Öffentliche IP-Adressen von WAN in die DMZ leiten, aber wie?

[Pelikan Netzwerk]

Hallo, ich nutze die OPNsense erst seit kurzem, und bin daher noch bei der Ersteinrichtung.

Somit bin ich hier auch noch recht grün hinter den Ohren. Auf jeden Fall bin ich schnmal beeindruckt von den Möglichkeiten, die sich mit Nutzung der OPNsense ergeben!

Von meinem ISP erhalte ich mit Einwahl via PPPoE, eine statische öffentliche IP-Adresse via DHCP. Der Provider hat mir noch ein weiteres Netz mit vier öffentlichen IP's zugewiesen, sowie ein drittes Netz mit 16 öffentlichen IP's. So, wie ich es verstanden habe, werden die 16 IP-Adressen nach Einwahl transparent zu mir 'durchgeleitet'.

Ich möchte gerne die 16 öffentlichen IP-Adressen direkt, also ohne NAT, auf einer als DMZ angelegten Schittstelle nutzen. Meine Frage ist nun die, ob dies so möglich ist, oder es eben nur mittels NAT erfolgen kann. Für den Fall, dass es auch ohne NAT geht, gleich die zweite Frage, nach dem wie?

Danke für eure Hilfe!

Gruß Andreas

[Patrick M. Hausen]

Du konfigurierst die erste Adresse auf dem DMZ-Interface der OPNsense. Alle weiteren Hosts in der DMZ nutzen dann diese als Default-Gateway. Ganz einfach 

Du hast bei einem /28 14 nutzbare Adressen. Also OPNsense plus 13 weitere.

[Pelikan Netzwerk]

Danke für die Rückmeldung. Aber muss nicht eine Brücke zwischen der WAN-Schnittstelle und der DMZ eingerichtet werden?

[Patrick M. Hausen]

Nein, dein ISP routet die Pakete an die externe IP-Adresse deiner Firewall. Du brauchst natürlich eingehende Regeln!

[Pelikan Netzwerk]

Kannst Du mir bitte etwas unter die Arme greifen, und ein Beispiel nennen, wie diese eingehenden Regeln aussehen sollen/müssen. Lieben Dank.

[Patrick M. Hausen]

Also nehmen wir mal an, dein Netz ist 1.2.3.64/28

OPNsense bekommt dann z.B. 1.2.3.65/28 auf dem DMZ-Interface.

Jetzt verbindest du einen Webserver in der DMZ, der bekommt 1.2.3.66/28 als Adresse und 1.2.3.65 als Default-Gateway.

Dann brauchst du folgende Regeln, damit "Web" erreichbar ist:

Interface: WAN
Direction: in
Protocol: TCP
Source: any
Destination: 1.2.3.66
Destination Port: 80
Action: allow

Interface: WAN
Direction: in
Protocol: TCP
Source: any
Destination: 1.2.3.66
Destination Port: 443
Action: allow

Per default ist doch alles vom Internet nach drinnen verboten - du musst einfach nur die Dienste erlauben, die erreichbar sein sollen.

Das geht natürlich eleganter, wenn man z.B. mehrere Server hat, die alle dieselben Dienste anbieten, indem man Aliase anlegt. Also

Alias typ Host(s): Public_Webservers - da alle IP-Addressen der Webserver reinpacken
Alias typ Port(s): Port_Web - 80 und 443

Dann kannst du mit einer einzigen Regel beide Ports und alle Webserver erschlagen.

[Pelikan Netzwerk]

Besten Dank für die Hilfe. Hat soweit funktioniert. Allerdings bedarf es im Weiteren noch so vieler Einstellungen, dass ich doch einen Support Fall bei Deciso eröffnet habe.

[Patrick M. Hausen]

Besorg dir doch am besten vor Ort einen Netzwerker mit Erfahrung mit dem Produkt.