the-doc
Goto Top

Sophos SG210 UTM9-kein Internet im VLAN

Hallo zusammen. Ich habe ein Problem und stehe da gerade irgendwie auf dem Schlauch und hoffe ihr könnt mich erleuchten.

Konstallation der Sophos UTM9 SG210

Schnittstellen:
- eth0: internes Netz (Art:Ethernet) --> 192.168.110.254/24
- eth1: WAN (Gateway mit Internetproxy und andere Dienste) (Art:Ethernet) --> 10.1.83.2/24
- eth2: EXT-DSL (VPN Nutzung)(Fritzbox dahinter) (Art:Ethernet) --> 192.168.0.5/24
- eth3: EXT-DSL-Frei (freie Internetnutzung)(Vodafone Kabelrouter dahinter) (Art:Ethernet) (IPv4-Standard-GW: aktiviert mit eingetragenen GW: 192.168.1.1) --> 192.168.1.6/24
- eth0: Internal-Frei-VLAN999 (Art:VLAN999) --> 192.168.110.254/24

An den Port ETH0 ist ein HP Switch, der VLAN1 untagged und VLAN999 Tagged konfiguriert hat. An dem Switch bin ich mit einen Laptop am Port mit dem VLAN999 Untagged.

Mein Ziel ist es, dass das VLAN999 über eth3 ins Internet kommt ohne Einschränkungen.
Ich kann einen Ping auf den Vodafone Kabelrouter absetzen und komme auch auf die Benutzeroberfläche, aber komme da nicht mehr weiter.

Folgendes ist konfiguriert:
- Firewall: Internal-Frei-VLAN999(Netzwerk) zu EXT-DSL-Frei(Netzwerk) und anders herum
- Maskierung(NAT): Internal-Frei-VLAN999(Netzwerk) zu Schnittstelle EXT-DSL-Frei
- unter Netzwerkdienste DNS --> Allgemein zugelassene Netzwerke: Internal-Frei-VLAN999(Netzwerk)
- unter Netzwerkdienste DNS --> DNS-Forwarders: Vodafone Kabelrouter eingetragen
- IP-Helper vom DHCP aus eth0: internes Netz -->bekomme DHCP vom Windows Server

Beim Tracrt zeigt er mir nur das GW vom VLAN999 an und dann nur noch * * *
Auf dem Vodafone Kabelrouter habe ich nichts eingestellt. Der Router wird auch noch für andere Sachen genutzt und es kann daher nicht die Funktion wie bei Fritzbox (extended Host) eingestellt werden.

Ich hoffe Ihr könnt mir folgen und helfen. Danke schon mal im Vorraus für eure Hilfe.

Content-ID: 8165909865

Url: https://administrator.de/forum/sophos-sg210-utm9-kein-internet-im-vlan-8165909865.html

Ausgedruckt am: 17.03.2025 um 18:03 Uhr

NordicMike
NordicMike 16.08.2023 um 15:51:58 Uhr
Goto Top
Was genau funktioniert nicht? Scheitert schon der Ping auf eine externe IP oder funktioniert nur die Namensauflösung nicht?
The-Doc
The-Doc 16.08.2023 um 22:03:12 Uhr
Goto Top
Hi. Beides funktioniert nicht. Komme quasi nur bis zum Kabel Modem.
aqui
aqui 17.08.2023 aktualisiert um 10:58:04 Uhr
Goto Top
Ist das Modem wirklich ein NUR Modem (öff. IP direkt auf der FW) oder ist es ein Router mit NAT in einer üblichen Router Kaskade? Begrifflich wird das leider sehr oft laienhaft verwechselt ist aber netztechnisch ein großer Unterschied.
NordicMike
NordicMike 17.08.2023 um 10:56:50 Uhr
Goto Top
Du kannst die Vodafone Box pingen, weil du ihre IP Nummer verwendest und deine Sophos Schnittstelle im gleichen Subnetz ist, also weiß Sophos wohin die Anfrage geschickt werden muss. Wenn du jedoch eine externe IP pingen möchtest, dann geht es scheinbar nicht zur Vodafone Box. Es könnte sein, dass du zu einer anderen externen Leitung raus sendest. Du hast ja auch nirgends definiert auf welche Leitung es raus schicken soll. Das kannst du kontrollieren, indem du die Schnittstellen auf die Ping Befehle beobachtest.

