Modem -> Hardware Firewall -> Dream Machine

Es gibt 7 Antworten in diesem Thema, welches 577 mal aufgerufen wurde. Der letzte Beitrag () ist von Eddie82.

    Hallo Unifi Community.


    Hier ist mal wieder ein Ubiquiti newbie, der eure Hilfe beim einstieg in die Welt von Unifi benötigt.

    Dieses Thema wurde auch schon früher beleuchtet, aber ich bin aus den alten Foreneinträgen nicht so recht schlau geworden zumal sie auch immer noch abweichend waren.

    Ich habe ein Konfigurationsproblem bei der im Titel genannten Konstellation und bin mir sicher das Ihr mir da weiterhelfen könnt.


    Nun zu den Eckdaten:

    Modem: Vigor 166

    Firewall Hardware: Sophos XG

    Unifi Hardware: Dream Machine Pro SE dahinter ein 16'er Switch sowie ein AP


    Ziel:

    • Das Modem stellt die Verbindung zum ISP bereit -> nur sync mit Knoten vom Provider
    • die Sophos Hardware Appliance soll zwischen Vigor und Dream Machine im Transparenten Bridge Mode betrieben werden (mit den dafür gewohnten Features DPI, IPS usw.) sonst aber keine Netzwerkdienste anbieten
    • Dream Machine bildet das Herzstück des Netzwerkes und macht die Einwahl via PPPoE und stellt die benötigten Dienste bereit, also Routing zwischen den Vlan, VPN Server, DHCP sowie weitere Firewall Instanz

    Grundsätzlich erst einmal die Frage, funktioniert meine angedachte Struktur so überhaupt?


    Problem:

    Ich habe diese Konstellation wie folgt schon zusammen gestöpselt.

    • Das Modem ist via TAE Synchron mit dem ISP-Knoten (Signal liegt an)
    • ausgehend von Port1 zum WAN (Port2) mit der XG verbunden
    • Weiterführend dann von der XG über LAN (Port1) zum WAN (Port 9) der Dream Machine

    Irgendwie macht die Dream Machine aber die Einwahl mittels PPPoE nicht, habt ihr da einen Tipp?

    Wie bekomme ich raus, ob es durch die XG geblockt wird o.ä.?

    Bzw., wie muss das Konfiguriert werden? Habt ihr ähnliche Netzwerke schon einmal realisiert?

    Nach meinem Verständnis sollte die XG ja quasi wie ein Switch stupide die Pakete durchreichen, oder liege ich da falsch?


    Ich bin für Kritik immer offen, aber habt ein wenig Mitleid mit einem Greenhorn :upside_down_face:

    Danke im Voraus,

    Gruß Ed

    Zitat von Eddie82

    Firewall Hardware: Sophos XG

    Unifi Hardware: Dream Machine Pro SE dahinter ein 16'er Switch sowie ein AP



    Grundsätzlich erst einmal die Frage, funktioniert meine angedachte Struktur so überhaupt?

    Grundsätzliche Antwort: ja funktioniert, warum auch nicht.


    Aber ich persönlich würde eines von beiden weglassen, entweder die UDM-SE und die SophosXG das ganze Firewalling. VLAN-Handling usw. machen lassen, oder due nutzt die UDM-SE als Firewall


    Doppelte Firewall bringt nicht unbedingt mehr Sicherheit, sondern eher weniger, weil man sich sehr schnell in ner Konfiguration verrennt, gerade wenn es um Portfreischaltung vom Internet ins interne Netz geht, z.b für dein VPN


    Siehst ja schon selber, das schon bei kleinen Sachen Probleme gibt.

    Mein Favorit währe die SophosXG zu behalten.

    Zitat von Eddie82

    die Sophos Hardware Appliance soll zwischen Vigor und Dream Machine im Transparenten Bridge Mode betrieben werden

    ....
    Dream Machine ....macht die Einwahl via PPPoE ...

    Ist deine Sophos den in der Lage PPPoE Pakete zu inspizieren ?

    Schließlich ist der Ganze L3 Kram schön in ein 8 Bytes großes PPPoE Bett

    gekuschelt.

    Offloading kann die Kiste da eh nicht bei PPPoE (macht auch irgendwie kein Hersteller)

    Die müssten ja ausgepackt werden um an den IP Inhalt zu kommen und dann die

    Gewünschten L3-L7 Inspektionen laufen zu lassen.

    Bei Transparent sozusagen DeepDeepInspection.

    Nein wird so nicht gehen, du kannst nicht PPPOE durch die Sophos durch machen. Funktionieren würde die Einwahl durch die Sophos. Den Sinn hinter dem Konstrukt habe ich allerdings nicht verstanden.

    Hallo und guten Morgen zusammen.


    Danke für die zügigen Antworten.

    Jetzt wo ihr das so sagt, leuchtet mir das irgendwie ein.

    Ich habe mich da glaube ich, in die Sache mit dem Bridge Mode verrannt. Ich hatte das so verstanden, dass die XG in diesem Modus ähnlich eines "Tunnels" zwischen Modem und Dream Machine hängt und nur von "oben" auf den Traffic schaut. :thinking_face:

    Okay, danke erst einmal für eure Zeit und Anregungen.

    Euch nen schönen Tag...

    Zitat von Eddie82

    Tunnels" zwischen Modem und Dream Machine hängt und nur von "oben" auf den Traffic schaut. :thinking_face:

    Wenn die Sophos als Tunnels arbeitet bzw im BridgeModus, kannst die auch direkt weglassen, weil die dann nur warme Luft produziert.

    Dann würde die gar nichts mit dem Traffic machen

    Hallo Zusammen.


    Danke für Eure Zeit die ihr euch genommen habt.

    Ich habe nun eine akzeptable Lösung für mich gefunden, die wie folgt ausschaut.

    Die Sophos Büchse macht die PPPoE Einwahl und stellt das I-Net Gateway dar und filtert alles was rein-/ als auch raus geht.

    Interne Netzwerkdienste macht die Dream Machine.

    Für mich ist das Thema hiermit erst einmal durch und gelöst.

    Noch einmal vielen Dank für eure Unterstützung.


    Schöne Woche euch allen...

    Gruß Ed

  • Eddie82

    Hat das Label von offen auf erledigt geändert.