1711: Von Intranet in die DMZ maskieren?

[Raudi]

Hallo,

ich möchte gerne den Traffic, der vom Intranet in die DMZ geht maskieren. ist dieses irgendwie möglich?

Habe da so auf anhieb nichts gefunden.

Würde mich freuen, wenn da jemand einen Tipp für mich hat...

Gruß

Stefan

[backslash]

Hi Raudi

ich möchte gerne den Traffic, der vom Intranet in die DMZ geht maskieren. ist dieses irgendwie möglich?

nein, Maskierung geht nur auf WAN-Interfaces - eine Maskierung zwischen Intranet und DMZ ist ja auch recht überflüssig, da eine Maskierung ja nur in zwei Punkten wirklich Sinn macht:

a) das Problem der immer weniger werdenden öffentlichen IPv4 Adressen zu lösen (Hauptgrund für eine Maskierung)
b) die Struktur des internen Netzes nach außen zu verschleiern

Punkt a) trifft nicht zu, da im Intranet private Adressen verwendet werden
Punkt b) ist auch eher irrelevant, da du ja sowohl DMZ und Intranet in der Hand hast und somit die Struktur schon kennst.


Wenn es dir darum geht, die Maskierung dazu zu verwenden, um keine Verbindung von der DMZ ins Intranet zuzulassen: Da kannst du ganz einfach über die Firewall regeln.

Gruß
Backslash

[Raudi]

Hi,

ich möchte einen Server in die DMZ stellen, der zwar nicht aus dem Internet erreichbar ist, aber über eine Wählleitung von extern administriert wird. Daher soll der durch eine Firewall vom Intranet getrennt sein. Nun sagte mir das Softwarehaus auch noch, das die Clients im gleichen IP Segment wie der Server sein müssen, daher kam halt NAT ins Gespräch.

Schade...

Gruß

Stefan

[Raudi]

Mir kommt da grad eine Idee, kann ich nicht ein 2. DSL interface einrichten? Dieses mit Ethernet Transparent und der Entsprechenden IP konfigurieren?

Würde das dann nicht auch maskiert werden?

Stefan

[backslash]

Hi Raudi,

Mir kommt da grad eine Idee, kann ich nicht ein 2. DSL interface einrichten? Dieses mit Ethernet Transparent und der Entsprechenden IP konfigurieren?

das wäre eine Möglichkeit...

Würde das dann nicht auch maskiert werden?

wenn du die Maskierung auf der entsperechenden Route aktivierst - ja...

Gruß
Backslash

[Raudi]

Sieht gut aus... Funktioniert!

Was mich aber verwundert, ich habe in der Firewall eine Deny All Regel und erlaube dann nur ausgehenden Traffic an die Gegenstelle Internet. Aber auf den Server, der über die neue Gegenstelle erreichbar ist kann ich trotz dem noch zugreifen.

Gruß

Stefan

[backslash]

Hi Raudi

Aber auf den Server, der über die neue Gegenstelle erreichbar ist kann ich trotz dem noch zugreifen

das liegt daran, daß die Gegenstelle "nur" dazu dient, die Zieladressen im jeweiligen Filter zu erstellen (Die Route wird einem Paket ja über die Routing-Tabelle zugewiesen und kann somit keine Bedingung für einen Filter sein...)

Wenn die Gegenstelle nun die Defaultroute besitzt (was man bei einer Gegenstelle "Internet" annehmen darf), dann ist das somit gleichbedeutend mit "alle Stationen", was natürlich auch deine neue Gegenstelle einschließt

Gruß
Backslash

[Raudi]

Achso... Bin davon ausgegangen, das es immer nur Traffic betreffen würde, der auch zu dieser Gegenstelle geleitet wird. Irgendwie irritierend...

Gruß

Stefan