Forum Ljud, bild och kommunikation Nätverk och uppkoppling Tråd Inlägg

2 Subnets mellan 2 Brandväggar

1
Skriv svar
Permalänk
Medlem
●

2 Subnets mellan 2 Brandväggar

Hej!

Har ett dilemma hos en kund.. de kör 2 olika brandväggar med separata ISP, dessa brandväggar har även olika subnets.. den ena kör med 192.168.1.0/24 och den andra kör med 172.16.50.0/24.

Problemet är att de vill kunna nå 172-nätet ifrån 192-nätet.. hur gör jag detta möjligt? Räcker det att i den ena brandväggen lägga en statisk rutt till 172-nätet och vise versa på den andra brandväggen?

Tack på förhand!

Visa signatur

|| FD Meshify C | RM750x 750W | Asus X470-F | AMD Ryzen 7 2700x | 32GB 3000Mhz | Asus RTX3080 TUF | 2x NVMe 500GB | Win10 Pro 64-Bit | ASUS VG259QM+Samsung S24D390H | Deathadder Chroma och Logitech G533 ||

Redigera
Citera flera Citera
Permalänk
Avstängd
●

Hur sitter de ihopkopplade? Ciscon är nog lite snällare med trafik och du skapar en direktroute till det andra nätet, men Clavistern kommer att vägra om du inte använder FwdFast-regler eller NAT beroende på hur du satt upp.

Är de alltså anslutna på samma LAN, så du vill ge Clavistern ett IP på Ciscon lan-nät och tvärtom?

Jag är för övrigt ingen expert på Cisco trots att jag har konfigurerat om ett par. På Clavister är jag däremot riktigt vass.

Redigera
Citera flera Citera
Permalänk
Medlem
●
Skrivet av Talisker00:

Hur sitter de ihopkopplade? Ciscon är nog lite snällare med trafik och du skapar en direktroute till det andra nätet, men Clavistern kommer att vägra om du inte använder FwdFast-regler eller NAT beroende på hur du satt upp.

Är de alltså anslutna på samma LAN, så du vill ge Clavistern ett IP på Ciscon lan-nät och tvärtom?

Jag är för övrigt ingen expert på Cisco trots att jag har konfigurerat om ett par. På Clavister är jag däremot riktigt vass.

Gå till inlägget

För tillfället är de inte sammankopplade alls, är en switch emellan som jag tänkte koppla ihop dem med. Så just nu är de näten helt fristående.

Är inte heller speciellt high på Cisco asan... kan också clavister bättre..

Visa signatur

|| FD Meshify C | RM750x 750W | Asus X470-F | AMD Ryzen 7 2700x | 32GB 3000Mhz | Asus RTX3080 TUF | 2x NVMe 500GB | Win10 Pro 64-Bit | ASUS VG259QM+Samsung S24D390H | Deathadder Chroma och Logitech G533 ||

Redigera
Citera flera Citera
Permalänk
Medlem
●
Skrivet av Talisker00:

Hur sitter de ihopkopplade? Ciscon är nog lite snällare med trafik och du skapar en direktroute till det andra nätet, men Clavistern kommer att vägra om du inte använder FwdFast-regler eller NAT beroende på hur du satt upp.

Är de alltså anslutna på samma LAN, så du vill ge Clavistern ett IP på Ciscon lan-nät och tvärtom?

Jag är för övrigt ingen expert på Cisco trots att jag har konfigurerat om ett par. På Clavister är jag däremot riktigt vass.

Gå till inlägget

Kanske dum fundering men skulle man kunna sätta upp en fast VPN-tunnel iställlet mellan brandväggarna? Eller blir de problem?

