Securepoint UTM und das Hetzner Cloud RZ

chieftobitobsn · Beitrag von **chieftobitobsn** » Mi 10.04.2024, 08:16

Aktuell gibt es gerade von unserer Seite immer mehr Anfragen, sichere Systeme in ein RZ zu bringen und Hetzner ist ein guter Partner dafür, hat aber seine Besonderheit in der Struktur. Da wir Server grundsätzlich immer absichern wollen, nehmen wir dafür gerne die Securepoint Firewall, auch im Hetzner Netz. Ab hier wird es aber kompliziert...

Der Wiki Eintrag für die Installation und das Setup einer UTM im Hetzner RZ ist gut. Gerade hatte ich aber das Problem, dass wir mehrere interne VM Server erstellt haben und damit ein internes Netzwerk im RZ aufgebaut haben. Da Hetzner im Cloud RZ eine Layer3 Verbindung zwischen allen Systemen nutzt und alles mit Hostadressen (32er Subnetz) umsetzt, benötigt auch die Securepoint eine Spezialbehandlung beim Setup dafür. Ich habe das vor kurzem mit dem Securepoint Support gelöst, aber es wäre wirklich hilfreich, wenn es dafür auch einen Wiki Eintrag geben könnte, was die Besonderheiten der Securepoint in Bezug auf die besonderen Anforderungen der Hetzner Struktur erklärt.

Vielleicht könnte der Support sich hierzu mal äußern

WICHTIGE Anmerkung: Gemeint ist hier nur das Cloud RZ (Layer 3) - das RZ für Dedizierte Server arbeitet mit Layer 2. Dieses RZ sowie die Verbindung zwischen beiden sind hier nicht gemeint.

mfg

Beitrag von **Bjoern** » Do 11.04.2024, 07:13

Hallo,

das ist leider ein echtes Problem bei Hetzner. Nehmen wir einmal an das wir dort das Netz 192.168.175.0 Netz haben. Die Securepoint hat die 192.168.175.1 und der Switch die 192.168.175.2. Die Systeme im Hintergrund dann die nachfolgende IPs. Hier würde ich jedoch dann mit 192.168.175.4 beginnen und folgende. Hat den Grund. Wir können auf der Securepoint die 192.168.175.1/30 legen. Setzen dann eine Route auf die 192.168.175.2 mit dem Ziel 192.168.175.0/24 Damit würden wir dann alle weiteren IPs immer auf den Switch routen und dieser teilt diese dann zu. Wichtig ist jedoch auf das Subnetz zu achten. Denn alle Geräte im Subnetz werden immer direkt angefragt und nicht an einen weiteren Router geschickt.