Dmz

[Marco]

Hallo,

ich möchte zu Testzwecken eine DMZ bei mir aufbauen. Momentan scheitert es allerdings schon bei der Gateway Konfiguration.
Folgenden Aufbau habe ich realisiert:

[Router0]
ip: 192.168.0.1
   |
   ist verbunden mit
   |
[LAN0] 192.168.0.0/24
   |
   ist verbunden mit
   |
ip: 192.168.0.x (DHCP von Router0)
[Router1] Netgear RP614
ip: 172.16.0.1
   |
   ist verbunden mit
   |
[LAN1] 172.16.0.0/16 --- ist verbunden mit --- [ServiceX] ip: 172.16.0.10
   |
   ist verbunden mit
   |
ip: 172.16.0.2
[Router2] FreeBSD 6.2
ip: 192.168.100.1
   |
   ist verbunden mit
   |
[LAN2] --- ist verbunden mit --- [ClientA] 192.168.100.99

Router0 und LAN0 sind fester Bestandteil, alles andere möchte ich nun hinzufügen.

Router1 ist als Gateway konfiguriert und Firewall ist OPEN.

Router2 ist ebenfalls als Gateway konfiguriert und Firewall ist ebenfalls OPEN.

Auf Router2 habe ich als Default-Route den Router1 eingetragen, ebenso hat Router1 als Default-Route den Router0 eingetragen.

(gelöst -->)
Nun mein Problem: ClientA aus dem LAN2 kann nicht auf das LAN1 und LAN0 zugreifen. Direkt vom Router2 aus ist das kein Problem. Er kann alles erreichen. ClientA kann natürlich auf Router2 zugreifen.
Wo liegt das Problem? Habe ich eine wichtige Sache übersehen?
Mir scheint es fast so als würde das Routing auf Router2 gar nicht funktionieren. gateway_enable="YES" ist gesetzt.
Wäre super wenn ihr mir ein paar Denkanstöße geben könntet.
(<-- gelöst)

 

[Marco]

Ok, den Fehler habe ich nun gefunden. Ich habe auf Router2 die falsche NIC dem NAT zugewiesen.

Nun hätte ich aber noch ein paar weitere Fragen:

Wie würdet ihr [ServiceX] schützen? Sollen die Clients aus dem LAN2 den SericeX direkt ansprechen können (entsprechende Firewall Rules würden natürlich nur das nötigste freigeben), oder wäre ein Port-Forwarding mittels NAPT besser?