Sophos XG mit einer FritzBox 7490 betreiben

Der Aufbau sieht dann ungefähr so aus: (hier steht SG, aber bei der XG ist es genauso, nur die Ports heißen anders)

Der entscheidende Punkt ist aber, dass das Netzwerk hinter der Sophos Firewall in der Fritzbox unter "Heimnetz/Netzwerk/Netzwerkeinstellungen/Statische Routingtabelle/IPv4-Routen" eingetragen werden muss:

Und der zweite Punkt ist, dass die Sophos Firewall als "exposed host" in der Firtzbox hinterlegt ist:

Der Rest sind dann ein paar Firewallregeln, die den Zugriff von Geräten aus dem 192.168.178.er Netz in das Netz hinter der Sophos erlauben (bei meinem Beipsiel also in das 192.168.1.er Netz)

Viel Erfolg!

Guten Morgen Herr Rusch,

vielen Dank für die schnelle Hilfe und für die Grafik. Ich habe jedoch ein Problem mit dem aufgezeichnetem Aufbau: Meine WLAN-Geräte (Smartphones, Notebooks etc.) sollen wie in dem Beispiel dann auch im Netz 192.168.1.X sein, so dass diese auch durch die Sophos geschützt sind.

Die Einstellungen an der FritzBox sind sehr verständlich von Ihnen erklärt für mich nachvollziehbar. Danke auch dafür!

Welche Einstellungen muss ich an der Sophos konkret durchführen? Welche Firewall-Regeln sind einzustellen?

Liebe Grüße!

Wasch mich, aber mach mich nicht nass!

Nein, das funktioniert leider nicht. Wie soll das auch gehen?

Dazu müsste die Fritzbox die WLAN Teilnehmer in ein VLAN stecken können ( zum Beispiel), das kann sie aber nicht.

Und damit sind dann die WLAN Clients auf der „falschen“ Seite der Firewall.

Hm, danke für die Rückmeldung.

Auf dem Link von meinem Eingangspost gibt es ein Bild, dass ein Notebook zeigt, dass im WLAN-Netz ist, aber in den Einstellungen das Netzwerk der Sophos ausgibt (und somit mit dem internen WLAN der FritzBox auch den vollen Sophos-Schutz geniest).

Daher verstehe ich nicht, wieso dies auf der XG nicht realisierbar ist. 

Auch hier

https://community.sophos.com/sophos-xg-firewall/f/discussions/99866/utm-hinter-fritzbox-howto

ist es zu lesen, dass die Endgeräte im WLAN auch mit der Sophos geschützt sind. Haben Sie eine Idee, wie in den Beispielen auch auf einer XG realisierbar ist? 

Bevor ich Sie falsch verstanden habe: Ihre Lösung bezieht sich nur auf die direkt per Kabel an die Firewall gebundenen Geräte, oder? Also alles exklusiv des internen WLANs der FritzBox?

Also ich lese dort in dem betreffenden Thread, dass der Autor das interne WLAN der Fritzbox nicht nutzt, weil er weiß, dass das so nicht funktioniert. Er hat dann ersatzweise einen Raspberry Pi zum Accessspoint umfunktioniert. Dieser AP ist hinter der Sophos Firewall platziert und dadurch sind alle Geräte im WLAN geschützt.

Daher sind meine Aussagen von oben „leider“ korrekt.

Man benötigt für diese Anforderung einen weiteren AP oder man macht es wie oben vorgeschlagen. Man könnte ja für die WLAN Clients die Sophos als Webproxy nutzen, um die Sicherheit zu erhöhen.

