Dual WAN port weiterleitung

[litzozoid]

Hallo

Ich habe eine Firewall mit Dual WAN eingerichtet. Mit Failover

Ich möchte jetzt einzelne Aplicationen/Ports ein bestimmtes WAN zuweisen.

zb. sowas wie 443 soll nur über WAN2 laufen und nicht über WAN1


Danke schonmal für eure Antworten!

[Patrick M. Hausen]

Eine "allow" Regel mit explizitem Gateway wird das tun.

[litzozoid]

hallo

Kannst du mir die Regel bitte detalierter beschreiben?
Ich hab schon viel ausprobiert habs aber nicht hinbekommen.

[Patrick M. Hausen]

Interface: LAN
Source: LAN net
Source Port: any
Destination: any
Destination Port: 443
Action: allow
Gateway: WAN2_Gateway

[litzozoid]

Danke funktioniert!!

[Patrick M. Hausen]

Wenn du trotzdem das Failover beibehalten willst, dann kannst Du m.W. Gateway Groups definieren mit einer Priorität. Also GW_WAN2 höhere Prio als GW_WAN1 und dann benutzt du in der Regel die Group als Gateway.

Hab ich noch nicht ausprobieren können, da ich keine Umgebung mit Multi-WAN habe.

So wie es im Moment ist, ist HTTPS tot, wenn WAN2 mal ausfällt.

[litzozoid]

Nein. Ich habe es ausprobiert explizit das Gateway anzugeben. Failover funktioniert trotzdem bei meiner Gateway Group.

[Patrick M. Hausen]

Fein  Danke für die Rückmeldung.

[JeGr]

Nein. Ich habe es ausprobiert explizit das Gateway anzugeben. Failover funktioniert trotzdem bei meiner Gateway Group.

Das tut es aber sehr wahrscheinlich nur durch eine "Lücke" in der Logik, die man einstellen kann:

Firewall / Settings / Advanced

Die Einstellung " Skip rules   " besagt, dass bei einem Wegfall eines Gateways (in dem Fall WAN2) die Regel dann einfach OHNE Gateway ausgeführt/angelegt wird - was in deinem Fall dann das Default GW bzw. ein Failover GW ist womit es dann funktioniert. Machst du das aber nicht, weil du bspw. gezielt Traffic hast, der NICHT über ein anderes GW laufen soll/darf (oder zumindest nicht einfach so), dann verändert man dieses Verhalten meistens so, dass die Regel gelöscht/geskipped wird und damit gar nicht ausgeführt, da man es ansonsten im Livebetrieb schlicht nicht sieht, dass diese Regel gerade nicht gilt. Beide Varianten können somit zu Verwirrung führen.

Eventuell mag man also bei MultiWAN lieber den Fall, dass die Regel nicht angewendet wird, statt sie einfach auf irgendein Gateway loszulassen (was bspw. bei VPNs fatal sein kann, wenn der Traffic plötzlich unverschlüsselt über ein falsches Interface läuft).

Cheers