Statische Routen hinzufügen

[illumina7]

Hi Ihr,


ich stehe derzeit etwas auf dem Schlauch, vielleicht kann mir jemand bei meinem Routing Problem weiterhelfen.

Kurz zum Netzwerkaufbau:

- Server mit zwei NICs in zwei verschiedenen Subnetzen: NIC1: 192.168.1.6/24, NIC2: 10.0.0.6/24
- Die beiden Netze sind physikalisch getrennt mit je einem eigenen Router, der Server verwendet das 10.0.0.0/24 Netz für den Internetzugang über eine Sophos UTM 9 (10.0.0.1/24).
- Der Server stellt auf die NIC1 eine Java-Application mit einem Tomcat Webserver auf Port 8080 bereit.
- Über die Sophos UTM verbinden sich per OpenVPN Clients von extern (DHCP VPN Netzadresse: 10.242.2.0/16), ein Client benötigt Zugriff auf die Java-Application.
- Aus dem Netz an NIC2 lässt sich zwar die Java-Application aufrufen und starten, diese bekommt dann aber einen Timeout, weil diese versucht auf die Adresse an NIC1 zu connecten.

Setze ich folgende Routen manuell, dann kann ich zwar aus dem NIC2 Subnetz auf die Java-App zugreifen, aber nicht über den VPN-Zugang:
Route am Server:
route add 192.168.1.0 mask 255.255.255.0 10.0.0.6
Route am Notebook:
route add 192.168.1.0 mask 255.255.255.0 10.0.0.6

Müsste es damit nicht auch über den VPN-Zugang klappen, da die Sophos FW ja zwischen 10.0.0.0<->10.242.2.0 routet?
Leider kann ich so die Anwendung aber nicht ausführen, der Client kann zwar die NIC2 Adresse des Servers erreichen, aber nicht die NIC1 Adresse -> timeout.

Wo liegt mein Denk- bzw. Konfigurationsfehler in diesem Szenario?


Vielen Dank schon mal für eure Hilfe!

 

[FLiNTx]

Hui, ich bin verwirrt...

Zeig mal bitte die IP Konfiguration der beiden NICs am Server (IP, Maske, Gateway, ...)
Wie sieht die Routingtabelle am Server aus?
Koppelt die Sophos die beiden Netze hinter NIC1 und NIC2 wieder, oder sind die komplett isoliert?

Was möchtest du mit den statischen Routen erreichen? Du sagst dem Server, dass er 192.168.1.0/24 über 10.0.0.6 erreicht - also über sich selbst...

Ist das ungefähr, was du versuchst?

 

[illumina7]

Hi @FLiNTx,
danke für deine ausführliche Antwort mit Skizze. Leider habe ich keine Benachrichtung erhalten, dass du auf den Beitrag geantwortet hast.
Das ist ungefähr der Aufbau, den ich aktuell habe, es fehlt ein kleines Detail, der Mikrotik Router (192.168.1.1/24) baut einen VPN Tunnel zum Firmennetz (EthernetConnect, Telekom) auf und lässt die Clients von dort nur über einen Proxyserver mit Userauthentifizierung ins Internet. Auf diese Konstellation habe ich keine Zugriffsmöglichkeiten und ich kann auch nicht auf den Mikrotik zugreifen, der kam vorkonfiguriert per Post (sonst könnte ich den VPN-Tunnel von meinem Client dort hin aufbauen).

Die Sophos UTM ist unser Werkzeug, da wir diese dort aufgestellt haben, um dennoch einige Dienste (Überwachungskameras, Heizungssteuerung und Roadwarrior) von außen (nur per VPN!) erreichen zu können. Intern sind die beiden Netze physikalisch getrennt (getrennte Switches) und nur der Server bildet den Knotenpunkt. Jetzt müssten wir eine Application vom 10er Subnetz aus starten, die bisher nur im internen Firmennetz (192.168.1.0/24) erreichbar war.
Im 10er Subnetz klappt das auch, wenn ich die oben genannten Routen an Server und Client eintrage, aber beim Roadwarrior per VPN klappt der Zugirff mit diesen Routen nicht und ich habe irgendwo einen Denkfehler, so dass mir nicht einfällt was ich wohin Routen muss.

Hier ein Screenshot der Routing Tabelle am Server:


Hast du sonst noch Fragen?

Hatte die letzten Wochen auch verdammt viel um die Ohren und konnte mich deshalb noch nicht weiter mit dem Problem auseinandersetzen. Langsam sollte das aber schon mal funktionieren...

Gruß
illuminat