Visa signatur

|| FD Meshify C | RM750x 750W | Asus X470-F | AMD Ryzen 7 2700x | 32GB 3000Mhz | Asus RTX3080 TUF | 2x NVMe 500GB | Win10 Pro 64-Bit | ASUS VG259QM+Samsung S24D390H | Deathadder Chroma och Logitech G533 ||

Redigera
Citera flera Citera
Permalänk
Medlem
●

Du behöver ingen switch. Koppla dom direkt, använd en /30 på interfacer och routa trafiken. Kom ihåg att tillåta trafiken också.
ASA är ganska straightforward, Clavisteren är jag mindre säker på, men ni verkar ha bra koll

Visa signatur

Bosna u <3

I7-6700K :-: 16gb DDR4 :-: ASUS 1080TI :-: MSI Gaming Carbon :-: NH-U14S :-: FD R5 :-: Seasonic X 760W

Redigera
Citera flera Citera
Permalänk
Avstängd
●
Skrivet av zeleni:

Du behöver ingen switch. Koppla dom direkt, använd en /30 på interfacer och routa trafiken. Kom ihåg att tillåta trafiken också.
ASA är ganska straightforward, Clavisteren är jag mindre säker på, men ni verkar ha bra koll

Gå till inlägget

Jo, precis som han säger kan du bara plocka ett nät och använda som routingnät om du har ett interface per brandvägg "över". Det är klart lättast. Konfigurationen blir bra precis som i fallet VPN. Är det på DMZ på clavister så kan du exempelvis använda 10.10.10.1 på den och 10.10.10.2 på cisco.
Sedan sätter du i routingen i Clavister.
iface net gateway
dmz 10.10.10.0/30
dmz 172.16.50.0/24 10.10.10.2

Sedan är det ALLOW som gäller regelmässigt då du lika gärna kan behålla "korrekta" IP adresser.

Redigera
Citera flera Citera
Permalänk
Medlem
●
Skrivet av zeleni:

Du behöver ingen switch. Koppla dom direkt, använd en /30 på interfacer och routa trafiken. Kom ihåg att tillåta trafiken också.
ASA är ganska straightforward, Clavisteren är jag mindre säker på, men ni verkar ha bra koll

Gå till inlägget

Okej tack, måste dock köra en switch emellan då de är i vars en ände av deras byggnad..

Visa signatur

|| FD Meshify C | RM750x 750W | Asus X470-F | AMD Ryzen 7 2700x | 32GB 3000Mhz | Asus RTX3080 TUF | 2x NVMe 500GB | Win10 Pro 64-Bit | ASUS VG259QM+Samsung S24D390H | Deathadder Chroma och Logitech G533 ||

Redigera
Citera flera Citera
Permalänk
Avstängd
●

Personligen tycker jag att ASA är konstig i Ciscos sortiment. Man är världsledande på routrar och switchar, men på brandväggar har man en bastard mest för att man behöver en. Den är inte riktigt värdigt tillverkaren Cisco på något sätt. Den känns mer Zyxel/Netgear/DLink, typ...

Redigera
Citera flera Citera
Permalänk
Medlem
●

Jag skulle ta ett interface på SG50:an (antigen aux eller dmz) och sätta ett fast IP i 172.16.50.0/24 nätet sen lägga till en statisk route för 172.16.50.0/24 i clavven som går ut på det interface du valde. Skapa sen två allow-regler som tillåter trafik till och från näten.
Det enda du behöver göra i ciscon är att skapa en route för 192.168.1.0/24 som pekar mot det IP:t du satte på Clavven och två regler som tillåter trafik fram och tillbaka.

Har gjort detta innan och nästan alltid så är det licensproblem på ASA:an som inte tillåter fler än två interface (outside och inside).
Hoppas det lirar för dig!

Redigera
Citera flera Citera
Permalänk
Avstängd
●
Skrivet av bjorn711:

Jag skulle ta ett interface på SG50:an (antigen aux eller dmz) och sätta ett fast IP i 172.16.50.0/24 nätet sen lägga till en statisk route för 172.16.50.0/24 i clavven som går ut på det interface du valde. Skapa sen två allow-regler som tillåter trafik till och från näten.
Det enda du behöver göra i ciscon är att skapa en route för 192.168.1.0/24 som pekar mot det IP:t du satte på Clavven och två regler som tillåter trafik fram och tillbaka.

Har gjort detta innan och nästan alltid så är det licensproblem på ASA:an som inte tillåter fler än två interface (outside och inside).
Hoppas det lirar för dig!

