WAN IP's auf verschiedene interne LANs aufteilen?

[FritzEDV]

Hallo zusammen,

Wir haben bei uns (jetzt neu) einen BPA von der Telekom mit 8 IPv4 Adressen.

Wir hosten 2 Server von Kunden bei uns, denen würden wir gerne je eine IPv4 am WAN dedizieren. Als Router haben wir den ISG-1000 stehen.

Hatte mir das so gedacht, dass wir den Hosts dann am LANCOM einen eigenen Port (mit einem eigenen LAN-Netz) widmen.

LAN1 - unser internes LAN
LAN2 - Kunde 1
LAN3 - Kunde 2

Die Frage ist jetzt, wie man den einzelnen LANs am besten die entsprechenden WAN IP's (Routen?) zuordnet? Hatte das bisher so noch nie Umsetzen können - dementsprechend fehlt mir da ein wenig das Know-How. Mangels verfügbarer IPv4 Adressen hatten wir das bisher über Port-Forwarding gelöst.

Ich nehmen mal an, ich lege erstmal für jede zu nutzende WAN IP eine eigene Gegenstelle an und lege die IP-Adresse über die IP-Parameter (unter Protokolle) fest.

Jetzt müsste ich vermutlich noch jedem LAN eine eigene Default Route zuweisen. Da wüsste ich jetzt ad hoc nicht, wie ich das Umsetzen sollte.

[backslash]

Hi FritzEDV

siehe fragen-zur-lancom-systems-routern-und-g ... 20271.html

Gruß
Backslash

[FritzEDV]

Hi FritzEDV

siehe fragen-zur-lancom-systems-routern-und-g ... 20271.html

Gruß
Backslash

Ich werd da leider nicht so wirklich schlau draus. Also ich versuche folgendes Szenario zu erreichen:

skizze1.png

Lässt sich das auf einfacher Routing Basis umsetzen, möglichst ohne irgendwelche DMZs oder Firewallregeln? Quasi dass für jede der 6 freien WAN IPs im Lancom ein eigener Eintrag in der Routingtabelle (mit eigenem Routingtag) existiert?

Zwischenablage02.png

[backslash]

Hi FritzEDV

das Bild unterscheidet sich aber von der ursprünglichen Frage...

nach dem Bild willst du die Netze maskieren - jeder Kunde soll hinter einer getrennten IP versteckt werden.

Lässt sich das auf einfacher Routing Basis umsetzen, möglichst ohne irgendwelche DMZs oder Firewallregeln? Quasi dass für jede der 6 freien WAN IPs im Lancom ein eigener Eintrag in der Routingtabelle (mit eigenem Routingtag) existiert?

jain...

Für Server die, die Kunden betreiben, richtest du einfach passende Port-Forwardings ein und trägst dei diesen uner "WAN-Adresse" die jenige Adresse ein, für die das Forwarding gelten soll (89.x.x.1 oder 89.x.x.2)

Und damit könntest du fertig sein - es sei denn du willst zusätzlich, daß auch abgehender Traffic der Kunden hinter der jeweiligen Adresse maskiert wird. In dem Fall brauchst du ein "Policy-Based-NAT". Das richtest du über Firewallregeln ein (für jedes Netz eine):

Code: Alles auswählen

Name:    NAT-LANx
[x] Diese Regel ist für die Firewall aktiv
[x] weitere Regeln beachten, nachdem diese Regel zutrifft
[x] Diese Regel hält Verbindungszustände nach

Priorität:    9999
Quell-Tag:    Interface-Tag des Netzes LANx
Routing-Tag:  0

Aktion:  übertragen, Policy-Based-NAT: 89.x.x.x

Quelle:  alle Stationen im loaklen Netz LANx
Ziel:    alle stationen
Dienste: alle Dienste

LANx ersetzt du durch deine jeweilgen Netze und bei der Policy-Based-NAT-Adresse die jweilige Adresse (89.x.x.1, 89.x.x.2, ...)

Gruß
Backslash

[FritzEDV]

das Bild unterscheidet sich aber von der ursprünglichen Frage...

Ja war mir nicht sicher, ob meine Fragestellung richtig interpretiert wurde, daher hab ichs nochmal verbildlicht

nach dem Bild willst du die Netze maskieren - jeder Kunde soll hinter einer getrennten IP versteckt werden.

Ja im Prinzip schon. Hauptsächlich will ich auch vermeiden, dass "gemischter" Traffic über die Default Route läuft. Dh, der gesamte Traffic aus dem LAN1 soll WAN seitig mit der IP 89.x.x.1 assoziiert sein. Der gesamte Traffic aus LAN2 mit der IP 89.x.x.2 usw und umgekehrt sollen Anfragen an die WAN IP dann dem entsprechenden internen LAN zugeordnet werden.

Ich dachte halt das man es so umsetzen kann, dass man für jede WAN seitige IP im Lancom eine eigene Default Route einrichten kann - wie als hätte man mehrere DSL Leitungen.

Ich vermute ich müsste mich dann mal in das Thema Policy-Based NAT einlesen?

[backslash]

Hi FritzEDV,

Ich dachte halt das man es so umsetzen kann, dass man für jede WAN seitige IP im Lancom eine eigene Default Route einrichten kann - wie als hätte man mehrere DSL Leitungen.

von wo soll denn die Routung-Tabelle die Adresse her bekommen, hinter der maskiert wird? richtig: gar nicht...

Ich vermute ich müsste mich dann mal in das Thema Policy-Based NAT einlesen?

darum wirst du wohl nicht herum kommen

Gruß
Backslash