzwerk | |||
| Typ | Dynamische Schnittstelle auswählen | ||
| Schnittstelle | diese Schnittstelle auswählen | ||
| entsprechende WireGuard Zone auswählen | |||
| Gruppen | Eine entsprechende Gruppe kann eingetragen werden | ||
Netzwerkobjekt in Regelwerk übernehmen mit
Regel erstellen
Im letzten Schritt muss eine Firewallregel mit einem Hide-NAT angelegt werden.
Diese bewirkt, dass die DNS-Weiterleitung auch in den Tunnel und nicht direkt in das Internet geht.
| Beschriftung | Wert |  |
|---|---|---|
| ||
| ||
| ||
| ||
| ||
| ||
| ||