ESXI 5 / DMZ / VLAN Problem

[anDy2k]

Hallo zusammen,

da ich leider noch nicht viel Erfahrung mit der Konfiguration von VLANs usw. habe, hoffe ich, dass mir die Spezialisten in diesem Forum etwas unter die Arme greifen können!

Geplant ist eine Art DMZ, die einen OpenVPN Server vom lokalen Netz abschottet. Vom LAN in die DMZ sollen nur die Ports 80 & 22 verfügbar sein. So sieht mein Netzwerk zuhause derzeit aus:



Alle Clients, sowie der ESXI Server hängen an einem HP ProCurve 1810G Switch.
Die ESXI Konfiguration sieht derzeit folgendermaßen aus:



Wie der Grafik zu entnehmen ist, habe ich für meine DMZ eine neue Portgruppe erstellt und dieser die VLAN ID 200 zugewiesen, anschließend habe ich die VM von M0n0wall heruntergeladen und die Ports entsprechend konfiguriert.
(Eine Netzwerkkarte für das Netz 192.168.178.0/24 und eine für das Netz 10.100.0.0/24)
Dies funktioniert soweit auch ganz gut allerdings habe ich bei dieser Konfiguration noch einige Probleme.

Zum einen weiß ich nicht, wie ich eine Portfreigabe von der Fritzbox zum OPENVPN Server in meiner DMZ zu stande bringe, da diese im Netz 10.100.0.0/24 ist und ich somit nicht direkt auf den Server verweisen kann, auch eine statische Route in der Fritzbox brachte hier nicht den gewünschten erfolgt. Zum anderen frage ich mich, ob das von mir derzeit realisierte Setup überhaupt sinnvoll ist?!

Ich wäre für jede Unterstützung dankbar!

Vielen Dank ich Voraus!

LG
anDy

[mbreidenbach]

Ich würde das so angehen:

mehrere VLANs definieren für:
- intern VLAN 1 192.168.1.0/24
- DMZ VLAN 2 192.168.2.0/24
- extern VLAN 3 192.168.3.0/24

Alle 3 VLANs werden gemeinsam als VLAN-Trunk an den ESX gegeben.
Im ESX werden 3 Portgruppen für die 3 VLANs angelegt.
Die Firewall wird mit 3 virtuellen NICs an die 3 VLANs angeschlossen.
Am Switch wird die Fritzbox 'ungetaggt' am VLAN 3 angeschlossen.

Im internen Subnetz ist die 'interne' Netzwerkkarte der Firewall das Standardgateway.
In der DMZ ist die SMZ Netzwerkkarte der Firewall das Standardgateway.
Die Firewall hat die Fritzbox als Standardgateway.

Am 1810 die VLANs nach Bedarf auf Ports legen; damit kann man jeden Port nach Bedarf in jedes der drei Subnetze liegen.

Soll die DMZ von 'ganz außen' erreichbar sein dann:
1. Portweiterleitung von der Fritzbox auf die 'externe' Karte der Firewall
2. in der Firewall Portweiterleitung auf das System in der DMZ

Damit ist etwaiges WLAN der Fritzbox allerdings in der externen Zone.

Ich habe ein ähnliches Setup mit einer Astaro Firewall als VM. Wenn ich vom WLAN aus nach innen will dann lade ich halt den VPN Client.

[anDy2k]

Hallo,

erstmal danke für die schnelle Antwort. Ich habe zwischenzeitlich mein Netzwerk wie vorgeschlagen umgebaut und funktioniert wie gewünscht! Vielen Dank!

LG
andy