DMZ in netz mit 3 routern

[justmike]

griaß eich!

hab gerade versucht, mir eine DMZ einzurichten, da ich meinen debian rechner von aussen zugägnglich machen möchte.
laut einem artikel in der c`t kann man mit 2 routern eine echte DMZ einrichten. und zwar indem man die firewall so konfiguriert, dass vom restlichen LAN aus alles reingeht, aber aus der DMZ nichts heraus. ich hab das so verstanden, dass die firewall also im prinzip genau umgekehrt als im normalfall konfiguriert werden muss. hab das jetzt auch nach dieser anleitung gemacht, aber es funzt nich nicht so ganz.

konkret ist der router zwischen DMZ und übrigem netz ein netgear rp614. das blocken aus der DMZ heraus funzt auch, ich hab einfach ports 1-65353 komplett gesperrt (outbound).
vom restlichen lan aus komm ich aber nicht in die DMZ rein (SPI ist schon deaktiviert, port forwarding hab ich auch eingerichtet, über alle ports hin zum debian-server).

traceroute kommt noch bis zum WAN-port des DMZ-routers, dort bleibts aber hängen. er routet einfach nicht zum LAN port des DMZ-routers weiter, an dem der debian hängt.

muss wohl irgendwie mit der firwall zu tun haben, ich hab aber wie schon gesagt spi deaktiviert und lasse alle ports zum debian weiterleiten.

fällt euch noch was ein?

lg,
mike.

[al]

zB:

WAN---[fw1]----DMZ----[fw2]---LAN

WAN->DMZ wie gewünscht
DMZ->WAN wie gewünscht
DMZ->LAN nix
LAN->DMZ wie gewünscht

Wobei zB fw1 nur routet (und möglicherweise einen Tunnel terminiert), während fw2 NATet.

/al