UTM/NET/Mutlipathrouting v11.7

Multipath-Wiki

Multipathrouting

Einleitung

In diesem HowTo lernen Sie, was Multipathrouting bedeutet und wie Sie es auf einer Securepoint UTM einrichten. Außerdem wird erklärt, wie Sie den Datenverkehr bestimmter Dienste/Endgeräte über eine bestimmte Leitung leiten können.

Was ist Multipathrouting?

Die Kopplung mehrerer Internetleitungen zu einem logischen "Internet" wird Multipathroutijng genannt. Hierbei existieren zwei oder mehr default-Routen auf der Firewall und die Pakete werden entsprechend verteilt.

Neben dem Multipathrouting übernimmt die Securepoint UTM auch die Verteilung des Datenverkehrs, das Loadbalancing. Beim Loadbalancing können Sie für die einzelnen Routen eine gewünschte Gewichtung eintragen. Die Securepoint kann somit beispielsweise zwei (oder mehr) Leitungen, mit einer jeweiligen Bandbreite von z.B. 16 MBit/s und 100 MBit/s, ausgeglichen belasten.

1 Einrichtung

1.2 Beispielszenario I

An der Securepoint sind zwei DSL-Leitungen angeschlossen (ppp0 und ppp1). Leitung 1 (ppp0) verfügt über eine Bandbreite von 50 MBit/s und Leitung 2 (ppp1) besitzt eine Bandbreite von 25 MBit/s.

1.2.1 Einrichtung des Szenarios

Schritt 1 - Zonen

Die ppp-Schnittstellen werden so konfiguriert, dass beide eindeutige Zonen besitzen. In diesem Beispiel legen wir uns die Zonen "external-2" und "firewall-external-2" an und weisen diese der ppp1 zu. Die ppp0 besitzt die Zonen "external" und "firewall-external". Die Zonen sind nötig, damit wir später entsprechende Netzwerkobjekte und Regeln anlegen können.

Schritt 2 - Routen

Damit der Datenverkehr über beide Leitungen geschickt werden kann, benötigen wir pro Leitung eine default-Route. Diese legen Sie sich dem Menüpunkt Netzwerk -> Netzwerkkonfiguration -> Routing an. Da die Leitungen eine unterschiedliche Bandbreite besitzen (50 MBit/s bzw. 25 MBit/s), kann über die Option Gewichtung eine gleichmäßige Belastung der Leitungen erreicht werden.

Die angelegten Default-Routen

Schritt 3 - Netzwerkobjekte anlegen

Regeln werden in der Securepoint UTM mithilfe von Netzwerkobjekten gebaut. Da standardmäßig keine Netzwerkobjekte für eine zweite Leitung existieren, legen wir diese an. Wir benötigen, zum einen das Netzwerkobjekt für das Netzwerk (Internet-2) und zum anderen das Netzwerkobjekt für die Schnittstelle der Firewall in dieser Zone (external-interface-2). Die Netzwerkobjekte werden wie in den Bildern angelegt.

Internet-2-Objekt

external-interface-2-Objekt

Schritt 4 - Regeln anlegen

Nun werden die Regeln angelegt. In unserem Beispiel geben wir "any" ins Internet frei. Hierbei muss darauf geachtet werden, dass das Internet-Objekt in der Regel mit dem ausgewählten HideNAT-Objekt überein stimmt. Bei Ziel = Internet -> HideNAT = external-interface Bei Ziel = Internet-2 -> HideNAT = external-interface-2 Die Regeln sehen im Portfilter dann so aus:

Regeln im Portfilter

1.2 Beispielszenario II

An eth0 der Firewall ist ein Modem angeschlossen, wobei die Securepoint UTM die Einwahl übernimmt. An eth2 befindet sich eine Fritzbox, welche als Router fungiert. Leitung 1 (ppp0) verfügt über eine Bandbreite von 50 MBit/s und Leitung 2 (eth2) besitzt eine Bandbreite von 25 MBit/s.

1.2.1 Einrichtung des Szenarios

Schritt 1 - Zonen

Die externen Schnittstellen (ppp0 und eth2) werden so konfiguriert, dass beide eindeutige Zonen besitzen. In diesem Beispiel legen wir uns ebenfalls die Zonen "external-2" und "firewall-external-2" an und weisen diese der eth2 zu. Die ppp0 besitzt die Zonen "external" und "firewall-external". Die Zonen sind nötig, damit wir später entsprechende Netzwerkobjekte und Regeln anlegen können.

Schritt 2 - Routen

Damit der Datenverkehr über beide Leitungen geschickt werden kann, benötigen wir pro Leitung eine default-Route. In diesem Szenario gibt es aufgrund des Routers vor der eth2 eine Besonderheit: Damit wir in den Routen die eth2 als Gateway-Schnittstelle angeben können, ist es erforderlich, der Firewall das Gateway für diese Schnittstelle mitzuteilen. Das funktioniert über die Option "Route-Hint" in den allgemeinen Einstellungen der eth2. Hier geben wir das Gateway 192.168.178.1 an. Nun lässt sich als Default-Gateway die eth2 angeben. Legen Sie nun die beiden Default-Routen an. Da die Leitungen eine unterschiedliche Bandbreite besitzen (50 MBit/s bzw. 25 MBit/s), kann über die Option Gewichtung eine gleichmäßige Belastung der Leitungen erreicht werden.

Route-Hint-Einstellung eth2

Die angelegten Default-Routen

Schritt 3 - Netzwerkobjekte anlegen

Regeln werden in der Securepoint UTM mithilfe von Netzwerkobjekten gebaut. Da standardmäßig keine Netzwerkobjekte für eine zweite Leitung existieren, legen wir diese an. Wir benötigen, zum einen das Netzwerkobjekt für das Netzwerk (Internet-2) und zum anderen das Netzwerkobjekt für die Schnittstelle der Firewall in dieser Zone (external-interface-2). Die Netzwerkobjekte werden wie in den Bildern angelegt.

Internet-2-Objekt

external-interface-2-Objekt

Schritt 4 - Regeln anlegen

Nun werden die Regeln angelegt. In unserem Beispiel geben wir "any" ins Internet frei. Hierbei muss darauf geachtet werden, dass das Internet-Objekt in der Regel mit dem ausgewählten HideNAT-Objekt überein stimmt. Bei Ziel = Internet -> HideNAT = external-interface Bei Ziel = Internet-2 -> HideNAT = external-interface-2 Die Regeln sehen im Portfilter dann so aus:

Regeln im Portfilter

Routing für bestimmte Endgeräte und Dienste

Da der Datenverkehr bei einem Multipathrouting ohne Weiteres immer von Leitung zu Leitung "springt", kann dies bei bestimmten Szenarien zu Fehlern führen. Beispielsweise muss ein extern stehender Server immer über die selbe Quell-IP angesprochen werden. Um dieses Vorhaben