Sophos XGS SNAT: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
Robin.will (Diskussion | Beiträge)
1.794 Bearbeitungen
Die Seite wurde neu angelegt: „=Idee/Prinzip= {{#drawio:sophos-xgs-nat002}} *In der VPN wurde ein virtuelles Netz auf Seiten der Sophos angegeben (100.64.64.0/24). *Damit Clients wie der Ka…“
 
Robin.will (Diskussion | Beiträge)
1.794 Bearbeitungen
 
(6 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
=Idee/Prinzip=
=Idee/Prinzip=
{{#drawio:sophos-xgs-nat002}}
{{#drawio:sophos-xgs-nat003}}


*In der VPN wurde ein virtuelles Netz auf Seiten der Sophos angegeben (100.64.64.0/24).
*An der Sophos-Firewall ist ein DMZ Netz angebunden das zum SAP Bereich führt im Netz '''10.88.88.0/24'''
*Damit Clients wie der Kali (172.16.16.200) nun mit der Gegenseite kommunizieren können wird ein SNAT erstellt.
*Zwischen den 2 Firewalls im DMZ Bereich ist eine Route gesetzt und zwar die für das Netz '''10.92.92.0/24'''
*Alle Clients der Sophos Seite im Netz '''172.16.16.0/24''' werden auf die '''100.64.64.33''' genatted, wenn Sie das Netz '''10.81.0.0/16''' erreichen wollen
*Wir möchten nun von unserem Lan net, mit z.B. dem Kali, den Victim '''10.82.232.61''' erreichen.
*In diesem Beispiel wird das Lan Net auf ein Bereich in dem Netz der Route gesetzt also '''10.92.92.0/24'''
**Der Bereich der genommen wird ist '''10.92.92.10 - 10.92.92.20'''


=Vorgang=
=Vorgang=
==Schritt 1==
==Schritt 1==
*Wir gehen davon aus das die VPN bereits aufgebaut ist. (Wie im Beispiel [[Sophos XGS BINAT in IPSEC Site-to-Site]] aber '''OHNE''' die Binat Einstellung)
*Es wird nun eine SNAT-Regel erstellt und für die Source-Nat-IP wird eine '''IP-Range''' angegeben -->  '''10.92.92.10 - 10.92.92.20'''
*Nun wird eine SNAT Regel erstellt die etwa so aussieht:
[[Datei:sophos-xgs-nat-4.png]]
[[Datei:sophos-xgs-nat-2.png]]


==Schritt 2==
==Schritt 2==
*Die Sophos XGS muss nun wissen wohin das Paket gerouted werden muss.  
*Nun müssen noch passende Firewall Regeln erstellt werden. Dafür wird das original Lan Netz genommen und das Remote Netz genommen.  
*Dafür gibt es keine Grafische Möglichkeit dies einzurichten. Deswegen müssen wir uns hier der '''Device Console''' bemächtigen.
[[Datei:sophos-xgs-nat-5.png]]
 
#Als erstes SSH auf die Sophos XGS
#Nun die Device Console öffnen (Option 4)
#Befehl eingeben um Route zu setzen: '''system ipsec_route add net 10.81.0.0/255.255.0.0 tunnelname xg_opnsense'''
#Route anzeigen lassen: '''system ipsec_route show '''
#Verbindung testen

Aktuelle Version vom 15. Juli 2025, 10:03 Uhr

Idee/Prinzip

sophos-xgs-nat003
  • An der Sophos-Firewall ist ein DMZ Netz angebunden das zum SAP Bereich führt im Netz 10.88.88.0/24
  • Zwischen den 2 Firewalls im DMZ Bereich ist eine Route gesetzt und zwar die für das Netz 10.92.92.0/24
  • Wir möchten nun von unserem Lan net, mit z.B. dem Kali, den Victim 10.82.232.61 erreichen.
  • In diesem Beispiel wird das Lan Net auf ein Bereich in dem Netz der Route gesetzt also 10.92.92.0/24
    • Der Bereich der genommen wird ist 10.92.92.10 - 10.92.92.20

Vorgang

Schritt 1

  • Es wird nun eine SNAT-Regel erstellt und für die Source-Nat-IP wird eine IP-Range angegeben --> 10.92.92.10 - 10.92.92.20

Schritt 2

  • Nun müssen noch passende Firewall Regeln erstellt werden. Dafür wird das original Lan Netz genommen und das Remote Netz genommen.

Abgerufen von „https://wiki.ixheim.de/index.php?title=Sophos_XGS_SNAT&oldid=63861“