Ich denke du benötigst noch ein Policy Routing.
The-Doc
The-Doc 17.08.2023 um 11:10:13 Uhr
Goto Top
Zitat von @aqui:

Ist das Modem wirklich ein NUR Modem (öff. IP direkt auf der FW) oder ist es ein Router mit NAT in einer üblichen Router Kaskade? Begrifflich wird das leider sehr oft laienhaft verwechselt ist aber netztechnisch ein großer Unterschied.

Danke für deine Antwort/ Frage. Es ist tatsächlich ein Router mit NAT und nicht nur ein Modem , wo dann die Einwahldaten in der Firewall sind.
The-Doc
The-Doc 17.08.2023 aktualisiert um 11:17:46 Uhr
Goto Top
Zitat von @NordicMike:

Du kannst die Vodafone Box pingen, weil du ihre IP Nummer verwendest und deine Sophos Schnittstelle im gleichen Subnetz ist, also weiß Sophos wohin die Anfrage geschickt werden muss. Wenn du jedoch eine externe IP pingen möchtest, dann geht es scheinbar nicht zur Vodafone Box. Es könnte sein, dass du zu einer anderen externen Leitung raus sendest. Du hast ja auch nirgends definiert auf welche Leitung es raus schicken soll. Das kannst du kontrollieren, indem du die Schnittstellen auf die Ping Befehle beobachtest.

Ich denke du benötigst noch ein Policy Routing.

Das ist soweit richtig und auch logisch, da das Netz ja unmittelbar an der Firewall ist und ich per Allow Policy freigegeben habe.

Ja, da hast du Recht, das offenbar die Anfrage wo anders hin geht statt zu meinen gewünschten Gateway.

Was ich gerade sehe und nicht geschrieben habe. Ich habe ebenfalls eine Gateway Route gesetzt
Netzwerk: Internal-Frei-VLAN999(Netzwerk)
Gateway: Kabel-Router (Vodafone Kabelrouter)
The-Doc
The-Doc 17.08.2023 aktualisiert um 11:20:48 Uhr
Goto Top
Was jetzt auch etwas zeitlich unglücklich ist. Ich bin Morgen und für die nächste Woche im Urlaub und werde daher gehend erstmal alles wieder deaktivieren, bis ich mich dann, wenn ich wieder da bin, mich dem Thema wieder widtmen kann und meine Kollegen nicht verwirrt sind. Das schon mal soweit als Info für euch.
Man kann halt dennoch darüber reden was ich ggf. vergessen habe oder falsch denke.
NordicMike
NordicMike 17.08.2023 um 11:23:21 Uhr
Goto Top
Was ich gerade sehe und nicht geschrieben habe. Ich habe ebenfalls eine Gateway Route gesetzt
Netzwerk: Internal-Frei-VLAN999(Netzwerk)
Gateway: Kabel-Router (Vodafone Kabelrouter)
Hmmm... ob das funktioniert? Ich habe die WAN Leitungen alle in einen Uplink Ausgleich gepackt und per Policy Route definiert wer wohin darf. Das hat zumindest den zusätzlichen Vorteil, wenn eine WAN Leitung ausfällt.
aqui
aqui 17.08.2023 um 14:41:27 Uhr
Goto Top
Die Route ist völlig unsinnig und sinnfrei. In VLAN 999 befinden sich ja keinerlei Endgeräte. Und auch wenn würde die FW dieses Netz ja auch ganz ohne Route „kennen“ weil es ja direkt an ihr angeschlossen ist.
Den Blödsinn kannst du gleich wieder löschen und nochmal ein paar Grundlagen zum IP Routing lesen und verstehen! 😉
The-Doc
The-Doc 21.08.2023 um 23:24:04 Uhr
Goto Top
Zitat von @NordicMike:

Was ich gerade sehe und nicht geschrieben habe. Ich habe ebenfalls eine Gateway Route gesetzt
Netzwerk: Internal-Frei-VLAN999(Netzwerk)
Gateway: Kabel-Router (Vodafone Kabelrouter)
Hmmm... ob das funktioniert? Ich habe die WAN Leitungen alle in einen Uplink Ausgleich gepackt und per Policy Route definiert wer wohin darf. Das hat zumindest den zusätzlichen Vorteil, wenn eine WAN Leitung ausfällt.

