Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 11 replies
  • Subscribers 1 subscriber
  • Views 5946 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

UTM Transparent Proxy Config for AWS w/ multi-private subnets

dscottwheeler
I've configured a 2 legged Sophos UTM in AWS with the configuration below.  I am able to surf the internet from instances in the private subnet that the private NI is in, but I am not able to access the internet from instances any of the other three private subnets in the VPC (one in the same AZ and two in a different AZ).  Please feel free to point me to any doc that covers this as I have come up short (e.g. found doc, but it did not explicitly cover this scenario of multiple private subnets without adding a NI for each private subnet).

Sophos UTM in public subnet
eth0 in public subnet with Elastic IP attached
eth1 in private subnet (DMZ) 

The private subnets share the same ACL and Route table (allow all access between the private subnets)

Firewall rule:   VPC --> any
Masquerading rule:  VPc --> Public interface
Web Filtering:  allowed: VPC   Transparent mode
Static Routing: VPC --> Gateway in the private subnet eth1 is in
DNS: allowed: VPC    forwarders: VPC DNS (e.g. AWS)


This thread was automatically locked due to age.
Parents
  • 0
    Thanks for that, Scott. That's not a limitation on the UTM outside of Amazon.  I guess I then would have expected that the subnet on eth1 would have included all of your VPC, and that the VPC's routing tables would address any special issues.

    In fact, if all you want is a Transparent (or Full Transparent) Proxy, you don't need two NIs.  With a single interface, you could have the VPC route HTTP/S traffic to the UTM IP, and that could be an IP anywhere in the VPC.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Reply
  • 0
    Thanks for that, Scott. That's not a limitation on the UTM outside of Amazon.  I guess I then would have expected that the subnet on eth1 would have included all of your VPC, and that the VPC's routing tables would address any special issues.

    In fact, if all you want is a Transparent (or Full Transparent) Proxy, you don't need two NIs.  With a single interface, you could have the VPC route HTTP/S traffic to the UTM IP, and that could be an IP anywhere in the VPC.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Children
No Data
Unfiltered HTML