Cosa à circà quandu sceglie un router VPN per una reta distribuita? E chì funzioni deve avè ? Hè ciò chì a nostra recensione ZyWALL VPN1000 hè dedicata.
Introduzione
Prima, a maiò parte di e nostre publicazioni eranu dedicate à i dispositi VPN low-end per l'accessu à a rete da i siti periferichi. Per esempiu, per cunnette diverse rami cù a sede, accessu à a Rete di picculi imprese indipendenti, o ancu e case private. Hè u tempu di parlà di u node cintrali per a reta distribuita.
Hè chjaru chì ùn serà micca pussibule di custruisce una reta muderna di una grande impresa solu nantu à a basa di i dispositi di classa ecunomica. È urganizà ancu un serviziu di nuvola per furnisce servizii à i cunsumatori. In un locu deve esse installatu un equipamentu chì pò serve un gran numaru di clienti à u stessu tempu. Sta volta avemu da parlà di unu tali dispusitivu - Zyxel VPN1000.
Per i participanti grandi è chjuchi in u scambiu di rete, hè pussibule identificà i criteri per quale l'idoneità di un dispositivu particulari per risolve un prublema hè valutata.
Quì sottu sò i principali:
- capacità tecniche è funziunali;
- cuntrollu;
- a sicurità;
- tolleranza à i difetti.
Hè difficiuli di determinà ciò chì hè più impurtante è ciò chì pò esse fattu senza. Tuttu hè necessariu. Se u dispusitivu ùn cumpone micca i requisiti secondu un certu criteriu, questu hè pienu di prublemi in u futuru.
Tuttavia, certe caratteristiche di i dispositi pensati per assicurà u funziunamentu di l'unità cintrali è l'equipaggiu chì operanu principarmenti in a periferia pò differisce significativamente.
Per u node cintrali, a putenza di l'informatica vene prima - questu porta à u rinfrescante furzatu, è, in cunseguenza, u rumore da u fan. Per i dispositi periferichi, chì sò tipicamente situati in l'uffizii è a casa, l'operazione rumoroso hè quasi inaccettabile.
Un altru puntu interessante hè a distribuzione di i porti. In i dispositi periferici hè più o menu chjaru cumu serà utilizatu è quanti clienti seranu cunnessi. Dunque, pudete stabilisce una divisione stretta di porti in WAN, LAN, DMZ, strettamente ligate à u protocolu, etc. Ùn ci hè micca una certa certezza à u centru cintrali. Per esempiu, avemu aghjustatu un novu segmentu di rete chì deve esse cunnessione cù a so propria interfaccia - è cumu fà questu? Questu hè bisognu di una suluzione più universale cù a capacità di cunfigurà interfacce in modu flexible.
Una sfumatura impurtante hè chì u dispusitivu hè riccu in diverse funzioni. Di sicuru, l'approcciu di avè un pezzu di l'equipaggiu eseguisce bè una sola operazione hà i so vantaghji. Ma a situazione più interessante principia quandu avete bisognu di fà un passu à manca, un passu à diritta. Di sicuru, cù ogni novu compitu, pudete ancu cumprà un altru dispositivu di destinazione. È cusì finu à chì u budgetu o u spaziu di rack esce.
In cuntrastu, un inseme allargatu di funzioni permette di ottene cun un dispositivu quandu risolve parechji prublemi. Per esempiu, u ZyWALL VPN1000 supporta parechji tipi di cunnessione VPN, cumprese SSL è IPsec VPN, è ancu cunnessione remota per l'impiegati. Questu hè, un pezzu di hardware copre i prublemi di e cunnessione cross-site è client. Ma ci hè un "ma". Per fà questu, avete bisognu di avè una riserva di rendiment. Per esempiu, in u casu di u ZyWALL VPN1000, u core di hardware IPsec VPN furnisce un altu rendimentu di u tunnel VPN, è l'equilibriu / redundancy VPN cù l'algoritmi SHA-2 è IKEv2 furnisce una alta affidabilità è sicurezza per l'affari.
Elencu quì sottu sò alcune funzioni utili chì copre una o più di e zone descritte sopra.
SD WAN furnisce una piattaforma per a gestione di nuvola, guadagnendu i beneficii di a gestione centralizata di cumunicazioni trà i siti cù a capacità di cuntrollà è monitorà remotamente. ZyWALL VPN1000 supporta ancu u modu di funziunamentu currispundente induve e funzioni VPN avanzate sò richieste.
Supportu per e plataforme di nuvola per i servizii di missione critica. ZyWALL VPN1000 hè pruvatu per l'usu cù Microsoft Azure è AWS. L'usu di dispusitivi pretestati hè preferibile per una urganizazione di ogni livellu, soprattuttu se l'infrastruttura IT usa una cumminazione di rete locale è nuvola.
Filtru di cuntenutu Rinforza a sicurità bluccà l'accessu à i siti web maliziusi o indesiderati. Impedisce u malware da esse scaricatu da siti micca fiduciati o pirate. In u casu di ZyWALL VPN1000, una licenza annuale per stu serviziu hè digià inclusa in u pacchettu.
