IP Alias bei Subnet ?

gtrdriver

Hallo zusammen

ich habe von meinem RZ Betreiber eine Haupt IP für PFsense (läuft schon) und zusätzlich ein Subnet das auf die Haupt IP geroutet wird.

Diese hat eine .240er Maske und umfasst x.x.x.17 - x.x.x.30

Muss ich diese einzeln über Alias Ip einbinden oder geht das bei so einer Subnet Range anders ?

CU
GTR

blex

Hi,

das kommt erst mal drauf an wie du es benutzen willst.

Routing Ansatz:

Aber wenn es ein geroutetes Netz ist musst du eine der IPs aus dem .240er Netz der LAN Seite des pfSense geben.
Die ip von dem RZ kommt auf die WAN Seite.

Danach kannst du die restlichen IPs aus dem .240iger Netz den Hosts hinter dem pfSense geben. Diese bekommen die IP von der LAN Seite der pfSense als Gateway und die pfSense hat als Default GW die einzel IP von deinem RZ als Gateway. Dann routest du nur und brauchst kein NAT. (Firewall Regeln musst du natürlich noch erstellen).

NAT Ansatz:

Alle IPs einzeln als IP Alias auf das WAN Interface tun und dann 1:1 NAT machen. Dann hättest du dir den Aufwand mit dem Routing sparen können und direkt nur IPs von deinem RZ anfragen können.

Gruß blex

JeGr

@blex said in IP Alias bei Subnet ?:

Aber wenn es ein geroutetes Netz ist musst du eine der IPs aus dem .240er Netz der LAN Seite des pfSense geben.

Da muss ich mal reingrätschen. Muss er nicht. Wenn wie beschrieben das Netz geroutet wird ist das der optimale Fall und er kann damit machen was er will. Ob er die echten Public IPs auf der LAN Seite verwenden möchte oder nicht steht völlig frei.

JeGr

@gtrdriver said in IP Alias bei Subnet ?:

Muss ich diese einzeln über Alias Ip einbinden oder geht das bei so einer Subnet Range anders ?

CU
GTR

Das kommt darauf an, was du mit den IPs anstellen willst.

gtrdriver

Hallo

ich hab das jetzt alles mit IP Alias gelöst - klappt hervorragend - danke !

JeGr

@gtrdriver Wie gesagt, je nachdem was du machen möchtest. Wenn du die IPs hinter der Firewall auflegen willst bspw. als DMZ o.ä., dann natürlich nicht als AliasIPs definieren, sondern einfach eine der IPs der Sense geben und den Rest in diesem Netz nutzen.

Reichst du die IPs einfach per 1:1 NAT (oder Port Forwarding) an interne Hosts im LAN oder anderen Netzen weiter, dann brauchst du gar nichts anlegen, auch keine Alias IPs(!) denn die IPs kommen eh zur Firewall (da geroutet) und müssen dort (auf der Firewall) nicht verarbeitet werden, daher auch nicht angelegt werden. Lediglich wenn die IPs genutzt werden für abgehendes NAT (outbound NAT) müssen sie mind. als Type "Other" oder Alias IPs angelegt werden. Übrigens kann hier für abgehendes NAT - und nur dafür(!) - auch boundary Adressen recycled werden (also die Netz- oder Broadcast IP). Diese einfach als Typ "other" IP auf der Sense unter VirtualIPs anlegen und als abgehende NAT Adresse für bspw. interne Dienste nutzen. Dann bleibt eine "echte" IP für andere Hosts/Dienste übrig, für die auch echte eingehende Kommunikation möglich sein muss.

Gruß