Zugriff von LAN1(internal) auf LAN2(DMZ)

[leon_20v2]

Hallo zusammen,

folgende Sitiation:
- An meinem Internal LAN1 ist mein PC mit der IP 172.16.7.142 angeschlossen. 
- An DMZ LAN2 ist ein WLAN-Manager angeschlossen mit der IP 192.168.111.100

Ich habe nur eine Regel vom DMZ zum Internet und zum Exchange über HTTPS eingerichtet.

Kann mir jemand sagen, warum ich von Intern auf das Webinterface von 192.168.111.100 zugreifen kann?
Ich kann aber 192.168.111.100 nicht anpingen?!?!?!?

Und was ist dieser SRV? Hier steht immer eine andere IP die ich aber nicht kenne.  

Code: Alles auswählen

13.01.2017 12:33:01	HTTP-Proxy (squid)	172.16.7.141 TCP_DENIED/407 4993 CONNECT 192.168.111.100:443 - HIER_NONE/- text/html
13.01.2017 12:33:01	spfilter	ALLOWED ip=172.16.7.141, usr=user, grp=1, cat=, cat_all=, act=GLOBALDEF, srv=xxx.xxx.xxx.xxx, url=192.168.111.100

[Bjoern]

Hallo,

ja es liegt am transparenten http-proxy. Wenn Sie die DMZ nicht erreichbar haben wollen brauchen Sie eine exclude Regel schreiben unter Anwendungen => http-proxy => transparenter Modus.

Quelle: internal-network
Ziel: dmz1-network

Gruß Björn

[Hurets]

Wie Sie mit dem Internet verbunden? LAN oder WIFI, 192.168.111.100 ist die interne Proxy-Server?

[leon_20v2]

192.168.111.100 ist ein WLAN Access Point in meiner DMZ auf LAN3. 
Aktuell habe ich eine Regel, dass meine DMZ auf das Internet ohne Proxy zugreifen darf... 

Das Internet hängt an an LAN3, also weder intern noch DMZ. 

Der interne Proxy hat 172.16.1.1

[Bjoern]

Hallo,

wie oben beschrieben. Es liegt am transparenten Modus im HTTP-Proxy. Der transparente Modus ist in der Standardauslieferung für das internal-network aktiv. Schreiben Sie einfach eine exclude Regel:

Type: exclude
Quelle: inetrnal-network
Ziel: "das Netzwerkobjekt was auf LAN2 sich bezieht"

Gruß Björn

[leon_20v2]

Vielen Dank für die Antwort,

mal noch eine weitere Frage. 

Ich habe hier eine weitere Securepoint hinter einem Speedport. Jetzt frägt mich der Kunde warum er aus seinem internen 192.168.175. /24 Netz einen Computer der direkt am Speedport angeschlossen ist und die IP hat 192.168.2.22 anpingen kann, obwohl es dafür eigentlich keine Regel gibt.

Die Weboberfläche des Speedports mit 192.168.2.1 erreiche ich allerdings nicht, obwohl der DNS funktioniert (speedport.ip)

Mir ist das jetzt auch nicht ganz klar weil die Clients eigentlich nur eine Regel für HTTP und HTTPS haben. 

Ein Routing gibt es ja auch keins, daher stehe ich jetzt hier auf dem Schlauch.

[Bjoern]

Hallo,

Sie erreichen die Geäte aus dem einfachen Grund weil der Speedport am WAN hängt und sie eine Regel haben die es erlaubt in das Internet zu gehen.
Beispiel an der Standardregel:
internal-network (eth1) => Internet (0.0.0.0/0) => any => HN => external-interface (0.0.0.0/0)
Internal-network ist das interne Netz
Internet bezieht sich auf die zone external und ALLE IP Adressen
ANY sind alle Dienste
HN Nattet die internen Pakete
external-interface bezieht sich auf die Schnittstelle und die damit dort vorhandene IP (also eine IP aus dem Speedportnetz)

Dadurch ist eine Kommunikation aus dem Internen Netz mit den Clients die am Speedport hängen möglich.
Einige Speedports lassen sich nur von Geräten administrieren die vom Speedport per DHCP  eine IP bekommen haben.

Gruß Björn

[leon_20v2]

Vielen Dank für deine Antwort, deine Erklärung klingt plausibel.... aber...

ich habe nur eine eine Regel von den Clients auf die vorgegebene Dienst Gruppe "default-internet". Deswegen verstehe ich nicht, warum Remote Desktop geht. Ping liegt wohl am "icmp-echo-req" aber der Remote Desktop ist mir unklar...

[Bjoern]

Hallo,

wenn es in keiner Regel freigegeben ist dann ist es auch nicht möglich es sei denn Sie umgehen die Firewall. Sollten alle Stricke reißen einfach ein Ticket erstellen dann können wir uns das ganze einmal ansehen.

Gruß Björn