L-11 und der "Isolierte Modus" ...

[AndreasMarx]

Hallo Backslash,

Es geht hier ja nur um den Switchport, der in den Private-Mode geschaltet wurde und an dem die DMZ hängt. Wenn in dieser DMZ ein Recher übernommen wird, dann muß er über den Router (und somit die Firewall) gehen, um überhaupt ins Intranet zu kommen...

Gruß
Backslash

Ja, das hatte ich völlig übersehen, daß man auch einzelne Ports in den private mode schalten kann. Das ist natürlich Klasse.

Das der Router kein Back-Routing macht war mir so auch nicht klar. Wenn man drüber nachdenkt ist's aber ziemlich plausibel muß ich zugeben...

So ein bißchen wundert mich, daß Ihr die echte, portbezogene DMZ jetzt per Firwareupdate nachreicht. Ich dachte eigentlich, die Hardware würde das (im Gegensatz zu der im 7011 verbauten) nicht hergeben.

Dann fehlt eigentlich nur noch, daß man auch verschiedene VLANs über die Firewall zwingen kann (so eine Art private mode pro VLAN). Ich nehme mal an, daß würde nicht so einfach, weil vermutlich der Switch-Chipsatz bereits das Tagging/Detagging erledigt?

Gruß,
Andreas

[alf29]

So ein bißchen wundert mich, daß Ihr die echte, portbezogene DMZ jetzt per Firwareupdate nachreicht. Ich dachte eigentlich, die Hardware würde das (im Gegensatz zu der im 7011 verbauten) nicht hergeben.

Das stimmte so nur für ältere Geräte wie den 821/1621, weil man dort
Switchports in der Software nicht einzeln ansprechen kann. Aus dem
gleichen Grund haben diese Geräte ja auch keinen (optional schaltbaren)
Ethernet-WAN-Port, sondern nur DSLoL.

Bei den Switches in den neueren LANCOMs hat man quasi einen frei programmierbaren
Verteiler, in dem man physikalische Switch-Ports logischen Funktionen zuordnen kann.
Bei LCOS 5.0x gab es eben nur das LAN und einen oder mehrere WAN-Interfaces als
solche logischen Funktionen, demnächst gibt es ein weiteres LAN-Interface, das wegen
seines bevorzugten Einsatzes eben 'DMZ' genannt wurde.

Dann fehlt eigentlich nur noch, daß man auch verschiedene VLANs über die Firewall zwingen kann (so eine Art private mode pro VLAN). Ich nehme mal an, daß würde nicht so einfach, weil vermutlich der Switch-Chipsatz bereits das Tagging/Detagging erledigt?

Das könnte nur der 'große' Switch im 7111/8011, und VLAN-Support an sich ist bisher
nur bei den Geräten mit WLAN enthalten. Das wird sich sicher irgendwann ändern, und
in dem Zusammenhang wird man für jede geräteeigene IP-Adresse einstellen können, in
welchem VLAN diese Adresse gilt. Damit könnte das Gerät zwischen VLANs routen,
womit man auch die Firewall ins Spiel bekommt. Das ist aber alles noch Zukunftsmusik.

Gruß Alfred