Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 5 replies
  • Subscribers 2 subscribers
  • Views 2580 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

RED "inverted" split mode

PABailby
Hi everyone,

i just installed a UTM220 on a central site with 3 RED10 devices.
Since my central internet connexion is not fast enough, i decided to use split mode instead of standard mode. I made the configuration centrally, with the wizards, and before physical deployment
of course, i don't have all the protection provided by the UTM for all internt trafic, but i can redirect internal trafic to my main site very easily.

Now, i'd like to do the contrary:
unless specified, all internet trafic (and internal) should go through the UTM tunnel. 
Some of the sites we use are fairly secure, and we do not need securing: this trafic can flow directly through the internet without going through the UTM. it is the same for windows updates, adobe updates, etc.

How can i do such a configuration? i guess i have to do it manually? Is it even possible?

Thanks in advance for your help!


This thread was automatically locked due to age.
  • 0
    Hi, and welcome to the User BB!

    If I understand your question correctly, all you need to do is to change the configuration for the selected RED from "Standard/Split" to "Standard/Unified" and wait a few moments for all traffic to begin flowing.  Don't do that until after you have added the necessary Firewall and Masquerading rules and added the remote network to the necessary proxies.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    HI,
    thanks for your reply.

    in fact, it is almost that, except i want to see some of the traffic to flow direclty to the internet, without going through the UTM gateway.

    that would be our extranet, for example, or windows update.
    they do not need to be filtered, and, on the contrary, need the maximum available bandwith. and going through the central site will slow down everything.
  • 0 in reply to PABailby
    I think I've wrapped my head around the problem but it's not trivial and I've never tried it so ymmv.

    It sounds like like you want to do a split mode but instead of saying, forward subnets A, B & C to the UTM and everything else to the Internet, you're saying forward everything but subnets A, B & C to the UTM. 

    Correct?

    The UTM doesn't allow inverse definitions so the solution is anything but trivial. Strictly on an IP address basis it can be done. What you are going to have to do is define a series of subnets that cover everything but your chosen subnets and use those as your 'local networks' in the split config

    The fun part is going to be figuring out which IP ranges are used by Microsoft, Adobe, etc for their various mirrors. The extranet is probably the easiest as you no doubt already know the IP ranges for that.
  • 0 in reply to TheDrew
    Hi Andrew,
    you are correct, this is exactly what i'd like to do!
    Is there a way to define ranges instaed of subnets? because if not, it will be like hell for me [;)]

    regards and thanks for your help!
  • 0
    Unfortunately, the largest range you can define can contain 64K addresses at most.  That does help you because once you get to 89.159.0.0/16, for example, you can use two range-based network definitions to cover that subnet.  You will still need 20+ definitions, but that's not quite Hell! [;)]

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Unfiltered HTML