Gå till inlägget

Visst ja. Ciscon "state-trackar" inte de förbindelserna så du slipper Fwdfast i Clavistern. Hade det varit två Clavister så kan man inte ha Allow i bägge i det där fallet, men nu med Cisco så är det där en bra lösning. Ciscon kommer nämligen inte att se bägge riktningarna av kommunikationen då den bara ser utgående trafik från 172.26.50.0/24.

Visst ja. Fick ha det trådlösa gästnätet på ett extra interface (vlan) på Ciscon en gång och då var det något licenstjafs så det fick bara prata med antingen external eller internal.

Redigera
Citera flera Citera
Permalänk
Medlem
●
Skrivet av bjorn711:

Jag skulle ta ett interface på SG50:an (antigen aux eller dmz) och sätta ett fast IP i 172.16.50.0/24 nätet sen lägga till en statisk route för 172.16.50.0/24 i clavven som går ut på det interface du valde. Skapa sen två allow-regler som tillåter trafik till och från näten.
Det enda du behöver göra i ciscon är att skapa en route för 192.168.1.0/24 som pekar mot det IP:t du satte på Clavven och två regler som tillåter trafik fram och tillbaka.

Har gjort detta innan och nästan alltid så är det licensproblem på ASA:an som inte tillåter fler än två interface (outside och inside).
Hoppas det lirar för dig!

Gå till inlägget

Tack! skitbra! nu har jag nog kolla på läget

Visa signatur

|| FD Meshify C | RM750x 750W | Asus X470-F | AMD Ryzen 7 2700x | 32GB 3000Mhz | Asus RTX3080 TUF | 2x NVMe 500GB | Win10 Pro 64-Bit | ASUS VG259QM+Samsung S24D390H | Deathadder Chroma och Logitech G533 ||

Redigera
Citera flera Citera
Permalänk
Medlem ★
●

Tänk på att en ASA 5505 är en switchad enhet. Du kommer behöva sätta upp ett vlan för att kunna sätta ip på den och för att ha något att routa mot.

Tyvärr glömt av mycket av min ASA då den inte är någon favorit.

Mvh
Mattias

Redigera
Citera flera Citera
Permalänk
Medlem
●
Skrivet av bjorn711:

Jag skulle ta ett interface på SG50:an (antigen aux eller dmz) och sätta ett fast IP i 172.16.50.0/24 nätet sen lägga till en statisk route för 172.16.50.0/24 i clavven som går ut på det interface du valde. Skapa sen två allow-regler som tillåter trafik till och från näten.
Det enda du behöver göra i ciscon är att skapa en route för 192.168.1.0/24 som pekar mot det IP:t du satte på Clavven och två regler som tillåter trafik fram och tillbaka.

Har gjort detta innan och nästan alltid så är det licensproblem på ASA:an som inte tillåter fler än två interface (outside och inside).
Hoppas det lirar för dig!

Gå till inlägget

Hm, har konfat så som du beskrev men får inte riktigt trafiken att lira mellan nätet.. sitter med min dator inkopplad i cisco asan och kan pinga de interface på SG55an som jag gav en fast IP i 172.16.50.0/24 - nätet.. kanske har konfat någon regel fel?

Visa signatur

|| FD Meshify C | RM750x 750W | Asus X470-F | AMD Ryzen 7 2700x | 32GB 3000Mhz | Asus RTX3080 TUF | 2x NVMe 500GB | Win10 Pro 64-Bit | ASUS VG259QM+Samsung S24D390H | Deathadder Chroma och Logitech G533 ||

Redigera
Citera flera Citera
Permalänk
Medlem
●

Om du pingar något från din klient i 172.16.50.0/24 nätet mot 192.168.1.0/24 och samtidigt går in i Clavven antigen via webiu eller via ssh (beroende på vilken version du har, allt över 9.X har webui) och kollar loggen och sorterar på allt som ska mot det IP:t du pingar mot så kan du ju se ifall trafiken kommer fram eller inte från ciscon.
Tyvärr kommer jag inte ihåg nu hur man visar när en viss regel slår men du kan iaf se connections som försöker komma in: "connections -show -destip=192.168.1.x".
Sen kan du ju även testa i CLI:t och se om reglerna finns ordentligt. "ping 192.168.1.x -srcip=172.16.50.5 -srcif="Namn på Interfacet som tar emot trafiken" -tcp -port=80 -v" Om du har en version under eller omkring version 9.2 så ska de stå "recif" istället för "srcif".

