Sophos Firewall Interfaces Problem

[Hajo2004 12]

Hallo,

ich bin auf der Suche nach passender Hilfe zum Thema Sophos Firewall Interfaces. Würde ja auch gerne

diese Fragen im Sophos Forum stellen,<aber dort komme ich irgendwie nicht rein. Keine Ahnung wie

die Ihr Forum abgesichert haben,<aber mit meiner Sophos ID kann ich mich dort nicht anmelden.

 

Hier aktuell mein Problem: Ich habe die Sophos Firewall in Hyper-V virtualisiert. Dort habe ich nun

eine Firewall mit 3 Netzwerkkarten (möchte diese Testumgebung nutzen, da es so auch beim Kunden

vorort eingestellt ist). PortA ist LAN, PortB ist WAN und PortC ist auch LAN. Nun möchte ich das der

PortA und PortC gebridged werden, so das wenn ich einen DHCP Server auf der Sophos nutze IPs

über den PortA und auch den PortC verteilt werden können. Allerdings wenn ich die Bridge erstellt

habe, dann bekomme ich keine IP über den PortC nur der PortA verteilt mir IP`s.

Auf der Kunden Sophos funktioniert das alles, aber in meiner Virtuellen Umgebung will das noch nicht

funktionieren. Hat jemand da vielleicht einen Tip was ich da machen kann, bzw. wie ich das Problem

gelöst bekommen kann.

Hoffe mal das ihr mir den einen oder anderen Tip geben könnt. denn erst wenn das funktioniert kann

ich mich um das Problem des Gäste WLAN kümmern.

 

Beste Grüße

[testperson 1.534]

Hi,

 

sind PortA und PortC im gleichen logischen Netzwerk oder sind das unterschiedliche Netzwerke?

 

Im ersten Fall kannst du - meiner Meinung nach - auf PortC verzichten. Im zweiten Fall brauchst du keine Bridge sondern einfach nur je Interface eine eigene DHCP Range bzw. wäre hier die Frage, wo der DHCP Server läuft.

 

Gruß

Jan

[Hajo2004 12]

vor 7 Minuten schrieb testperson:

Hi,

 

sind PortA und PortC im gleichen logischen Netzwerk oder sind das unterschiedliche Netzwerke?

 

Im ersten Fall kannst du - meiner Meinung nach - auf PortC verzichten. Im zweiten Fall brauchst du keine Bridge sondern einfach nur je Interface eine eigene DHCP Range bzw. wäre hier die Frage, wo der DHCP Server läuft.

 

Gruß

Jan

Hallo Jan,

 

ja der PortA und PortC sind im gleichen logischen Netzwerk. Der DHCP Server läuft auf der Sophos

und es soll später noch ein VLAN dazukommen welches dann in einem zweiten Logischen Netzwerk

laufen soll. Dafür soll dann auch ein zweiter DHCP Pool erstellt werden der dann nur für das VLAN

sein soll.

Doch bevor ich damit beginne möchte ich erstmal das Problem lösen das die Bridge nicht auf beiden

Interfaces als PortA und PortC IPs verteilt.

Zur Info ich habe auf dem Hyper-V auf dem die Virtuelle Sophos läuft für jedes Interface einen virtuellen

Switch erstellt und jeder Switch ist als Externer mit einer dazugehörigen Netzwerkkarte versehen worden.

Habe einen HP 4 Port Netzwerkkarte und dort sind PortA(LAN) im ersten Port, PortB(WAN) im zweiten Port

und PortC(LAN) im dritten Port via Kabel verbunden. Das Kabel im PortA führt zu einem Cisco Switch, das

Kabel in PortB führt zu einem Switch der zu meinem Router geht und das Kabel in PortC führt zu einem WLC.

 

Hoffe die Infos helfen etwas.

 

Beste Grüße

[testperson 1.534]

Hi,

 

warum willst du das jetzt so testen, wenn es später gar nicht benötigt wird. Du brauchst später keine Bridge, sofern ich das richtig verstehe. Des Weiteren ist die Netzwerkkonfiguration / die Konfiguration der virtuellen Switche äußerst unüblich und vermutlich nur deinem jetzigen Konstrukt geschuldet.

 

Meiner Meinung nach wäre es sinnvoll, dass jetzt so aufzubauen und zu testen, wie es später benötigt wird.