Ich habe es probiert. Da ob es was für mich bringt, da ich damit noch mit Funktion etwas unbedarft bin.
Das Problem ist mit dem Uplink Ausgleich ist, sobald man die Schnittstelle als Gateway-Schnittstelle definiert, wird der Automatisch zum Uplink hinzugefügt. Musste den aber wieder aus dem Uplink raus nehmen, weil ja jede Schnittstelle seine eigene Funktion hat und Netz bestimmt ist.
The-Doc
The-Doc 21.08.2023 um 23:28:12 Uhr
Goto Top
Zitat von @aqui:

Die Route ist völlig unsinnig und sinnfrei. In VLAN 999 befinden sich ja keinerlei Endgeräte. Und auch wenn würde die FW dieses Netz ja auch ganz ohne Route „kennen“ weil es ja direkt an ihr angeschlossen ist.
Den Blödsinn kannst du gleich wieder löschen und nochmal ein paar Grundlagen zum IP Routing lesen und verstehen! 😉

Ja, die ist auch mehr ein verzweifelter Versuch gewesen. Ich denke das ich IP-Routing verstehe (Statisches Routing), denke ich zumindest. Habe mir dazu extra nochmal Video in einer Umgebung mit dem Packet-Tracer angesehen um das noch mal aufzufrischen bzw das wissen zu bestätigen.

Ich denke ich werde mir das ganze wohl selbst mal in einen Packet-Tracer Versuch nachstellen, vielleicht sehe ich dann, was ich falsch mache und denke. Dann sehe ich genau was die Pakete machen oder auch nicht.
The-Doc
The-Doc 21.08.2023 um 23:28:49 Uhr
Goto Top
Danke für eure Kommentare und schöne Grüße aus dem Urlaub face-smile
NordicMike
NordicMike 22.08.2023 aktualisiert um 11:27:38 Uhr
Goto Top
Das Problem ist mit dem Uplink Ausgleich ist, sobald man die Schnittstelle als Gateway-Schnittstelle definiert, wird der Automatisch zum Uplink hinzugefügt. Musste den aber wieder aus dem Uplink raus nehmen, weil ja jede Schnittstelle seine eigene Funktion hat und Netz bestimmt ist.

Das ist richtig. Mit dem Policy Routing bestimmst du dann welches Subnetz auf welche der Uplink Schnittstellen raus telefoniert. Damit definierst du nicht nur das Gastnetz mit der neuen Uplink Schnittstelle, auch die alten vorhandenen Netze benötigen nun eine Definition wohin sie raus dürfen.
aqui
aqui 11.09.2023 um 12:13:00 Uhr
Goto Top
Wenn es das denn nun war bitte deinen Thread hier dann auch als erledigt schliessen!
The-Doc
The-Doc 21.09.2023 um 13:22:14 Uhr
Goto Top
Hallo Aqui, leider war es das noch nicht gewesen, weil ich aktuell nicht mehr dazu kam mich dem zu widtmen. Bin aber gerade jetzt wieder drüber und schaue was ich umsetzen kann.
The-Doc
The-Doc 21.09.2023 aktualisiert um 15:31:27 Uhr
Goto Top
Was gerade noch meine Überlegungen sind. Ist die Firewall richtig eingestellt?
Habe mal das "Internal-Frei-VLAN999(Netzwerk)" Protokoll: Any und Ziel auch Any eingestellt.
Mach einen Dauer-Ping auf 8.8.8.8 und Vodafone Kabelrouter (Internet). Bei 8.8.8.8 komme ich nicht durch, allerdings aber zum Kabelrouter.
Ich denke die Pakete wissen nicht, das zum Kabelrouter gehen sollen, wenn ich ein Tracert auf 8.8.8.8 mache. Bekomme nur 192.168.199.254 angezeigt und nicht weiter.
Ich habe aber die Maskierung von Internal-Frei-VLAN999(Netzwerk) auf EXT-DSL-Frei(Netzwerk) stehen.

