Sophos UTM 9.1 auf Hyper-V 2012 virtualisieren

[andrew 15]

hello together

 

kann man hier nicht per Copy and Paste Text einfügen?

Wenn nein, warum nicht?

 

Meine Problemstellung existiert schon irgendwo im Internet, aber leider noch unbeantwortet und weil ich mir so rasch wie nur möglichst eine Hilfestellung vorstelle, wäre es sinnvoll, wenn ich diesen Bericht auch hier euch veröffentlichen könnte, was spricht gegen ein Copy and paste?

 

Liebe Grüsse

André

bearbeitet 25. Januar 2014 von andrew

[zahni 554]

Bei IE11: F12 drücken, auf der Seite "Emulation" den Dokumentenmodus auf IE 10 stellen.

 

Ist leider ein Bug in der Foren-Software. Oder Firefox benutzen...

[andrew 15]

Hallo Zahni

Hammer, habe ich wieder was gelernt (mit dem IE und den diversen Möglichkeiten via Taste F12) :-)

 

Und zu meiner Frage/ meinem Problem

Frage: Hat schon Jemand Sophos UTM 9.1 Firewall als virtuelle Appliance auf einem Hyper-V Host laufen lassen?

Genau das versuche ich Und: stelle gerade fest, dass die Sophos UTM 9.1 auf der externen Schnittstelle (eine der vielen Netzwerkkarten, welche direkt im Hyper-V Host eingebaut und mit dem Cablemodem direkt verbunden ist) keine IP- Adresse ziehen will (Link = down)

Ziel:
auf dem Hyper- V eine virtualisierte Sophos Firewall laufen zu lassen

Umsetzung:

virtuelle Swtiches (im Hyper-V Host auf Server 2012 und altem IBM Server)
einen neuen virtuellen Switch erstellt (Extern) > physische NIC XX angegeben, welche direkt mit dem Cablemodem verbunden ist
ein virtueller Switch besteht schon, habe ich INTERN benannt und und mit physischer NIC YY verbunden

> Sophos UTM 9.1 ISO File heruntergeladen (mit Lizenz File)
> Sophos UTM 9.1 als Iso File bei der neu zu erstellenden, virtuellen Maschine in den Einstellungen hinterlegt, damit die neue, zu erstellende virtuelle Maschine vom ISO File bootet
> Sophos UTM 9.1 Firewall installiert und die zwei NICs angegeben,
für das LAN in den Einstellungen der Hyper-V Eigenschaften gesagt, Du bist mit dem virtuellen Switch INTERN verbunden
für das externe Netz, welches in das Internet zeigt, den virtuellen Switch angegeben, welcher mit der physischen Netzwerkkarte verknüpft ist, welche wiederum direkt mit dem Cablemodem direkt physisch verbunden ist

Resultat / Problem
So, der interne Zugriff auf die Astaro Firewall, respektive auf die Sophos UTM 9.1 Firewall gelingt via https://192.168.5.1:4444 ohne Probleme

Unter den NIC Einstellungen der Sophos Firewall stelle ich aber fest, dass die Sophos UTM 9.1 Firewall keine externe IP zieht ???
(auf der zweiten NIC, welche ja mit dem den anderen virtuellen Switch verbunden ist)

So, nun meine Verständnisfrage:
Ist mein Vorgehen so korrekt?
Ich meine, wenn ich doch bewirken will, dass die virtuelle Maschine direkt von einer physischen Netzwerkkarte via DHCP die Konfiguration zieht, ob nun vom Internet via Provider direkt eine IP bezieht oder intern via Router, welcher DHCP macht, eine IPv4 Adresse ziehen soll, so muss ich ja unter Hyper-V zwangsläufig einen virtuellen Switch erstellen, welcher dann die entsprechende Netzwerkkarte hinterlegt hat, welche eben in der Lage ist, die gewünschte IPv4 Adresse physisch via DHCP Zu ziehen

In der VMware Welt würde ich in einer virtuellen Maschine, wenn ich genau das gleiche Ziel wie oben beschrieben erreichen möchte, würde ich die virtuelle NIC in den Bridged Mode setzen, somit würde die virtuelle NIC genau die gleiche Infos per DHCP ziehen wie der physische Netzwerkadapter, mit welcher die virtuelle NIC gebridged ist

Ist etwas mit meiner Hyper-V Konfiguration faul oder meinen Netzwerkkarten nicht in Ordnung?
Funktioniert bei euch dieses Szenario wie ich oben beschrieben habe oder anders gefragt, hat schon Jemand wie ich das gleiche Ziel gehabt und es auch umgesetzt? :-)

Denn ich stelle noch folgendes fest
Weil ich das Problem versucht habe einzugrenzen, tat ich mal folgendes

> alle virtuellen Switches gelöscht
> alle Netzwerkkabel physisch vom Hyper-V Host getrennt
> das andere Ende des Netzwerkkabels, welches im Cablemodem eingesteckt ist, in jede der 5 vorhandenen Netzwerkkarten im Hyper-V Host physisch eingesteckt und geprüft, ob ich bei jeder physischen, eingesteckten Netzwerkkarte im Hyper-V Host auch eine IPv4 Adresse von meinem Internet Provider erhalte (per DHCP)