Guten Abend,
das was Sie wiedergeben war vom Autor die Ausgangssituation. Mit Hilfe der Community, insbesondere dem Nutzer "wk" bzw. Walter, funktionierte dann die Lösung mit dem internen WLAN. Der Nutzer schreibt dann auch in dem letzten Link von mir:
"Die diskutierte Lösung nutzt die Fritzbox und auch das Fritzboxeigene WLAN und bietet doch den vollen Schutz der UTM." ~Walter

Also scheint es mit der UTM sicher zu klappen, da auch in einem anderen Forum dies nachgebaut wurde und es auch da funktioniert, auch wenn es keine "saubere" Lösung zu sein scheint: https://www.computerbase.de/forum/threads/sophos-utm-hinter-fritzbox-wlan-knobelaufgabe.1854643/#post-22287509 (falls Verlinkungen zu anderen Foren nicht erlaubt sind, bitte ich dies zu entschuldigen)

Liebe Grüße 

Hallo AllForIT,

dass nach über 5 Jahren noch einmal einer den alten Thread hervorkramt, hätte ich nicht erwartet.

Ich nutze die Lösung noch heute, aber anscheinend hat es nicht viele Leute interessiert.

Ob sich das mit der XG auch realisieren lässt, kann ich nicht sagen, da ich wie viele User hier von den Möglichkeiten der XG nicht überzeugt bin.

Die UTM benutze ich seit Astaro Zeiten Version 1.7 und kann damit alles machen, was ich brauche. Wie Kevin, mit dem ich mich damals austauschte, bin ich in der Zwischenzeit 'retired' und hoffe, dass die UTM noch lange genug gepflegt wird, bis die XG ein echter Ersatz ist. Der Spam-Schutz der UTM ist schon eine Katastrophe geworden.

Viele liebe Grüße
Walter

Hallo Walter,

und ich hätte nicht gedacht, dass einer der Autoren des über fünf Jahre alten Threads mir hier antworten. Alleine, dass Ihr so eine Lösung auf die Beine stellen konntet, ist ja schon irgendwo ein Geniestreich. Ich denke, Grundsätzlich besteht da schon viel Interesse, da beides geläufige Hardware, aber man kann sich nicht vorstellen, dass dies klappt. Konnte ich auch nicht, als ich durch Zufall auf eben den Thread gestoßen bin.

Mit der UTM habe ich wenig Kontaktpunkte, sammeln dürfen da wir auf der Arbeit nur eine XG im Einsatz haben. Daher werde ich noch versuchen, deine/eure "Anleitung" noch auf die XG zu projizieren und bedanke mich recht herzlich für deine Antwort. Schade, dass es zu keiner Anleitung gereicht hat, aber ich würde mich als Mitschreiber gerne zur Verfügung stellen. 

Liebe Grüße!

Moin,

wissentlich, dass ich selber noch ein Newbe in dem Thema bin: Auch ich wollte das WLAN der Fritzbox nutzen (aufgrund der Performance) und kein Raspberry dazwischen haben und habe den Aufbau umgedreht:

Erst die Firewall, dann die Fritzbox.

Philipp Rusch war so freundlich, mich da tatkräftig zu unterstützen.

Was spricht gegen diese Herangehensweise?

VG Tabaluga73

Moin,

wissentlich, dass ich selber noch ein Newbe in dem Thema bin: Auch ich wollte das WLAN der Fritzbox nutzen (aufgrund der Performance) und kein Raspberry dazwischen haben und habe den Aufbau umgedreht:

Erst die Firewall, dann die Fritzbox.

Philipp Rusch war so freundlich, mich da tatkräftig zu unterstützen.

Was spricht gegen diese Herangehensweise?

VG Tabaluga73

Damals sprach dagegen, dass die Telefonie auf der Fritzbox hinter der UTM nicht so berauschend lief. Ob das heute noch so ist, kann ich nicht sagen, da meine Anordnung gut läuft und 'never change a running system'.

Also, ich habe da aktuell in Verbindung mit der Telekom keinerlei Probleme feststellen können. Dafür bastel ich gerade an dem VPN-Zugang, der mit der Fritzbox sehr einfach einzurichten war, nun aber nicht mehr erreichbar ist (siehe anderer Thread).

Ansonsten funzt das sehr zufriedenstellend.

VG Tabaluga73