DMZ Probleme

sag mal kann mir hier keiner helfen oder habe ich mich so schlecht ausgedrückt ?

Schau Dir mal das Objekt "Internet Extern" genauer an.

Darunter versteht die Astaro nicht alle Ziele im Internet, sondern nur das Subnetz zwischen Deiner Astaro und dem Router Deines Internet-Provides, also ein relativ kleines Netz (wenn nicht sogar das kleinste /32-Netz als Hostroute).

Wenn Du in einer Regel jeglichen Verkehr vom und zum Internet erlauben möchtest, musst Du mit dem vordefiniertem Objekt "Any" arbeiten.

Damit wäre aber automatisch auch der Verkehr von der DMZ nach Intern freigeschaltet, da Any ja alles beinhaltet.

Deshalb ist es besser, ein neues Any-Objekt zu definieren und dieses an die externe Schnittstelle zu binden. Unter diesem Objekt versteht man dann wirklich nur alle Ziele vom und zum Internet, die über das externe Internet-Interface gehen.

MfG
Manuel

Schau Dir mal das Objekt "Internet Extern" genauer an.

Darunter versteht die Astaro nicht alle Ziele im Internet, sondern nur das Subnetz zwischen Deiner Astaro und dem Router Deines Internet-Provides, also ein relativ kleines Netz (wenn nicht sogar das kleinste /32-Netz als Hostroute).

Wenn Du in einer Regel jeglichen Verkehr vom und zum Internet erlauben möchtest, musst Du mit dem vordefiniertem Objekt "Any" arbeiten.

Damit wäre aber automatisch auch der Verkehr von der DMZ nach Intern freigeschaltet, da Any ja alles beinhaltet.

Deshalb ist es besser, ein neues Any-Objekt zu definieren und dieses an die externe Schnittstelle zu binden. Unter diesem Objekt versteht man dann wirklich nur alle Ziele vom und zum Internet, die über das externe Internet-Interface gehen.

MfG
Manuel

danke für die info.

Habe mir jetzt mal die Regel erstellt 
Quelle: any 
Dienst: any
Source any

das bedeutet ja so wie ich das verstehe egal woher etwas kommt egal welcher dienst es ist und egal wo es hingeht lass es durch.

ja aber im Live-Protokoll: Packet filter sehe ich dann folgendes:

14:58:27 Default DROP UDP 192.168.65.5 : 56160 
 → 192.168.42.70 : 53 
 len=61 ttl=128 tos=0x00 srcmac=00:00:00:00:00:00 dstmac=00:1b:21:09:c9:39 
 

14:58:31 Default DROP UDP 192.168.65.5 : 56160 
 → 192.168.42.70 : 53 
 len=61 ttl=128 tos=0x00 srcmac=00:00:00:00:00:00 dstmac=00:1b:21:09:c9:39 
 

14:58:46 Default DROP UDP 192.168.65.5 : 51401 
 → 192.168.42.70 : 53 
 len=61 ttl=128 tos=0x00 srcmac=00:00:00:00:00:00 dstmac=00:1b:21:09:c9:39 
 

also er nimmt mir das UDP raus das wird gedropt.

wenn ich alles von und wohin frei mache sollte es ja normal gehen oder nicht ? 
Ich verstehe es nicht mit meinen client komme ich wunderbar raus aber mit dem in der DMZ gar nicht.
aber ich kann die DMZ schnitstelle anpingen und die firewall.

Kann es sein, dass sich hinter der IP 192.168.42.70 die Astaro selbst verbirgt?

Das Any-Objekt enthält alle IP-Adressen ausser den Schnittstellen der Astaro selbst :-)

Und wenn ich das richtig sehe, versucht da ein Client eine DNS-Anfrage an die Astaro zu schicken, das solltest Du also auf der Astaro erstmal freigeben. Die Astaro hat nämlich einige Regeln unter der Haube vordefiniert, die noch vor den selbst definierten Regeln im Paket-Filter greifen. Alles was übers WebAdmin an anderen Stellen konfiguriert wird, erscheint unter der Haube ebenfalls als Paketfilter mit höherer Priorität als das, was Du selbst im Paketfilter konfiguriert hast.

Deshalb muss man keine eigenen Paketfilter-Regeln definieren, wenn man den DNS-, SMTP-, HTTP- oder FTP-Proxy der Astaro nutzt. Wenn man diese Dinge konfiguriert, werden die dazu nötigen Paketfilter-Regeln unter der Haube automatisch angelegt.

Genauso sollte man wissen, dass als allerletzte Paketfilter-Regel, die immer da ist (obwohl sie nicht angezeigt wird) und nicht abgeschaltet werden kann, eine

Any-Quelle, Any-Ziel, Any-Protokoll, DROP, Log

Regel ausgeführt wird. D. h. alles was im Paketfilter nicht expliziet erlaubt wird, wird leise gedroppt und protokolliert.

Ich empfehle ganz dringend, das vorhandene Informationsmaterial von Astaro zu nutzen:

- http://www.astaro.de/events/trainingsprogramm/astaro_fundamental_training
- http://www.astaro.de/events/astaro_webinars
- http://www.astaro.de/support/technische_videos

Das ist alles kostenlos und damit erübrigen sich wirklich viele der hier gestellen Fragen. Vor allem helfen diese Informationsquellen, das Gesamt-Verständnis zu verbessern.

MfG
Manuel

ja hinter der 192.168.42.70 ist die astaro.
wie kann ich das freigeben ? wie meinst du das ? 

sorry bin noch nicht so fit in der sache baue mir ja auch nur ein test netzwerk auf...

danke schon mal für die vielen infos ich werde mir das mal anschauen ...

WebAdmin -> Network -> DNS -> Global -> Allowed Networks

und in der Liste trägst Du das automatisch generierte DMZ-Netzwerk-Objekt ein bzw. alle Netzwerke, die die Firewall als DNS-Forwarder/Proxy/Server nutzen sollen.

MfG
Manuel

vielen dank für die Infos es hat funktioniert.

Danke