Geopolitica (Geo IP) permette di monitorà u trafficu è analizà a situazione di l'indirizzi IP, nighendu l'accessu da e regioni innecessarii o potenzialmente periculose. Una licenza annuale per stu serviziu hè ancu inclusa quandu si compra u dispusitivu.
Gestione di a rete wireless U ZyWALL VPN1000 include un controller di rete wireless chì permette di gestisce finu à 1032 punti d'accessu da una interfaccia d'utilizatore centralizata. L'imprese ponu implementà o espansione una rete Wi-Fi gestita cù un minimu sforzu. Hè da nutà chì u numeru 1032 hè veramente assai. Basatu nantu à u calculu chì finu à 10 utilizatori ponu cunnette à un puntu d'accessu, questu hè una figura abbastanza impressiunanti.
Equilibratu è redundancy. A serie VPN supporta l'equilibriu di carica è a ridondanza in parechje interfacce esterne. Questu hè, pudete cunnette parechji canali da parechji fornituri, pruteggendu cusì da i prublemi di cumunicazione.
Possibilità di redundanza di u dispusitivu (Dispositivu HA) per a cunnessione non-stop, ancu quandu unu di i dispositi falla. Hè difficiuli di fà senza questu s'ellu ci vole à urganizà u travagliu 24/7 cù un minimu downtime.
Zyxel Device HA Pro opera in attivu/passivu, chì ùn hà micca bisognu di una prucedura cumplessa di setup. Questu permette di calà a soglia di ingressu è immediatamente principià aduprà a riservazione. A cuntrariu attivu / attivu, quandu l'amministratore di u sistema hà bisognu di sottumette una furmazione supplementaria, esse capace di cunfigurà u routing dinamicu, capisce ciò chì sò i pacchetti asimmetrici, etc. - paràmetri di modu attivu/passivu Funziona assai più faciule è richiede menu tempu.
Quandu si usa Zyxel Device HA Pro, i dispositi scambianu signali core via un portu dedicatu. Porti di dispositi attivi è passivi per core cunnessu via un cable Ethernet. U dispusitivu passivi synchronizes cumpletamenti infurmazione cù u dispusitivu attivu. In particulare, tutte e sessioni, tunnelli è cunti d'utilizatori sò sincronizati trà i dispositi. Inoltre, u dispusitivu passivu mantene una copia di salvezza di u schedariu di cunfigurazione in casu chì u dispusitivu attivu falla. Questu assicura una transizione senza saldatura in casu di fallimentu di u dispusitivu primariu.
Hè nutate chì in i sistemi attivi/ attivu avete ancu riservà 20-25% di e risorse di u sistema per fallu. À attivu/passivu un dispositivu hè interamente in u statu di standby, è hè prontu à processà immediatamente u trafficu di a rete è mantene u funziunamentu normale di a rete.
In termini simplici: "Quandu si usa u Zyxel Device HA Pro è avè un canale di salvezza, l'impresa hè prutetta sia da a perdita di cumunicazione per culpa di u fornitore, sia da i prublemi risultatu da u fallimentu di u router.
Riassuntu tuttu ciò chì sopra
Per u node cintrali di una reta distribuita, hè megliu utilizà un dispositivu cù un certu suministru di porti (interfaces di cunnessione). In questu casu, hè desideratu avè dui interfacce RJ45 per a simplicità è a cunnessione di costu, è SFP per sceglie trà una cunnessione di fibra ottica è un par torcia.
Stu dispusitivu deve esse:
- pruduttivu, adattatu à i cambiamenti bruschi di carica;
- cù una interfaccia chjara;
- cù un numeru riccu, ma micca eccessivu, di funzioni integrate, cumprese quelle relative à a sicurità;
- cù a capacità di custruisce circuiti toleranti à i difetti - duplicazione di canali è duplicazione di dispositivi;
- supportu a gestione in modu chì tutta l'infrastruttura ramificata in a forma di un nodu cintrali è i dispositi periferici ponu esse amministrati da un puntu;
- cum'è "cherry on the cake" - supportu per i tendenzi muderni cum'è l'integrazione cù risorse di nuvola è cusì.
ZyWALL VPN1000 cum'è u nodu cintrali di a reta
À u primu sguardu à u ZyWALL VPN1000, hè chjaru chì Zyxel ùn hà micca risparmiatu i porti.
Avemu:
-
12 porti RJ‑45 (GBE) configurabili;
-
2 porti SFP configurabili (GBE);
-
2 porti USB 3.0 cù supportu per i modem 3G/4G.
Figura 1. Vista generale di ZyWALL VPN1000.
Hè devi esse nutatu subitu chì u dispusitivu ùn hè micca per un uffiziu in casa, principalmente per via di i fanali putenti. Ci sò quattru quì.
Figura 2. Panel posteriore ZyWALL VPN1000.
Videmu ciò chì l'interfaccia pari.