Auf der Sophos kann man einen Ping absetzen gezielt über die Schnittstelle des Kabelnetzes und da komme ich raus.
aqui
aqui 21.09.2023 aktualisiert um 23:06:14 Uhr
Goto Top
Betreibst du Kabelrouter und Firewall in einer klassischen Router Kaskade??
Möglich das du die Default Route auf den Kablerouter vergessen hast? Bzw. die statischen Routen für die IP Netze hinter der Firewall wenn du ohne doppeltes NAT arbeitest?!
Guckst du zu den Grundlagen auch hier.
The-Doc
The-Doc 22.09.2023 um 07:49:44 Uhr
Goto Top
Ja, das mache ich, wie oben beschrieben. Mein Problem ist, in dem Kabel Router kann man keine statische Route setzen, sonst wäre das einfach und hätte nicht "Problem". Und ich habe somit ein Doppel NAT. Danke für den Link, werde ihn mir nochmal zu Gemühte führen. Man kann ja immernoch mal was lernen face-smile
NordicMike
NordicMike 22.09.2023 aktualisiert um 08:54:49 Uhr
Goto Top
Sobald du Multipath Routing verwendest, musst du jedem Netzwerkteilnehmer definieren zu welcher Schnittstelle es raus telefonieren soll. Nicht nur die, die zur neuen Schnittstelle raus sollen, sondern auch die, die bisher zur Standard Gateway raus telefoniert haben.

Mit jedem Teilnehmer ist gemeint: Du kannst z.B. nach Netzwerkbereichen, nach Schnittstelle oder nach Diensten definieren wer gemeint ist.
NordicMike
NordicMike 22.09.2023 um 08:55:13 Uhr
Goto Top
unbenannt1
The-Doc
The-Doc 22.09.2023 um 11:23:03 Uhr
Goto Top
Das Netz was durch geschleift werden muss, da soll jeder Port frei sein. Das soll zukünftig das freie Netz werden für Gäste usw. das die mit ihren Geräte ankommen und Datenbankverbindungen oder Ihren eigenen Tools arbeiten können. Wenn ich das richtig verstanden habe, definierst oben nach Dienste. Kann ich auch sagen, das ich bei Dienst "Any" eintrage und rechts und links dann meine Netze?
NordicMike
NordicMike 22.09.2023 um 11:31:41 Uhr
Goto Top
Wenn ich das richtig verstanden habe, definierst oben nach Dienste.

Du kannst z.B. nach Netzwerkbereichen, nach Schnittstelle oder nach Diensten definieren
nach allem, was du im Menü auswählen kannst.
The-Doc
The-Doc 29.09.2023 um 11:10:07 Uhr
Goto Top
Hallo Leute, das ganze funktioniert nun. Das lustige daran ist, ich habe ein Unternehmen zur Hilfe genommen um drüber zu schauen und wir haben die von mir erstellten Einstellungen aktiviert und es ging komischer weise. Wir haben in der Firewall noch von Any zu Internet/V6 geändert und alles schickt.


Hier meine Einstellungen dazu für die, die auch Probleme haben face-smile

Die Schnittstelle VLAN999, ist mit den Switch verbunden und getagged mit VLAN999.
schnittstelle-vlan999

Die Schnittstelle zum WAN (Kabelrouter).
schnittstelle-wan

DNS Allgemein
dns-allgemein - bearbeitet

DNS Weiterleitung
dns-weiterleitung

Maskierung
maskierung

Firewall-Regel
firewall-regel

Multipathregel
multipathregel