{"id":650,"date":"2016-06-16T17:54:09","date_gmt":"2016-06-16T15:54:09","guid":{"rendered":"https:\/\/www.boc.de\/watchguard-info-portal\/?p=650"},"modified":"2016-06-17T11:57:02","modified_gmt":"2016-06-17T09:57:02","slug":"dynamic-nat-und-nicht-rfc-1918-adressen","status":"publish","type":"post","link":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/2016\/06\/dynamic-nat-und-nicht-rfc-1918-adressen\/","title":{"rendered":"Dynamic NAT und Nicht-RFC-1918-Adressen"},"content":{"rendered":"

Eine Default WatchGuard Konfigurationsdatei, die per Setup Wizard erstellt wurde, geht davon aus, dass in einem LOKALEN Netzwerk (Trusted oder Optional) entweder RFC-konforme Private IP-Adressen nach RFC 1918<\/strong> verwendet werden – also ein beliebiges Subnet innerhalb der Bereiche 10.0.0.0\/8, 172.16.0.0\/12 oder 192.168.0.0\/16 – oder korrekt geroutete \u00f6ffentliche IP-Adressen! Nur dann funktioniert der “Internet-Zugriff” auf Anhieb!
\nVerwenden Sie jedoch – meist aus “historischen Gr\u00fcnden” – in Ihrem lokalen Netzwerk “verbogene” \u00f6ffentliche IP-Adressen<\/strong> (also zum Beispiel: 192.1.1.0\/24) – m\u00fcssen Sie folgende Einstellung im Policy Manager bearbeiten, damit die regul\u00e4re Internet-Nutzung \u00fcberhaupt erst m\u00f6glich wird: Network > NAT > Dynamic NAT<\/em>.
\nF\u00fcgen Sie dort Ihren “verbogenen” lokalen IP-Bereich hinzu. Hierbei kann auch eine bestimmte Quell-IP festgelegt werden. Wird nichts definiert, wird die Primary IP des Interfaces verwendet, \u00fcber das das Datenpaket gem\u00e4\u00df Routing Table die WatchGuard verl\u00e4sst:<\/p>\n

\"WatchGuard<\/a>\u00a0 \u00a0\"WatchGuard<\/a>\u00a0\u00a0\u00a0\"WatchGuard<\/a><\/p>\n

Technischer Hintergrund:<\/strong> Nur wenn die Quell-IP-Adresse in den Headern von ausgehenden IP-Paketen in den hier definierten Bereichen liegt, wendet die WatchGuard Firebox beim Durchfluss der Datenpakete Richtung Internet auch die erforderlichen NAT-Regeln<\/strong> an, ersetzt also die eigentliche Quell-IP-Adresse (des Client-PC) durch die korrekte \u00f6ffentliche IP-Adresse der Firewall. Nur dann k\u00f6nnen die Daten aus dem Internet auch den korrekten Weg zu unserem lokalen Netzwerk zur\u00fcck finden! – OHNE die NAT-Regel w\u00fcrde der angesprochene Server im Internet unsere Anfrage zwar erhalten – und sogar darauf antworten (!) – allerdings w\u00fcrden die Router im Internet die Antwort wegen ihrer Routing Tables sonstwohin schicken (S\u00fcdamerika, Australien, Timbuktu…) – nur nicht zu uns, da die Router gar nicht wissen K\u00d6NNEN, dass “wir” diese IP-Adressen “illegalerweise” in unserem lokalen Netzwerk in Hintertupfingen verwenden… \ud83d\ude42<\/p>\n

Fazit:<\/strong> o.g. NAT-Regel anpassen – oder daf\u00fcr sorgen, dass in Ihrem lokalen Netzwerk KORREKTE private IP-Adressen nach RFC 1918 verwendet werden…<\/p>\n

Dieser Artikel wurde erstmals am 11.12.2008 im “Technischen WatchGuard-Blog von Bernd Och” ver\u00f6ffentlicht. Hierher verschoben und aktualisiert in 2016.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"

Eine Default WatchGuard Konfigurationsdatei, die per Setup Wizard erstellt wurde, geht davon aus, dass in einem LOKALEN Netzwerk (Trusted oder Optional) entweder RFC-konforme Private IP-Adressen nach RFC 1918 verwendet werden – also ein beliebiges Subnet innerhalb der Bereiche 10.0.0.0\/8, 172.16.0.0\/12 oder 192.168.0.0\/16 – oder korrekt geroutete \u00f6ffentliche IP-Adressen! Nur dann funktioniert der “Internet-Zugriff” auf Anhieb! Verwenden Sie jedoch – meist aus “historischen Gr\u00fcnden” – in … Weiterlesen Dynamic NAT und Nicht-RFC-1918-Adressen<\/span> »<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[38,37,40,39],"class_list":["post-650","post","type-post","status-publish","format-standard","hentry","category-watchguard-technischer-blog","tag-dynamic-nat","tag-nat","tag-private-ip-adressen","tag-rfc-1918"],"_links":{"self":[{"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/posts\/650"}],"collection":[{"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/comments?post=650"}],"version-history":[{"count":15,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/posts\/650\/revisions"}],"predecessor-version":[{"id":735,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/posts\/650\/revisions\/735"}],"wp:attachment":[{"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/media?parent=650"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/categories?post=650"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/wp-json\/wp\/v2\/tags?post=650"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}