• Hyper-V Switch 1: Für die internen Netze, also PortA und PortC und dann eine Trennung per VLAN
  • NIC PortA an vSwitch1 mit entsprechendem VLAN
  • NIC PortC an vSwitch1 mit entsprechendem VLAN
• Hyper-V Switch2: Für das WAN Interface
  • NIC PortB an vSwitch2
  • (Theoretisch kannst du das auch alles per VLAN trennen und kommst dann mit nur einem vSwitch aus; Das hängt aber von den konkreten Anforderungen ab)
• (Generell kannst du das auch mit einem vSwitch und einer NIC in der VM machen in dem die Sophos dann selber das Tagging übernimmt)

Gruß

Jan

[Hajo2004 12]

vor 4 Minuten schrieb testperson:

Hi,

 

warum willst du das jetzt so testen, wenn es später gar nicht benötigt wird. Du brauchst später keine Bridge, sofern ich das richtig verstehe. Des Weiteren ist die Netzwerkkonfiguration / die Konfiguration der virtuellen Switche äußerst unüblich und vermutlich nur deinem jetzigen Konstrukt geschuldet.

 

Meiner Meinung nach wäre es sinnvoll, dass jetzt so aufzubauen und zu testen, wie es später benötigt wird.

• Hyper-V Switch 1: Für die internen Netze, also PortA und PortC und dann eine Trennung per VLAN
  • NIC PortA an vSwitch1 mit entsprechendem VLAN
  • NIC PortC an vSwitch1 mit entsprechendem VLAN
• Hyper-V Switch2: Für das WAN Interface
  • NIC PortB an vSwitch2
  • (Theoretisch kannst du das auch alles per VLAN trennen und kommst dann mit nur einem vSwitch aus; Das hängt aber von den konkreten Anforderungen ab)
• (Generell kannst du das auch mit einem vSwitch und einer NIC in der VM machen in dem die Sophos dann selber das Tagging übernimmt)

Gruß

Jan

Hallo Jan,

 

die Konfiguration habe ich deswegen so gemacht weil es in der Orginal Sophos auch so ist.

Denn ich habe den Cisco Switch und auch den WLC hier in meiner Testumgebung. Deswegen

habe ich für jedes Interface einen eigenen vSwitch erstellt. denn das Interne LAN welches über

den Cisco Switch läuft hat kein VLAN, das VLAN nutze ich hinterher nur dafür um Clients die

sich dann nicht ins Interne WLAN sondern ins Gäste WLAN einwählen zu trennen von den

Internen Nutzern.

 

Die Konfiguration soll die Reale Umgebung darstellen, außer das ich keine Reale Sophos sondern

nur eine virtuelle habe.

 

Beste Grüße

[testperson 1.534]

Ich gehe davon aus, dass du fürs Bridging noch Anpassungen am vSwitch machen musst bzw. eben Anpassungen im Rahmen der Virtualisierung. Bei der Hardware Sophos findet das Bridging "in Hardware" statt und nicht mit virtuellen Adaptern an virtuellen Swtiches.

 

Es ist halt schon ein "kleiner feiner" Unterschied, ob du eine Hardware Firewall hast oder diese eben als virtuelle Appliance betreibst. Da kommt halt der komplette "virtuelle (Netzwerk) Layer" dazu.

 

 

[Hajo2004 12]

Am 6.4.2023 um 13:12 schrieb testperson:

Ich gehe davon aus, dass du fürs Bridging noch Anpassungen am vSwitch machen musst bzw. eben Anpassungen im Rahmen der Virtualisierung. Bei der Hardware Sophos findet das Bridging "in Hardware" statt und nicht mit virtuellen Adaptern an virtuellen Swtiches.

 

Es ist halt schon ein "kleiner feiner" Unterschied, ob du eine Hardware Firewall hast oder diese eben als virtuelle Appliance betreibst. Da kommt halt der komplette "virtuelle (Netzwerk) Layer" dazu.

 

 

Bedeutet das das ich somit die virtuelle Sophos nicht so konfigurieren kann wie eine reale?

 

Was mich halt wundert ist das in der Sophos Verwaltung angezeigt wird wenn der Port einen Link

hat, nur wird dann auf diesem Link kein DHCP gemacht. Denn ich habe dort mal ein Laptop angeschlossen

und ich sehe das der Link da ist, aber auf dem Laptop kommt kein DHCP an. Obwohl ich den DHCP

Server auf der Sophos so konfiguriert habe das er auf dem Bridging-Interface DHCP machen soll.

 

Weißt Du sonst vielleicht was ich im Hyper-V einstellen muss das die virtuellen Switches dann auch

im Bridging arbeiten?