Kort fråga: Kör du via CLI eller ASDM?
Via CLI:t borde routen på ciscon se ut typ så här: route inside 192.168.1.0 255.255.255.0 172.16.50.X 1 (X=Clavve IP).
Sen skapar du en ACL (till en början kan du ju skapa en väldigt öppen en som tillåter allt).

Om det är så att du har licens kvar på Clavven så kan du ringa till deras helpdesk så kan de hjälpa dig (skriv "licens" i CLI:t på clavven).

Redigera
Citera flera Citera
Permalänk
Medlem
●
Skrivet av bjorn711:

Om du pingar något från din klient i 172.16.50.0/24 nätet mot 192.168.1.0/24 och samtidigt går in i Clavven antigen via webiu eller via ssh (beroende på vilken version du har, allt över 9.X har webui) och kollar loggen och sorterar på allt som ska mot det IP:t du pingar mot så kan du ju se ifall trafiken kommer fram eller inte från ciscon.
Tyvärr kommer jag inte ihåg nu hur man visar när en viss regel slår men du kan iaf se connections som försöker komma in: "connections -show -destip=192.168.1.x".
Sen kan du ju även testa i CLI:t och se om reglerna finns ordentligt. "ping 192.168.1.x -srcip=172.16.50.5 -srcif="Namn på Interfacet som tar emot trafiken" -tcp -port=80 -v" Om du har en version under eller omkring version 9.2 så ska de stå "recif" istället för "srcif".

Kort fråga: Kör du via CLI eller ASDM?
Via CLI:t borde routen på ciscon se ut typ så här: route inside 192.168.1.0 255.255.255.0 172.16.50.X 1 (X=Clavve IP).
Sen skapar du en ACL (till en början kan du ju skapa en väldigt öppen en som tillåter allt).

Om det är så att du har licens kvar på Clavven så kan du ringa till deras helpdesk så kan de hjälpa dig (skriv "licens" i CLI:t på clavven).

Gå till inlägget

Tack för all hjälp så långt!

Från clavister-nätet alltsp 192 når jag 172-nätet utan problem och kan köra ping simuleringar som triggar på reglerna jag skapat i Clavistern.

Men de verkar som jag inte kommer ut från cisco-nätet.. kör en ping mot 192.168.1.1 från min dator på 172-nätet och ser i loggen på Ciscon att de droppas.. Kör GUIn då jag inte är så haj på CLIn. Kolla bilder hur jag gjort.

Visa signatur

|| FD Meshify C | RM750x 750W | Asus X470-F | AMD Ryzen 7 2700x | 32GB 3000Mhz | Asus RTX3080 TUF | 2x NVMe 500GB | Win10 Pro 64-Bit | ASUS VG259QM+Samsung S24D390H | Deathadder Chroma och Logitech G533 ||

Redigera
Citera flera Citera
Permalänk
Medlem
●

Hmm okej. Så då funkar det från clavistern till ciscon men inte tvärtom.
Är ju inte heller så förtjust i asa alls och tycker de har lite konstiga definitioner på saker och ting.
Så testa och skapa en likadan regel (som nr 3) fast i "outside"- delen i access rules.
Sen kan du även testa och disabla den där "any any ip deny" regeln (nr 4) under tiden du testar dig fram.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av bjorn711:

Sen kan du även testa och disabla den där "any any ip deny" regeln (nr 4) under tiden du testar dig fram.

Gå till inlägget

Det är en implicit deny regel som alltid finns, om du lyckas ta bort den så kommer all trafik att tillåtas, vilket gör föregående regler helt värdelösa eftersom en ACL matchar rad för rad.

Sedan så undrar jag varför man tillåter bara icmp på 192 nätet, ja du kan skicka pings, men du tillåter inte IP trafik. Om ni tittar närmre så säger regeln att 192 nätet som kommer in till asa bara tillåter icmp, nog därför det inte fungerar så bra.

Sedan om du måste koppla samman med en switch så hade du kunna lagt det bakom routrna, då skulle de kommit åt varann via layer-2.

Senast redigerat
Redigera
Citera flera Citera
1
Skriv svar