A T T E N Z I O N E ! Questo post ha piu' di sei mesi. Le informazioni contenute potrebbero non essere aggiornate.

SonicWall
Nell’eventualità, peraltro remota, che qualcuno si trovi a dover affrontare gli stessi problemi io che ho avuto oggi, annoto a futura memoria mia e di chi passa di qui:

  • Sui firewall SonicWall della serie Pro, è possibile attivare l’hardware failover contemporaneamente al transparent mode, sebbene dal manuale di configurazione la cosa non sembri possibile.
  • In questo caso gli indirizzi IP di management vanno specificati comunque e appartengono, come l’interfaccia LAN trasparente, alla zona WAN. (Sembra un controsenso ma è così). Prima di attivare il transparent mode, ricordarsi di abilitare il management (HTTP e/o HTTPS) anche sull’interfaccia WAN: non so se si riesce ad accedere all’interfaccia di configurazione quando il firewall è in transparent e questa opiione è disabilitata.
  • Occorre fare molta attenzione alla definizione della rete dietro all’interfaccia trasparente. Spesso per installare queste configurazioni, si mettono i nuovi firewall temporaneamente in cascata con il vecchio che andranno a sostituire, per non fermare troppo il lavoro. Nel momento in cui la rete suddetta si trova “dal lato sbagliato” (cioè connessa fisicamente al lato WAN), si scatena una specie di tempesta (credo ARP, ma non ho avuto modo di capirlo) che interferisce pesantemente con tutto il network. E’ consigliabile creare un address object con un unico IP per fare le prove, e cambiare la rete subito prima della messa in produzione.
  • Una cosa che non sembra funzionare nella configurazione HF + transparent, è il preemptive mode. Nel momento in cui il firewall primario cerca di riprendersi il ruolo attivo, il firewall backup in carica logga una serie di tentativi di spoofing provenienti dall’indirizzo dell’interfaccia di management del primario, e non gli permette di riprendersi il ruolo attivo. Il preemptive mode va disattivato; non è un problema se le due unità sono identiche, lo può essere se sono di serie diverse.
  • Come ciliegina sulla torta, tra la rete locale ed i firewall ho installato un CSM 2100 CF, che dovrebbe fare content filtering (mah…). Anche questa unità è configurata in transparent mode, e tutta la catena sembra funzionare senza grossi problemi (per ora).
Tags:

Related posts