Internet Box 3 NAT verhalten bei ausgehendem Traffic?

fly4beer

Hi,

Wie genau verhält sich die IB3 bei ausgehenden Traffic, wird alles hinter NAT versteckt? Für alle Destinationen? Oder wird nur was im DHCP range der IB3 ist sauber genatted?

Seltsamerweise kann ich aus 10.200.20.0/24 das via statische Route von der IB3 zu internem next hop (Firewall hinter IB3 "DMZ") gelangt problemlos das Internet benutzen. Nur die Swisscom Dienste (imap, smtp), Webpages (swisscom.ch) sind unerreichbar. Die Community geht hingegen 😀

Eigentlich hatte ich den gleichen setup hinter einer IB2 ohne Probleme.

Von einem Subnet welches hinter ein Router mit IP aus dem IB3 DHCP Range gehided wird klappt auch der Zugriff zu den Swisscom Diensten, aber die doppel NAT möchte ich vermeiden.

Jemand eine Idée?

Anonymous1

@fly4beer

Grundsätzlich ist bei den IBs jeglicher ausgehender Traffic IPv4 und IPv6 erlaubt.

NAT "versteckt" primär gar nichts - es ist die, in den IBs eingebaute Firewall-Funktion, welche nur von innen bestellten, eingehenden Traffic erlaubt.

In den "Experten-Einstelllungen" der IBs kannst du noch die Firewall-Policy für IPv6 anpassen, aber das ist es dann etwa.

Falls du wirklich echte Kontrolle über den Internet-Traffic wünschst, wirst du um eine eigene Firewall-Appliance nicht herum kommen (und diese ist dann besser nicht eine der *Total-Securitiy-Software-Lösungen-für-Windows") 😀

Nachtrag:

Das "10er"-Netz ist privat und wird im Internet eh nicht geroutet

fly4beer

>Grundsätzlich ist bei den IBs jeglicher ausgehender Traffic IPv4 und IPv6 erlaubt.

Da verhält sich die IB3 eben anders als die IB2. Die IB3 mit letzter offizieller Firmware scheint keine interne Netze ausser die wo sie ein Bein hat, nach aussen hinter hide NAT zu setzen wenn die Destination Swisscom ist.

>Falls du wirklich echte Kontrolle über den Internet-Traffic wünschst, wirst du um eine eigene Firewall-Appliance nicht herum kommen (und diese ist dann besser nicht eine der *Total-Securitiy-Software-Lösungen-für-Windows")

Die Appliance ist ja genau der next internal hop aber die Netze die dahinter sind erreichen leider swisscom.ch und Swisscom Dienste nicht ausser eben ich mache hide NAT hinter dem Interface welches zur IB3 führt der Appliance. Das war bei der IB2 nicht nötig. Zusammenfassend ging es mit IB2 ohne doppel NAT, jetzt nicht mehr. Sieht mehr nach Bug als by design aus.

Anonymous1

@fly4beer

okay, du scheinst einen sehr speziellen Anwendungsfall zu haben

Würdest du uns bitte ein konkretes Szenario schildern, welches mit der IB2 (welche Firmware?) noch funktionierte und jetzt mit der IB3 (Firmwarestand?) nicht mehr?

Unter Umständen ist es ja ein Bug in der aktuellen IB-Firmware.

(ich bin nicht der Netzwerk-Experte, aber hier im Forum lesen durchaus ein paar hellere Köpfe mit, welche dir Tipps geben könnten)

fly4beer

Ist eigentlich relativ einfach, hinter der IB3 sind 2 weitere Router, Netze hinter diesen Router sind statisch von der IB3 zu den Router geroutet. Wenn die inneren Netze aus 192.168.x.x bestehen ist alles ok, andere Subnets (z.B 10.x.x.x) erreichen zwar das Internet problemlos aber die Swisscom Dienste (smtp, imap, swisscom.ch, etc) nicht. Das ging bei der IB2 mit neuester offizieller Firmware problemlos.