firewall auf esx-i

[engelaloisius]

hallo zusammen,
irgendwie hab ich entweder etwas beim esx-i nicht verstanden, oder ich bin ganz am holzweg:

ich möchte auf meinem esx-i eine firewall virtualisieren. ich habe dafür zwei pNICs in der box. esx-i läuft und die VM auch. jetzt habe ich zwei vSWITCHe angelegt und dort auch die entsprechenden pNICs eingefügt. das WAN-interface bekommt aber keine verbindung nach außen - daher hab ich ein management network dazu gehängt und auf DHCP gestellt - und siehe da, sofort wird der lease angezeigt.

jetzt die große frage: wenn ich die beiden pNICs aus den LAN und WAN-segmenten in die maschine hänge, dann funktioniert das nicht, das lease kommt nicht auf die karte in der VM ...

was hab ich da falsch gemacht? hat wer einen tipp für mich?

[engelaloisius]

hallo zusammen,

nachdem ich ein bisschen weiter gekommen bin, hier mal folgendes setup, das ich jetzt realisiert habe:

ich habe ein internes netz (green) an dem ein vSWITCH, eine management console und eine pNIC hängen. hier hängen das interne interface meiner virtuellen firewall und die anderen virtuellen server.
das externe netz (red) hat einen vSWITCH und ein pNIC, aber keine management console mehr. hier hängt das externe interface meiner virtuellen firewall.

soweit funktioniert das alles. ich würde gerne noch ein zwischennetz (orange) bauen, in dem ich echtes NAT machen kann.

das zwischennetz hat einen vSWITCH, aber keine management consile und auch keine pNIC. also dieses zwischennetz würde rein virtuell existieren ... funktioniert das so, wie ich mir das vorstelle?

im orangen netz würde ich gerne eine routing VM verwenden - hat da wer einen tipp für mich? ich denke an eine monowall oder so was ähnliches.

[elgato319]

das zwischennetz hat einen vSWITCH, aber keine management consile und auch keine pNIC. also dieses zwischennetz würde rein virtuell existieren ... funktioniert das so, wie ich mir das vorstelle?

im orangen netz würde ich gerne eine routing VM verwenden - hat da wer einen tipp für mich? ich denke an eine monowall oder so was ähnliches.

Einen vswitch ohne eine pnic kannst du anlegen. geb deiner bestehenden virtuellen firewall doch einfach noch eine dritte netzwerkkarte und hänge diese in das neue virtuelle netz.

[Neo van matix]

Dito - ich schließe mal anhand der Netzwerknamen, dass du einen IPCop virtualisierst.
Das NATen übernimmt der IPCop - konfigurier ihn also in ein GREEN+RED+ORANGE um, und gib ihm eine weitere virtuelle NIC, die in ein virtuelles ORANGE-Netz gehängt ist. Die konfigurierst du dann als ORANGE-NIC am IPcop selbst. é voila.

Denk aber dran, wenn du das Management-Interface auf das Grüne Netz gelegt hast, kommst du nicht mehr an den ESXi ran, sobald die Firewall abgeschmiert ist...

[engelaloisius]

hallo zusammen,

also ich hab mir das einfacher vorgestellt, als es tatsächlich ist ... ich krieg das einfach nicht hin.

LAN (intern) - BUFFERLAN (middle) - WAN (extern)

ohne BUFFERLAN , funktioniert das einwandfrei - ich würde aber gerne eine NAT-box dazwischen einhängen. da würde dann die firewall am WAN und im BUFFERLAN hängen, eine NAT-box im BUFFERLAN und im LAN .... muss ich da was ändern oder hab ich da was nicht verstanden - es sollte ja so funktionieren, oder?

in das BUFFERLAN sind die beiden vNICs gebunden und sonst nichts - ein vSWITCH müsste ja ohne weiteres zutun funktionieren ....