Routing zwischen zwei Firewalls nur in eine Richtung möglich, Kerio / pfSense

[DTCTVE]

Hallo allerseits.

Ich schlage mich schon einige Tage und Wochen mit dem Thema Routing zwischen zwei unterschiedlichen Firewalls herum, da wir unsere "alte" Kerio Control Box loswerden möchten. Leider komme ich nicht wirklich weiter. Ich vermute, dass ich da etwas zwischen den beiden Firewalls nicht richtig anwende, daher wäre es super wenn ihr mal drüber schauen könnt.

Physikalisches Setup:
Mehrere HPE-Switches mit VLAN's und Trunking
Kerio Control Box (altes IP-Netz)
Netgate XG-7100 1U HA (neues 10er-Netz für LAN und kommendes VOIP getrennt)

Logisches Setup:
VLANs mit Trunking über die verschiedenen Switches - funktioniert auch alles, kein Problem.
1 - Default LAN (192.168.2.0/24)
5 - VOIP (10.22.0.0/24)
10 - LAN_NEU (10.20.0.0/8)

Ziel:
Softe Migration in ein 10er-Netz (LAN_NEU)
Bereitstellung eines VOIP VLAN, da wir demnächst umstellen müssen...
Die beiden Firewalls sollen im Optimalfall in beide Richtungen routen, sodass ich manuell Server für Server und die ganzen Clients in das VLAN umziehen kann.

Problemstellung: Derzeit habe ich zwar ein Setup, welches mir die problemlose Verbindung von "LAN_ALT" in "VOIP" ermöglicht, jedoch nicht in die andere Richtung. Ich habe die Vermutung dass es etwas mit der Kerio Control Box zutun hat, da die auch eher "eigenwillig" einzurichten ist, finde ich. Vielleicht kennt sich jemand ja mit beiden Produkten aus?

Ping von LAN_ALT nach Host in VOIP ist möglich
Ping von VOIP nach LAN_ALT ist nur bis zur Kerio Box möglich (192.168.2.1/24), nicht zu den Servern oder Clients.
 

Kerio:
Eigene IP: 192.168.2.1/24
Statische Route für 10.22.0.0/24 nach 192.168.2.4/24(CARP IP der pfSense)

pfSense:
Schnittstelle LAN_ALT mit jeweils IP 192.168.2.2/24(pfSense01) und 192.168.2.3/24(pfSense02)
Darüber dann CARP auf 192.168.2.4/24
Eine statische Route kann ich hier nicht mehr hinterlegen, da die mit dem Netzwerk auf dem Interface kollidiert.
Wäre das vielleicht die Lösung? Das Interface zu löschen und die statische Route anzulegen?
Bei der Kerio war das ja auch nicht notwendig, dort kann man auch fröhlich Netzwerk-Loops erzeugen.

 

Hier noch Screenshots der Konfiguration:
Kerio Schnittstellen: (sind deaktiviert, da es mit diesen nicht geklappt hat)


Kerio Regel:

Kerio Routen:

 

pfSense:
LAN_ALT auf VLAN 4091 (lagg0)
Kein Gateway, nur Interface.

Regeln: (Nicht wundern, das ist so offen bis ich das Problem eingrenzen/lösen kann)

^ LAN net bei der DNS Regel ist in diesem Falle LANALT net, der Fehler ist mir gerade aufgefallen, tut aber nichts zur sache ?

 

Jemand ideen?

 

Bearbeitet 20. August 2019 von dani4k

[Gast Dr. Komtur]

Ganz einfach die Kerio hat gelernt ah an Port 1 liegt mein Next Hop Router (mein Default Gateway wo ich Pakete zustelle für Subnetze die ich selbst nicht kenne). So jetzt erwartet Kerio auch wenn Pakete zurück kommen müssen die Ja von dem Interface kommen welches angeschlossen ist. Ohne NAT sendet das "Virtuelle" Gateway Interface deines VLANs zb. 10.22.0.4 diese ist dann die Source Adresse - wenn die dann nicht auf das outside interface translated wird, sagt Kerio "hmm die source kenne ich nicht" und dropped das Paket.

[Gast Exception]

Hallo,

Zitat

Ping von LAN_ALT nach Host in VOIP ist möglich
Ping von VOIP nach LAN_ALT ist nur bis zur Kerio Box möglich (192.168.2.1/24), nicht zu den Servern oder Clients.

Handelt es sich um Windows Clients / Server? Wenn ja, wurde an die ICMP Regel gedacht? Weil standardgemäß wird bei Windows ICMP aus anderen Subnetzen geblockt.

