[Løst]Bruke samme subnet på WAN og LAN

[c7Nn]

Hei.

 

Skal sette opp en firewall og lurer på om det er noen mulighet å bruke samme subnet på både wan og lan interface?

 

Er det forresten lov å bruke et wan interface internet? kan ikke de reglene der...

Burde vel være det iom dhcp serveren i "modemet" bruker wan interfacet

 

Det er forresten en sonicwall tz210 som skal settes opp.

 

Takk

[Stigma]

Jeg må inrømme at dette har jeg aldri forsøkt i praksis, men jeg ville tro at det skulle være mulig dersom du definerte for de forskjellige enhetene hvilken IP som var deres gateway.

 

Elsempelvis modem/modmeruter er på 10.0.0.1

firewall på 10.0.0.2

alle andre enheter på 10.0.0.3 og opp.

 

Så lenge du definerer at maskinene skal forholde seg til 10.0.0.2 som gateway mens firewallen forholder seg til 10.0.0.1 som gateway så burde det gå, men det må nok da defineres manuellt i nettverkskortinstillingene, ellers vil sansynligvis trafikken fra maskinene bare gå direkte til modem/modemruter.

 

Er det noen spesiell grunn til at du må ha det slik i stedet for å ha et eget subnett etter firewallen?

 

"Er det forresten lov å bruke et wan interface internet?"

Dette spørsmålet forstår jeg ikke - kan du rephrase?

 

-Stigma

[c7Nn]

Jeg må inrømme at dette har jeg aldri forsøkt i praksis, men jeg ville tro at det skulle være mulig dersom du definerte for de forskjellige enhetene hvilken IP som var deres gateway.

 

Elsempelvis modem/modmeruter er på 10.0.0.1

firewall på 10.0.0.2

alle andre enheter på 10.0.0.3 og opp.

 

Så lenge du definerer at maskinene skal forholde seg til 10.0.0.2 som gateway mens firewallen forholder seg til 10.0.0.1 som gateway så burde det gå, men det må nok da defineres manuellt i nettverkskortinstillingene, ellers vil sansynligvis trafikken fra maskinene bare gå direkte til modem/modemruter.

 

Er det noen spesiell grunn til at du må ha det slik i stedet for å ha et eget subnett etter firewallen?

 

"Er det forresten lov å bruke et wan interface internet?"

Dette spørsmålet forstår jeg ikke - kan du rephrase?

 

-Stigma

 

Takk for svar, men får ikke satt samme subnet på 2stk interfaces i firewallen (kan poste print screen etterpå).

Grunnen til at jeg må gjøre dette er fordi det er installert adgangskontroll osv, som er satt opp med ip-adresser fra nåværende dhcp som ligger i subnettet jeg får inn (wan)..

 

 

"Er det forresten lov å bruke et wan interface internet?"

Dette spørsmålet forstår jeg ikke - kan du rephrase?

 

Glem dette, fant ut av det.

[Stigma]

La meg forstå problemstillingen riktig:

 

Det er slik at du må ha en spesiell IP for å få lov til å logge på firewallen, men dette subnettet som IPen er på er allerede i bruk av modemruteren din - korrekt?

 

Den letteste løsningen i mine øyne er da (dersom du ikke kan endre subnettet som brukes på firewallen) å endre subnettet som brukes på modemruteren i stedet. Da vil du kunne få 2 subnett som ikke kommer i konflikt med hverandre, eller i konflikt med IPen som du trenger for adgangskontrollen.

 

Eller misforsto jeg noe nå?

 

-Stigma

[nomore]

To nettverksgrensesnitt(interface) kan ikke settes i samme subnet(nettverk). Hvordan skal systemet vite hvilket grensesnitt pakkene skal gå ut på? Litt usikker på om det er fysisk mulig å gjøre nødvendig endring, men i de fleste tilfeller vil det være en kontroll i GUI som sjekker dette, før endringen utføres.

 

Forslaget mitt vil være å splitte subnettet. For eks kan du sette følgende på WAN: 192.168.0.1/255.255.255.248. Da vil det nettet bestå av 192.168.0.1 til 192.168.0.6(nett id vil være 192.168.0.0 og broadcast vil være 192.168.0.7). På LAN kan du sette for eks 192.168.0.129/255.255.255.128. Da vil det nettet bestå av 192.168.0.129 til 192.168.0.254(nett id vil være 192.168.0.128 og broadcast vil være 192.168.0.255).

 

På den måten vil begge IP adressene være innenfor samme adresseområde(klasse C nett), men ikke være på samme subnet.

 

WAN på Sonicwalen vil da være 192.168.0.1 til 192.168.0.6, og LAN vil være 192.168.0.129 til 192.168.0.254.

