Contents x
      Verwenden einer eigener Firewall
      • 05 Sep 2024
      • 3 Minutes to read
      • Contributors
      • Print
      • Dark
        Light
      • PDF
      Contents

      Verwenden einer eigener Firewall

      • Updated on 05 Sep 2024
      • 3 Minutes to read
      • Contributors
      • Print
      • Dark
        Light
      • PDF
      Article summary

      In diesem Artikel erklären wir, wie Sie eine eigene Firewall Appliance für Ihre VMs in awesome.cloud verwenden können. Als Beispiel werden wir eine pfsense Firewall bereitstellen.

      Erstellen des Netzwerks

      1. Stellen Sie den Connectivity Service bereit.
      2. Öffnen Sie den Reiter "Connectivity Service" und wählen Sie "Netzwerke" in der Seitenleiste. Fügen Sie nun ein neues Isoliertes Netzwerk hinzu:

      image.png

      Isolierte Netzwerke

      Isolierte Netzwerke verwalten Sie selbst. awesome.cloud wird kein IP-Management für diese Netzwerke betreiben.
      Das Netzwerk wird standardmässig nicht geroutet und hat deshalb keinen Zugriff auf das Internet oder andere Netzwerke, welche Sie angelegt haben.

      Einrichten der VM für die Firewall

      In diesem Abschnitt werden wir eine neue VM erstellen und darauf unsere Firewall Appliance installieren. Danach fügen wir das isolierte Netzwerk hinzu, welches danach von der VM geroutet wird.

      1. Stellen Sie nun eine neue öffentliche VM bereit. Als Betriebssystem wählen Sie bitte eine Linux-Distribution aus. Die Ressourcen können Sie frei, gemäss den Anforderungen Ihrer Appliance, wählen.

      image.png

      1. Nachdem die VM erfolgreich bereitgestellt wurde, mounten Sie nun das pfSense ISO in die VM. Falls Sie eine andere Firewall Appliance, mit eigenem ISO, einrichten wollen, kontaktieren Sie bitte unseren Support.

      image.png

      1. Öffnen Sie die Webkonsole. Starten Sie danach die VM neu. Im GRUB Bootmanager, wählen Sie "UEFI Firmware Settings" und starten Sie danach vom CD Laufwerk:

      image.png

      image.png

      1. Installieren Sie anschliessend pfSense oder Ihre eigene Firewall Appliance gemäss Ihren Anforderungen. Stellen Sie sicher, dass Sie nach der Installation das ISO wieder auswerfen.

      image.png

      1. Richten Sie nun das WAN Interface ein. Verwenden Sie dazu das einzig verfügbare Interface. Konfigurieren Sie noch nichts für das LAN.
        image.png

      2. Nehmen Sie als Nächstes die IP Konfiguration vor. Die Informationen dazu finden Sie auf der Detailseite der VM unter "Netzwerk":

      image.png

      image.png

      1. Sie können sich inzwischen auf das Webinterface der pfSense verbinden und den Einrichtungsassistent, gemäss Ihren Anforderungen durchführen.

      2. Stellen Sie sicher, dass Sie eine Anti-Lockout Rule haben. Sobald in Ihrer pfSense das LAN Interface aufgeschaltet wird, wird die "Default Anti Lockout Rule" auf das LAN Interface verschoben.

      image.png

      1. Fügen Sie nun das, im ersten Schritt erstellte, isolierte Netzwerk zur VM hinzu:

      image.png

      1. Sie können jetzt das Interface auf der pfSense zuweisen und die IP-Konfiguration vornehmen.

      image.png

      image.png

      Keine Isolation mehr

      Nach diesem Schritt wird das isolierte Netzwerk nicht mehr isoliert sein. Die pfSense kann das Netzwerk nun ins Internet oder in andere Netzwerke, welche Sie hinzufügen können, routen.

      1. Konfigurieren Sie die Firewall als Nächstes gemäss Ihren Anforderungen.

      Verwenden der Firewall für eine neue VM

      Um eine neue VM hinter der Firewall zu erstellen, wählen Sie beim Erstellen der VM das entsprechende isolierte Netzwerk aus:

      image.png

      IP-Management

      Bedenken Sie, dass awesome.cloud keine IP-Konfiguration für isolierte Netzwerke vornimmt. Bitte nehmen Sie die Konfiguration direkt über die Webkonsole vor. Alternativ können Sie auch einen DHCP-Server einrichten. Die pfSense bietet ein entsprechendes Paket standardmässig an.

      Verwenden der Firewall für eine bestehende VM

      Um die neu erstellte Firewall mit einer bestehende VM zu verbinden, müssen wir ihr Netzwerk ändern.

      Neue IP-Konfiguration

      Da die VM in ein anderes Netzwerk verschoben wird, muss die IP Konfiguration auf der VM geändert werden.

      1. Navigieren Sie zur Kategorie "Netzwerk" in der Detailansicht der VM.

      2. Fügen Sie das erstellte isolierte Netzwerk zur VM hinzu:
        image.png

      3. Nehmen Sie nun die IP-Konfiguration für das neue Interface vor.
        image.png

      4. Setzen Sie nun das isolierte Netzwerk als primäres Netzwerk:
        image.png

      5. Entfernen Sie nun das default "Primary ORG Network":
        image.png

      Verwenden der Firewall für eine bestehende VM mit Public Services

      Um eine bestehende VM, welche Public Services hat, mit der Firewall verwenden zu können, müssen diese Public Services auf die neue Firewall migriert werden, sowie das Netzwerk der VM geändert werden.

      IP-Adresse ändert sich

      Um die neue Firewall mit der bestehenden VM mit Public Services verwenden zu können, wird sich die öffentliche IP-Adresse ändern.

      1. Stellen Sie bei Bedarf den TTL Ihres DNS-Eintrags auf 5min um, die Ausfallzeit möglichst kurz zu halten. Warten Sie mit dem nächsten Schritt, bis die alte TTL-Zeitspanne verstrichen ist.

      2. Navigieren Sie zur Kategorie "Netzwerk" in der Detailansicht der VM.

      3. Fügen Sie das erstellte isolierte Netzwerk zur VM hinzu:
        image.png

      4. Erstellen Sie auf der pfSense bzw. Ihrer eigener Firewall Appliance ein Portforwarding, für die bestehenden Public Services:
        image.png

      Weitere IP-Adresse

      Falls Sie denselben Port für verschiedene VMs benötigen, können Sie eine zusätzliche IP-Adresse auf der pfSense aufschalten:

      image.png

      Dies fügt ein der VM ein weiteres Interface hinzu, welches Sie gemäss Punkt 1 in dieser Anleitung einrichten können und danach, wie oben beschrieben, ein weiteres Portforwarding einrichten.

      1. Nehmen Sie nun die IP-Konfiguration für das neue Interface vor.
        image.png

      2. Falls notwendig, ändern Sie anschliessend den DNS-Record Ihres Dienstes auf die neue Public IP-Adresse der Firewall.

      3. Setzen Sie nun das isolierte Netzwerk als primäres Netzwerk:
        image.png

      4. Deaktivieren Sie die Public Services:
        image.png

      5. Entfernen Sie nun das Default "Primary ORG Network":
        image.png

      What's Next