Virtuelle Router

Die interfaceabhängige Filterung ermöglicht es – zusammen mit dem Policy-based Routing – für jedes Interface virtuelle Router zu definieren.

Beispiel:

Es werden zwei separate IP-Netze verwendet für Entwicklung und Vertrieb. Beide Netze hängen an verschiedenen Switchports, verwenden aber das gleiche Netz '10.1.1.0/255.255.255.0'. Der Vertrieb soll nur ins Internet dürfen, während die Entwicklung auch auf das Netz einer Partnerfirma ('192.168.1.0/255.255.255.0'') zugreifen darf.

Es ergibt sich folgende Routing-Tabelle (dabei hat die Entwicklungsabteilung das Tag 2 und der Vertrieb das Tag 1):

IP-Adresse IP-Netzmaske Rtg-tag Peer-oder-IP Distanz Maskierung Aktiv
192.168.1.0 255.255.255.0 2 PARTNER 0 nein ja
192.168.0.0 255.255.0.0 0 0.0.0.0 0 nein ja
255.255.255.255 0.0.0.0 2 INTERNET 2 ja ja
255.255.255.255 0.0.0.0 1 INTERNET 2 ja ja

Stünden Entwicklung und Vertrieb in IP-Netzen mit unterschiedlichen Adressbereichen, wäre die Zuordnung der Routing-Tags über Firewall-Regeln kein Problem. Da aber beide Abteilungen im gleichen IP-Netz stehen, ist nur eine Zuordnung über die Netzwerknamen möglich.

Die Zuweisung der Tags kann direkt bei der Netzwerk-Definition erfolgen:

Netzwerkname IP-Adresse Netzmaske VLAN-ID Interface Adressprüfung Typ Rtg-Tag
ENTWICKLUNG 10.1.1.1 255.255.255.0 0 LAN-1 streng Intranet 2
VERTRIEB 10.1.1.1 255.255.255.0 0 LAN-2 streng Intranet 1

Alternativ kann die Zuweisung der Tags auch über die Kombination von Netzwerkdefinitionen und Firewallregeln erfolgen. Die Netze sind wie folgt definiert:

Netzwerkname IP-Adresse Netzmaske VLAN-ID Interface Adressprüfung Typ Rtg-Tag
ENTWICKLUNG 10.1.1.1 255.255.255.0 0 LAN-1 streng Intranet 0
VERTRIEB 10.1.1.1 255.255.255.0 0 LAN-2 streng Intranet 0

Dann lassen sich durch die Routing-Tags folgende Firewall-Regeln festlegen:

Name Protokoll Quelle Ziel Aktion verknuepft Prio (...) Rtg-tag
ENTWICKLUNG ANY %Lentwicklung ANYHOST %a ja 255   2
VERTRIEB ANY %Lvertrieb ANYHOST %a ja 255   1

Wichtig bei diesen Regeln ist die maximale Priorität (255), damit die Regeln immer als erstes ausgewertet werden. Damit nun trotz dieser Regeln noch eine Filterung nach Diensten möglich ist, muss die Option "verknuepft" in der Firewall-Regel gesetzt sein.

www.lancom-systems.de

LANCOM Systems GmbH | A Rohde & Schwarz Company | Adenauerstr. 20/B2 | 52146 Würselen | Deutschland | E‑Mail info@lancom.de

LANCOM Logo