Duvete prestu prestu attenzione à una circustanza impurtante. Ci hè parechje funzioni, è ùn serà micca pussibule di discriverà in dettagliu in un articulu. Ma ciò chì hè bonu di i prudutti Zyxel hè chì ci hè una documentazione assai detallata, prima di tuttu, u manuale di l'utilizatore (amministratore). Dunque, per avè una idea di a ricchezza di funzioni, andemu solu per e tabulazioni.
Per automaticamente, u portu 1 è u portu 2 sò assignati à WAN. Partendu da u terzu portu ci sò interfacce per a reta lucale.
U portu 3rd cù IP predeterminatu 192.168.1.1 hè abbastanza adattatu per a cunnessione.
Cunnetteremu u patchcord, andemu à l'indirizzu è pudete osservà a finestra di registrazione di l'utilizatori di l'interfaccia web.
Vita. Per a gestione, pudete aduprà u sistema di gestione di nuvola SD-WAN.
Figura 3. Finestra per inserisce login è password
Passemu a prucedura di inserisce u login è a password è uttene a finestra Dashboard nantu à u screnu. In realtà, cum'è deve esse per un Dashboard - infurmazione operativa massima nantu à ogni pezzu di spaziu di schermu.
Figura 4. ZyWALL VPN1000 - Dashboard.
Tabulazione di cunfigurazione rapida (Wizards)
Ci sò dui assistenti in l'interfaccia: per stabilisce una WAN è stabilisce una VPN. In fatti, l'assistenti sò una bona cosa; permettenu di realizà paràmetri di mudelli ancu senza avè sperienza di travaglià cù u dispusitivu. Ebbè, per quelli chì volenu di più, cum'è dettu sopra, ci hè una documentazione detallata.
Figura 5. Tabulazione Quick Setup.
Tabulazione Monitoring
Apparentemente, l'ingegneri di Zyxel anu decisu di seguità u principiu: monitoremu tuttu ciò chì pudemu. Di sicuru, per un dispositivu chì agisce cum'è un centru cintrali, u cuntrollu tutale ùn ferà micca male.
Ancu solu espansione tutti l'articuli nantu à a barra laterale, a ricchezza di scelta diventa evidente.
Figura 6. Tabulazione di monitoraghju cù sub-articuli allargati.
Tabulazione di cunfigurazione
Quì a ricchezza di funzioni hè ancu più evidenti.
Per esempiu, a gestione di u portu di u dispusitivu hè assai bellu cuncepitu.
Figura 7. Tabulazione di cunfigurazione cù sub-articuli allargati.
Tabulazione di mantenimentu
Contene sottosezioni per l'aghjurnamentu di firmware, diagnostichi, vede e regule di routing è chjude.
Queste funzioni sò di natura ausiliaria è sò prisenti à un gradu o un altru in quasi tutti i dispositi di rete.
Figura 8. Tabulazione di mantenimentu cù sub-articuli allargati.
Caratteristiche cumparative
A nostra rivista seria incompleta senza paragunà cù altri analoghi.
A sottu hè una tabella di analoghi più vicinu à ZyWALL VPN1000 è una lista di funzioni per paragunà.
Table 1. Comparazione di ZyWALL VPN1000 cù analogi.
Spiegazioni per a Tabella 1:
*1: Licenza necessaria
* 2: Pruvisione Low Touch: L'amministratore deve prima cunfigurà u dispusitivu in u locu prima di ZTP.
*3: Basatu in a sessione: DPS s'applicà solu à a nova sessione; questu ùn affetterà micca a sessione attuale.
Comu pudete vede, in certi modi l'analogi sò chjappà cù l'eroi di a nostra rivista, per esempiu, u Fortinet FG‑100E hà ancu integratu l'ottimisazione WAN, è u Meraki MX100 hà un AutoVPN integratu (situ à u situ). -site), ma in generale, u ZyWALL VPN1000 ùn hè micca ambiguu in u so cumpletu cumpletu di funzioni hè in capu.
Raccomandazioni quandu sceglite i dispositi per u node cintrali (micca solu Zyxel)
Quandu sceglite i dispositi per l'urganizazione di u nodu cintrali di una rete estensiva cù parechje rami, duvete fucalizza nantu à una quantità di parametri: capacità tecniche, facilità di gestione, sicurezza è toleranza di difetti.
Una larga gamma di funzioni, un gran numaru di porti fisichi cù cunfigurazione flexible: WAN, LAN, DMZ è a presenza di altre funzioni piacevuli, cum'è un controller di gestione di punti d'accessu, permettenu di cumpiendu parechje attività à una volta.
Un rolu impurtante hè ghjucatu da a dispunibilità di documentazione è una interfaccia di gestione conveniente.
Avè tali cose apparentemente simplici in manu, ùn hè micca cusì difficiule di creà infrastrutture di rete chì spannu diversi siti è locu, è l'usu di u nuvulu SD-WAN permette di fà questu cù a massima flessibilità è sicurità.
E ligami utili
Source: www.habr.com