Zusätzliche IP für eine IP

[kosta]

Bin gespannt ob das funkt allerdings...
Denn wenn man IP Alias hat, kann man diese IP anpingen, und NATen.
Aber wenn man 1:1 verwendet, was macht 1:1 wenn jetzt RZ herkommt und will die IP im VLAN11 ansprechen? Entsteht durch 1:1 automatisch die angegebene Destination-IP im LAN?
Wenn BINAT auf VLA11 sitzt, was macht der dann im LAN-Netzwerk wirklich?
Ich brauche dann aber trotzdem zwei 1:1 Rules, oder? 1x am VLAN11 und 1x am LAN Interface?

[lfirewall1243]

Bin gespannt ob das funkt allerdings...
Denn wenn man IP Alias hat, kann man diese IP anpingen, und NATen.
Aber wenn man 1:1 verwendet, was macht 1:1 wenn jetzt RZ herkommt und will die IP im VLAN11 ansprechen? Entsteht durch 1:1 automatisch die angegebene Destination-IP im LAN?
Wenn BINAT auf VLA11 sitzt, was macht der dann im LAN-Netzwerk wirklich?
Ich brauche dann aber trotzdem zwei 1:1 Rules, oder? 1x am VLAN11 und 1x am LAN Interface?

Das ist das was ich meine

Beispiel
Wenn du im LAN einen PC mit der IP 10.10.10.20/24 hast und du legst eine virtuelle IP mit der 10.10.10.20/24 an.
Nun soll eine Server im RZ Sachen an dein PC im Vlan schicken der hinter dieser Virtuellen IP steckt.
Also schickt er die Pakete zur 10.10.10.20/24
Woher soll da jetzt das Endgerät unterschieden werden?

[kosta]

Hä? Warum soll meine virtuelle IP haben die gleiche IP wie ein PC/Server? Doch Unsinn?
Die virtuelle IP ist eine freie IP-Adresse im vom RZ adressierbaren Bereich.
Die virtuelle IP im LAN dient ja als nichts anderes als Vermittler zwischen VLAN11 und RZ.

[lfirewall1243]

Hä? Warum soll meine virtuelle IP haben die gleiche IP wie ein PC/Server? Doch Unsinn?
Die virtuelle IP ist eine freie IP-Adresse im vom RZ adressierbaren Bereich.
Die virtuelle IP im LAN dient ja als nichts anderes als Vermittler zwischen VLAN11 und RZ.

Also doch nur eine IP Adresse aus dem LAN?
Entweder nur eine "SammelIP" oder eben für jeden Client ne eigene. Wird dann nur echt blöd wenn die Netze wachsen.


Falls letzteres legst du im Endeffekt eine VIP LAN-Bereich  für jeden Client aus dem vlan an, darauf dann 1:1 Nat auf die richtige IP.
Außerdem outbound NAT für die jeweiligen clients damit diese mit der VIP im RZ ankommen.

[kosta]

Ja, ein Gerät auf eine IP. Mehrere Geräte, mehrere IPs. Aber jede IP für EIN Gerät (Server in meinem Fall).
Sammel-IP kann ich gerne nehmen wenn es nicht ausschlaggebend ist, ob RZ den Server auch ansprechen muss (wie gesagt, Telefonie-Server und Telefone sind solche Kandidaten).

Aber ja, gebe dir Recht dass es blöd wird, wenn das Netz wächst. Wird aber voraussichtlich noch viele viele Jahre nicht. Mit so einem Wachstum mache ich mir zu Zeit sehr wenig Sorgen.

Mir geht es nur darum erstmal die aktuelle Konfiguration der Firewall zu übernehmen. Nachher kann ich natürlich einzeln immer schauen ob ich wo was optimieren kann. Da ich aber drei Projekte gleichzeitig mache, möchte mir keine weiteren Baustellen öffnen.

[lfirewall1243]

Hä? Warum soll meine virtuelle IP haben die gleiche IP wie ein PC/Server? Doch Unsinn?
Die virtuelle IP ist eine freie IP-Adresse im vom RZ adressierbaren Bereich.
Die virtuelle IP im LAN dient ja als nichts anderes als Vermittler zwischen VLAN11 und RZ.

Also doch nur eine IP Adresse aus dem LAN?
Entweder nur eine "SammelIP" oder eben für jeden Client ne eigene. Wird dann nur echt blöd wenn die Netze wachsen.


Falls letzteres legst du im Endeffekt eine VIP LAN-Bereich  für jeden Client aus dem vlan an, darauf dann 1:1 Nat auf die richtige IP.
Außerdem outbound NAT für die jeweiligen clients damit diese mit der VIP im RZ ankommen.

Das sollte klappen.

Mal was anderes.
Wenn es so eine große Firma ist und dort groß auf ein freies Produkt umgestellt wird.
Wie wäre es denn da das Thema hinter OPNsense durch z.B. eingekauften Support, Business Edition oder Hardware Kauf etwas zu unterstützen?

Die Umstellung wurde am Ende wahrscheinlich weniger  Zeit und Nerven kosten und das Projekt wäre auch Unterstützt

[kosta]

Weil wir eine (unabhängige) GmbH in Österreich sind und Tochter-Gesellschaft des Konzerns in Deutschland sind.
Außerdem geht es auch meinem Chef von unseren Konzern unabhängig zu sein.

Wer sagt dass ich/wir OPNsense nicht unterstützen?
Ich habe bereits Business Edition gekauft, Support ist "Pending", ich warte noch auf Rückmeldung der Firma, aber Budget für den Support ist freigegeben. Hardware wurde von Landitec bereits gekauft und heute eingebaut.

[lfirewall1243]

Weil wir eine (unabhängige) GmbH in Österreich sind und Tochter-Gesellschaft des Konzerns in Deutschland sind.
Außerdem geht es auch meinem Chef von unseren Konzern unabhängig zu sein.

Wer sagt dass ich/wir OPNsense nicht unterstützen?
Ich habe bereits Business Edition gekauft, Support ist "Pending", ich warte noch auf Rückmeldung der Firma, aber Budget für den Support ist freigegeben. Hardware wurde von Landitec bereits gekauft und heute eingebaut.

Alles gut:)
War ja nur eine Anmerkung