Viele Grüße

Bearbeitet 20. August 2019 von Exception

[Eta_Carinae]

Mach mal das NAT auf der pfSense aus. 

[DTCTVE]

vor 15 Stunden schrieb Exception:

Handelt es sich um Windows Clients / Server? Wenn ja, wurde an die ICMP Regel gedacht? Weil standardgemäß wird bei Windows ICMP aus anderen Subnetzen geblockt.

Ich teste mit zwei Debian maschinen, die in den jeweiligen VLAN's sitzen.

 

vor 13 Stunden schrieb Eta_Carinae:

Mach mal das NAT auf der pfSense aus. 

Dort sind nur manuelle NAT-Regeln angelegt für die WAN-Verbindungen, siehe hier:

[DTCTVE]

Nach einigem hin und her habe ich das Setup genau wie oben beschrieben wieder aktiv, allerdings kann ich jetzt nur noch bis zur Firewall vordringen (jeweils beidseitig). States wurden gelöscht.

 

Konkret frage ich mich folgendes noch:
Muss die Kerio Control Box ein Interface im jeweiligen Subnetz(+VLAN) haben?

Muss die pfSense ein Interface im "ALTEN" Subnetz haben?
 

Oder stellt man das besser mit statischen Routen auf die beine?

[DTCTVE]

vor 23 Stunden schrieb Exception:

Hallo,

Handelt es sich um Windows Clients / Server? Wenn ja, wurde an die ICMP Regel gedacht? Weil standardgemäß wird bei Windows ICMP aus anderen Subnetzen geblockt.

Viele Grüße

Gerade ein kleines Erfolgserlebnis: Es klappt jetzt doch irgendwie. Nur der Windows-Server antwortet noch nicht. Ich prüfe das morgen nochmal, aber sieht ganz danach aus.

 

Stand:
Kerio OHNE Interfaces in den jeweiligen "Fremdnetzen", sondern nur eine statische Route über Default VLAN.
pfSense MIT Interface im LAN_ALT, ohne GW, ohne NAT Regel, nur Freigabe über Firewallregeln.

 

Ist gerade nicht nachvollziehbar, warum es vorher nicht geklappt hat...

[Gast Dr.Komtur]

Hi 

 

Ich gehe mal davon aus du hast die Kerio Port1 an die Pfsense angeschlossen: 

Kerio 192.168.2.1 -> pfsense HA Interface 192.168.2.4 VLAN 4091 lagg0 

- Deine VLAN's auf der Kerio brauchst du nicht. Weil du ja keine Endgeräte in den Netzen mit der Kerio hast oder ist am Port4 ein weiterer Switch angeschlossen der dann in deine neue Welt geht?

Dann ist der Traffic von Client zur Kerio zur Pfsense untagged - Vlan 4091 ist auch default untagged somit brauchst du in diese Richtung schon mal kein NAT machen sind ja bereits im gleichen Netz. wenn dann die Pakete zum Endclient Vlan5 oder 10 gehen Taggt pfsense für dich die Pakete weil er ja auch die netze inne hält. 

Wenn du nun von Endclient die VLAN 5 oder 10 getaggten Pakete zum alten LAN schicken willst welches untagged ist musst du NAT von Pfsense nach Kerio machen. Sonst werden die abgewiesen. Daher wird es sehr wahrscheinlich Rein ins Voip gehen Raus zum Alt netz nicht. 

 

MFG 

Dr.Komtur 

 

 

 

[DTCTVE]

vor 1 Stunde schrieb Gast Dr.Komtur:

Wenn du nun von Endclient die VLAN 5 oder 10 getaggten Pakete zum alten LAN schicken willst welches untagged ist musst du NAT von Pfsense nach Kerio machen. Sonst werden die abgewiesen. Daher wird es sehr wahrscheinlich Rein ins Voip gehen Raus zum Alt netz nicht. 

Wozu NAT, wenn das Interface, für welche eine Standardroute durch die pfSense selbst erstellt wurde, bereits im LAN_ALT lebt und somit auch im VLAN 4091?

Aber... Prinzipiell macht das ja sinn, ich musste eine Externe NAT-Regel für die Ausgangs-IP anlegen. So klappt es jetzt.

Bearbeitet 22. August 2019 von dani4k

[DTCTVE]

Ahh verstanden. Das macht ja auch deswegen sinn, weil ich die Kerio immer erreichen konnte, die Kerio aber eigentlich nichts über den Filter blockiert hat.

Danke!

Bearbeitet 22. August 2019 von dani4k