Endret 9. januar 2010 av nomore

[c7Nn]

La meg forstå problemstillingen riktig:

 

Det er slik at du må ha en spesiell IP for å få lov til å logge på firewallen, men dette subnettet som IPen er på er allerede i bruk av modemruteren din - korrekt?

 

Den letteste løsningen i mine øyne er da (dersom du ikke kan endre subnettet som brukes på firewallen) å endre subnettet som brukes på modemruteren i stedet. Da vil du kunne få 2 subnett som ikke kommer i konflikt med hverandre, eller i konflikt med IPen som du trenger for adgangskontrollen.

 

Eller misforsto jeg noe nå?

 

-Stigma

 

Du misforsto nok noe nå, har ingen problemer med å komme meg inn på sonicwallen atm (for den er ikke satt inn i nettverket enda). Men driver med konfig nå og da jeg skal sette samme subnet på lan og wan får jeg feilmelding, og det vil det jo selvfølgelig komme (som nomore skriver), men skal snakke med de som satte opp modemet og skaffe innlogging til modemet slik at jeg kan se hva som er gjort der (litt mange folk som holder på og da er det dårlig dokumentert....)

 

 

Nomore: skjønner hva du mener med at det ikke kan settes samme subnet her, men lurer kanskje på om det kan settes en forward her, sonicwallen skal tross alt bare være firewall mens server skal stå som dhcp osv (må bare komme meg inn på modemet:p)..

Men skal prøve det du sier med å dele opp subnets osv

[nomore]

Vel, om den kun skal brukes som firewall kan du vel sette LAN interfacet som transparent? Er beklageligvis lenge siden eg har jobbet med Sonicwall'er, og er heller ikke sikker på om du må ha enhached OS for å få det til å fungere.

[c7Nn]

Vel, om den kun skal brukes som firewall kan du vel sette LAN interfacet som transparent? Er beklageligvis lenge siden eg har jobbet med Sonicwall'er, og er heller ikke sikker på om du må ha enhached OS for å få det til å fungere.

 

Hmm, ja, det kan kanskje gå..

 

Hvilken velger jeg da?

Oppsettet skal se slik ut: modemet gir EN statisk ip til sonicwallen som da vil gå ut på LAN porten inn i en switch som går f.eks ut til serveren som blir dhcp osvosv, vil jeg da kunne sette opp dhcp poolet med klasse A ip-adresser (hvis du skjønner hva jeg mener.. 84.xx.xxx.xxx)??

 

[nomore]

Det er for lenge siden eg har jobbet med Sonicwall at eg kan svare konkret på det spørsmålet der.

 

Men, du kan ikke dele ut IP adresser i området 84.x.x.x med mindre du er tildelt dette området i fra din nettleverandør. Dersom du skal dele ut IP adresser i et område så må dette bli i et privat IP-område(10.x.x.x/192.168.x.x), og disse to nettene må adskilles med en router. Og da kan eg ikke se hvorfor du ikke bare kan bruke router funksjonaliteten i Sonicwallen.

 

Kan du ikke utdype hva det er du ønsker å oppnå? Gjerne med en tegning...

[c7Nn]

Ok. Her er en liten tegning av hvordan det ser ut sånn ca, problemet er at jeg ikke har fått tak i ISP'en enda, så vet ikke hva jeg kan gjøre av endringer etcetc..

 

regner med at ip-adressene jeg har tilgang til er 84.x.x.2-254

 

Det jeg helst vil oppnå er da: få gitt ut samme ip-adresser fra sonicwallen som jeg har i det eksisterende dhcp poolet fra leverandøren..

 

Er litt vanskelig for meg å forklare skikkelig uten all informasjonen, så blir heller ikke så lett for dere å hjelpe meg:p

 

Noe mer du trenger?

 

[nomore]

Hvorfor skal du dele ut IP adresser egentlig?

 

Eg ville tenkt en del annerledes, og eg tviler på at du har fått et helt nett til din disposisjon. Hva er subnet masken?

 

Det første eg ville gjort var å koble en switch til port 16 på Cisco boksen. Med fordel kan dette være en managed switch som har støtte for VLAN(hvor da utsiden er et eget VLAN). Denne switchen(eller VLAN'et) vil da være rent internett uten brannmur osv. Til denne switchen kobler du adgangskontrollen og WAN porten på Sonicwallen, med faste eksterne adresser. Så setter du Sonicwallen opp som en standard router + brannmur, med et eget privat subnet på LAN siden(hvor du kan dele ut adresser i eget privat adresseområde). LAN siden på Sonicwallen kobles så til en egen switch(eller nytt VLAN på den første switchen). Her kobler du da til NAS, server og arbeidsstasjoner.

 

Fordelen er at du da får et tradisjonelt oppsett som er lett å feilsøke og lett å sette opp. Alternativet ditt kan by på utfordringer, spesielt mtp utdeling av offentlige IP adresser og samtidig forhindre at eksterne klienter kan hente DHCP forespørsler fra deg.