Subnetting/Supernetting mit Firewall

[verax]

Guten Tag allerseits,

ich habe beim Thema Subnetting/Supernetting ein Verständnisproblem und bräuchte Hilfe dazu.

Konkret geht es um folgendes. (Habe es ein wenig runtergebrochen, eigentlich geht es um ca. 150 unterschiedliche Subnetze)

Mehrere Klasse A Client-Subnetze sind an einer Firewall terminiert.

10.76.0.0 /24

...

10.76.10.0/24

10.76.25.0 /24

....

An der selben Firewall liegt das Quellnetz:

10.90.2.0 /24

 

Es geht nun darum Port 22 vom Quellnetz zu den Clientnetzen erlauben.

 

Ich würde mir nun gerne die Arbeit vereinfachen und nur das Netz 10.76. /16 freigeben. (Sicherheitstechnisch spricht zunächst nichts dagegen)

Immerhin sollten ja die gesubnetteten Netze in dem /16 Netz liegen, mich verwirrt nun allerdings der Host- / Netzanteil und wie die Firewall das handhabt.

Meine Frage nun: Inkludiert die Firewall beim Abgleichen des Verkehrs gegen die Regeln, nun die Subnetze weil das "Supernetz" freigegeben ist?

(Firewall ist eine Sophos falls das relevant ist.)

( 10.90.2.0 /24 -> P. 22 -> 10.76.0.0 /16 )

Je nach Antwort bitte ich um eine kurze Erklärung dazu, vielen Dank!

 

[Han_Trio]

Ja, das sollte hinhauen.

Zur Erklärung: Wie du bereits richtig sagst, sind bei Definition des Zielnetztes als "10.76.0.0/16" alle diese IPs inkludiert:
10.76.X.X bzw. 10.76.0.1  -  10.76.255.254

Siehe auch hier:
https://www.site24x7.com/de/tools/ipv4-subnet-zrechner.html

Die Antwort ist damit im Prinzip bereits gegeben: Nicht anders als auch bei zB einem /24 Netz definierst du, indem du ein "slash irgendwas" eingibst, eine range von IP-Adressen (eben ein Netz).
Anschließend suchst sich die Firewall die entspr. Regel raus und entscheidet dann "Lasse ich es durch oder nicht?".

Interessant wäre evtl. noch, an welcher Stelle du die Regel einbaust -> Die Firewall geht "von oben nach unten durch", und der erste Treffer wird halt angewendet (und alles danach ist für die Entscheidung irrelevant, da es nicht mehr zur Anwendung kommt).

[tmp]

genau genommen willst du wahrscheinlich dst port 22 in die eine Richtung und src port 22 in die andere Richtung freigeben