So und nun kam zumindest für mich eine neue Erkenntnis, welche mir unerklärlich ist

> von 5 Netzwerkkarten erhalte gerade nur deren zwei eine IPv4 Adresse via DHCP von meinem Internet Provider
> Punkt 2: von den beiden 2 Netzwerkkarten, welche als einzige von 5 Netzwerkkarten eine IPv4 Adresse von meinem Internet Provider via DHCP direkt erhalten, hat
1 Netzwerkkarte eine IP gezogen, beginnend mit 77.X.Y.Z
die zweite Netzwerkkarte hat eine IP gezogen, beginnend mit 178.X.Y.Z

So, steckte ich also das Netzwerkkabel direkt vom Cablemodem nacheinander in jede der 5 Netzwerkkarten, so bekommen nur zwei NICs überhaupt direkt via DHCP vom Internet Provider eine IPv4 Adresse, warum?

Und warum auf einer NIC aus einem anderen Range wie auf der anderen NIC?
Und warum erhalte ich via DHCP keine IPv4 Adresse, wenn ich das Netzwerkkabel als Test bei den anderen NICs einstecke?

Ja, alle 5 Netzwerkkarten habe ich für diesen Test auf DHCP umgestellt respektive sichergestellt, dass diese auf DHCP eingestellt sind
Und: Nein, die anderen sind nicht defekt, denn wenn ich bei diesen manuell eine IPv4 Adresse vergeben würde, so wären diese auch im internen Netz erreichbar

Übrigens, wenn ich im Hyper-V Host im Manager für virtuelle Netzwerke (Switches) für den virtuellen Switch (Extern) die Netzwerkkarte angebe, welche IPv4 Adresse 77.X.Y.Z erhalten würde und ich drücke auf aufwenden (wenn ich diese dem Switch zuweisen will), dann friert mein Hyper-V Host ein, nichts geht mehr

Auch sind von diesem Moment an keine meiner virtuellen Server mehr erreichbar, alles ist Tod > dann hilft nur noch ein Kaltstart des Servers (leider)

Vielen Dank für die Lösung meiner Rätsel (die Sache mit der Sophos Firewall, wie ich diese dazu bringe, dass Sie via DHCP die IP vom Provider zieht, interessiert mich fast am heftigsten :-)

[andrew 15]

Morgruss

ach nein, schon Nachmittag, ja sogar scho fast Abend und ich surfe gerade hinter einer virtualisierter Sophos UTM 9.1 Firewall, goil :-)

 

Lösung
Genau, der Hacken muss raus
-> Manager für virtuelle Switches, beim virtuellen Switch für extern (welcher mit der externen Netzwerkkarte im Hyper-V Host verbunden ist, welche wiederum direkt mit dem Cablemodem verbunden ist)
-> Allow management operating system to share this network Adapter -> Hier den Hacken raus :-)

 

Warum?

Wenn dieser Hacken drin ist, dann bekommt der Hyper-V Host die externe IPv4 Adresse und diese steht dann quasi der virtualisierten Applicance, welche diese ja per DHCP beziehen soll, nicht mehr zur Verfügung

 

Ein weiteres Problem war noch meine Netzwerkkarte (eine PCIe)
Als ich den virtuellen Switch erstellt habe, gesagt, du bist extern, die physische Netzwerkkarte angegeben, welche direkt mit dem Router verbunden war, den Knopf Anwenden angeglickt und voila, mein Hyper-V Host hat sich gleich verabschiedet

Naja, ist ein ca. 5 Jahre alter IBM Server, gab wohl ein Problem mit dieser NIC
eine andere NIC eingbaut, leider hatte ich gerade nur ein paar neue, noch eingepackte, ältere PCI Netzwerkkarten und ja, dachte, für meinen Test sollte dies absolut reichen Und: da ich ein Internet Abo mit 50 Mbit/s habe, reicht auch die 100 Mbit Netzwerkkarte locker *grins*

So, das wars. der Link bei externen NIC, auf der WAN Schnittstelle ist da, up and running, das macht Freude.

Nun kommt der zweite Teil, das Sophos UTM Teil kennen lernen, da gibt es doch ein paar Dinge, Einstellmöglichkeiten, welche mir fremd sind, wenigstens hat der Assistent beim Einrichten schon sicher 90% der Arbeit erledigt hehe

spannend war zwar, dass ich, nachdem ich die neue Netzwerkkarte in den Hyper-V Host gebaut habe und direkt prüfte, ob ich vom Internet Provider eine externe iP erhalte, dass ich keine bekam, stattdessen hatte ich eine Apipa Adresse :-)

Tja, danach den Hacken wieder rausgenommen (beim externen Switch) -> Allow management operating system to share this network Adapter
die virtualisierte Sophos UTM 9.1 Firewall hochgefahren und siehe da, bei beiden NICs war alles grün :-)

bearbeitet 26. Januar 2014 von andrew

[Daniel -MSFT- 129]

Total OT: Es ist immer noch ein "Haken", kein "Hacken". Bei "Abhacken" denke ich immer an Splatter-Zombie-Filme ;-)

[andrew 15]

jawohl, es handelt sich hier um einen Haken und nicht um einen Hacken mit ck geschrieben, alles klar

Danke für den Hinweis :-)