Important note about SSL VPN compatibility for 20.0 MR1 with EoL SFOS versions and UTM9 OS. Learn more in the release notes.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 6 replies
  • Subscribers 38 subscribers
  • Views 2396 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

UTM 9 und Netzwerkstruktur

wappler
Hallo Liebe Foren Community,

ist es unter UTM 9 möglich wie folgt ein Netzwerk aufzubauen und zu schützen:
Vom ISP werden  8 Static IPs und ein CISCO 800 Serien Router gestellt. Der CISCO Router soll durch UTM 9 ersetzt werden, da der Provider keinen Zugriff auf den CISCO gewährt und somit keine Einstellungen getätigt werden können.
So soll es dann im Netzwerk aussehen:

„In Anbetracht der Neustrukturierung des Netzwerkes nehme ich auch gern Produktive Vorschläge an wie Ihr dieses Netzwerk aufbauen würdet.“

ISP -> Modem ->  UTM 9 -> Switch -> 
1. Static IP verweist auf einen Standard Router -> Switch ->

  • Hier läuft ein SBS 2011 mit Firmenwebsite \ Exchange Server und die dazugehörigen CLIENTs in der Firmen Domäne.

 2. Static IP verweist auf einen Ubuntu Server ->

  • Auf diesem sind Kunden Websites sowie ein E-Mail Server eingerichtet.

3. Static IP verweist auf einen weiteren Ubuntu Server ->

  • Hier laufen weitere Kunden Websites \ E-Mail Server.


… für die anderen static IPs ist vorerst nichts geplant.

Wichtig an dieser Stelle UTM 9 soll auf allen Static IPs Port 80,443 und 25 freigeben, Port  987 soll direkt an den SBS 2011 weitergeleitet werden.

Der UTM 9 soll auf einem Dell Power Edge PE R300 zum Einsatz kommen etwaig auch ein schwächeres Gerät mit weniger Stromverbrauch, gerne nehme ich an dieser Stelle Gerät Empfehlungen entgegen, diese sollen jedoch in einem 19“ Serverschrank maximal 1HE Platz einnehmen.

Gruß
Wappler


This thread was automatically locked due to age.
  • 0
    Hi Wappler,

    kurze Zwischenfrage:
    geht es sich um einen Company Connect oder Deutschland LAN Anschluss?! [;)]
    (Dann wirst du den Cisco-Router nicht eliminieren können, da er den Netzwerkabschlusspunkt zwischen ISP und Kunde darstellt.)

    ---

  • 0 in reply to GL@MO
    Hi Wappler,

    kurze Zwischenfrage:
    geht es sich um einen Company Connect oder Deutschland LAN Anschluss?! [;)]
    (Dann wirst du den Cisco-Router nicht eliminieren können, da er den Netzwerkabschlusspunkt zwischen ISP und Kunde darstellt.)


    Hi GL@MO,

    ISP ist UPC Austria GmbH ( Kabel ) der Cisco kann ohne weiteres durch einen anderen Router ersetzt werden, dieser war nur im Package dabei, und da kein Zugriff darauf besteht müssen wir lt. Service Techniker ( UPC ) ersetzen.
    Erwähnt wurde noch das auf dem neuen Device DHCP eingeschaltet sein muss das es vom Modem die Molo IP empfangen kann.

    Gruß
    Wappler
  • 0
    Du willst doch nicht ernsthaft eine öffentliche IP direkt an einen SBS2011 anklemmen?
    Damit würde der SBS2011 komplett im Internet mit all seinen Diensten erreichbar sein.

    Besser für den Zugriff von Aussen auf den SBS VPN benutzen und entsprechende Regeln in der UTM anlegen.

    Die beiden Ubuntu-Kisten in ein extra Netz (DMZ) verfrachten und nur benötigte Dienste über die jeweiligen IPs weiterleiten sollte hier auch die bessere Wahl sein.
  • 0 in reply to GMF
    Du willst doch nicht ernsthaft eine öffentliche IP direkt an einen SBS2011 anklemmen?
    Damit würde der SBS2011 komplett im Internet mit all seinen Diensten erreichbar sein.

    Besser für den Zugriff von Aussen auf den SBS VPN benutzen und entsprechende Regeln in der UTM anlegen.

    Die beiden Ubuntu-Kisten in ein extra Netz (DMZ) verfrachten und nur benötigte Dienste über die jeweiligen IPs weiterleiten sollte hier auch die bessere Wahl sein.


    Hallo GMF,

    danke das du dich auch am Thema beteiligst und Vorschläge gibst.


    Nein direkt am Netz hängt er nicht mit der statischen IP, nach Modem und CISCO Router vom Provider hängt ein kleiner Privater Router der dem SBS eine interne IP zuweist in unserem Fall ist der Internetgateway der Private Router mit 192.168.1.1 und der SBS 192.168.1.2 nur Port 80,443, 25 und 987 werden weitergeleitet damit extern die neue Firmenwebsite abgerufen werden kann (Rapid SSL Zertifikat für alle Subdomains) und von extern via www.domain.tld/OWA auf die exchange App zugegriffen werden kann.
    Dies alles ist noch in einer Testumgebung da wir uns noch nicht schlüssig sind wie wir das ganze umsetzen werden.

    Bezüglich den Ubuntu-Kisten (: erklär etwas genauer wie da das bei unserer Infrastruktur lösen würdest.

    Gruß
    Wappler
  • 0
    Den kleinen  privaten Router würde ich eliminieren und die Portweiterleitungen auf der UTM konfigurieren. Das macht das Leben bezüglich doppeltem NAT wesentlich einfacher.
    Zusätzlich halte ich es ebenso für fraglich ob man Port 80, 443, 25 und 987 von der grossen weiten Welt auf einen SBS ohne jede Kontrolle lassen will. VPN kann ich zumindest auf wenige Clients/User beschränken.

    Für Ubuntu:

    Internet --> Modem --> UTM --> LAN mit allen Clients

                            |

                            |

                           DMZ mit Ubuntu

    Die entsprechenden Ports/IPs zu den beiden Ubuntu-Kisten weiterleiten. Wenn ein Zugriff aus dem LAN auf Ubuntu benötigt wird kann man das durch Firewallregeln realisieren.

    Grund der DMZ-Aktion:
    Wer will schon Port 80 in sein internes LAN durchreichen. [;)]
  • 0 in reply to GMF
    Den kleinen  privaten Router würde ich eliminieren und die Portweiterleitungen auf der UTM konfigurieren. Das macht das Leben bezüglich doppeltem NAT wesentlich einfacher.
    Zusätzlich halte ich es ebenso für fraglich ob man Port 80, 443, 25 und 987 von der grossen weiten Welt auf einen SBS ohne jede Kontrolle lassen will. VPN kann ich zumindest auf wenige Clients/User beschränken.

    Für Ubuntu:

    Internet --> Modem --> UTM --> LAN mit allen Clients

                            |

                            |

                           DMZ mit Ubuntu

    Die entsprechenden Ports/IPs zu den beiden Ubuntu-Kisten weiterleiten. Wenn ein Zugriff aus dem LAN auf Ubuntu benötigt wird kann man das durch Firewallregeln realisieren.

    Grund der DMZ-Aktion:
    Wer will schon Port 80 in sein internes LAN durchreichen. [;)]


    Na dann werd ich das mal mit meinen Kollegen besprechen und melde mich sobald die gesamte hardware eingetroffen ist. 

    Danke und ein schönes Wochenende (:
Unfiltered HTML