Hi zusammen,
kurz zu meinem Aufbau:
- Home Netz 192.168.1.0/24 -> komplett TP-Link Omada
- Proxmox Server in Netz 192.168.1.0/24
- WAN Bridge auf Proxmox Server für VMs 192.168.100.1 um Internet vom Host
- VM Netz 192.168.200.0/24
-- 192.168.200.254 -> Sophos XG Home
Mein Problem:
Ich möchte das 200er Netz vom 1er Netz erreichbar machen. Das klappt soweit auch semi ganz gut. Pings auf die Firewall, der Webaufruf der Firewall klappen reibungslos. Jedoch ist es mir nicht möglich, einzelne VMs im Netz zu erreichen z.B. per SSH oder HTTPS etc.. Die XG meldet immer "Invalid Packet" oder "Could not associate packet to any connection". Interessanterweise funktioniert die WAF jedoch reibungslos. Hier ist jedoch ein hardcoded routing über die Proxmox iptables notwendig gewesen, um sie von außerhalb erreichbar zu machen.
Mittlerweile weiß ich nicht mehr so recht weiter. Ich würd die Netze gern separiert lassen.
Hat jemand eine Idee, wie ich die Netze ordentlich miteinander verheiratet bekomme, ohne irgendwelche bypass-Spielchen zu betreiben?
Leider kann ich den initialen Post nicht mehr bearbeiten. Hier die Bridges von Proxmox 
Hallo Kewinter,
mal eine ganz verwegene Frage. Was passiert wenn du zum testen eine Any Regel erstellst?
LG
Patrick
--------------------------------------------------------------------------------------------------------------------------------------
Wenn du dir sicher bist alles kontrolliert zu haben und es immer noch nicht klappt, prüfe alles nochmal!
Der PVE hat nur eine Netzwerkkarte, der Rest ist komplett virtuell.
Und weder vmbr1, noch vmbr2 haben ein Bein im physikalischen Netz. Ob sich dann bei diesen Bridges die Netzwerkekarte noch einbinden lässt oder lassen muss 
, vielleicht ist dann auch mit Bonds, Vlans oder Vnets zu arbeiten. Was verstehts Du eigentlich unter "komplett virtuell"? Aber ich glaube, diesbzüglich bist Du ohnehin in einem Proxmox-Forum besser aufgehoben.
Also ich habe das Thema jetzt mal ganzheitlich betrachtet und versucht, eine lösungsorientierte Netzwerktopologie zu evaluieren, die den segmentierten Datenfluss innerhalb der Virtualisierungsumgebung konsolidiert. Gerade bei hybriden Architekturen, die auf einer Container-basierten Bridge-Layering-Infrastruktur aufsetzen, ist es natürlich essenziell, dass der L3-Routing-Stack auf allen Subnet-Knoten redundant performt. Die Sophos XG spielt hier in einer Edge-Gateway-Rolle natürlich eine zentrale Rolle bei der Session-Persistence in Verbindung mit intelligentem Traffic-Shaping. Man darf auch nicht vergessen, dass DNAT und SNAT in einem synchronisierten Firewall-Kontext bidirektional betrachtet werden müssen, um Endpoint-Transparency zu gewährleisten. Und wenn dann noch asymmetrisches Path-Handling dazukommt – ja, dann knallt’s halt manchmal richtig schön. 
Aber Spaß beiseite – hier kommt die echte Ursache und Lösung:
Dein DNAT auf dem Proxmox-Host sorgt dafür, dass eingehender Traffic zwar korrekt weitergeleitet wird, aber die Rückpakete nicht denselben Weg zurücknehmen. Dadurch erkennt die Sophos XG (zurecht) keine Session und droppt das Ganze → "Invalid Packet".
DNAT auf Proxmox rausnehmen, zumindest für den internen Traffic.
Auf der Sophos XG eine statische Route anlegen:
Zielnetz: 192.168.1.0/24
Gateway: 192.168.200.1 (bzw. die IP deines Proxmox-VMNICs)
Noch sauberer: Sophos XG eine weitere NIC im 192.168.1.0/24 Netz geben, sodass beide Netze direkt über die XG geroutet werden können.
Alle relevanten VMs im 200er Netz sollten die Sophos XG als Default-Gateway haben – so ist der Rückweg garantiert konsistent.
Das sieht schonmal ganz gut aus. Vielen Dank. Die XG ist jetzt aus .200 und .1 erreichbar. Die WAF konnte ich rekonfigurieren, sodass die Server auch wieder erreichbar sind. DNAT ist aus den PVE iptables raus.
Nun habe ich aber das Problem, dass ich nicht verstehen möchte, warum der interne Traffic zwischen .200 und .1 nicht klappt. Die VMs haben alle die XG im 200er Netz als Gateway.
Quote