Worauf Sie bei der Auswahl eines VPN-Routers für ein verteiltes Netzwerk achten sollten? Welche Funktionen sollte er haben? Das ist das Thema unserer Übersicht über den ZyWALL VPN1000.
Einführung
Bisher konzentrierten sich die meisten unserer Veröffentlichungen auf kleinere VPN-Geräte für den Netzwerkzugang von peripheren Standorten. Zum Beispiel für die Verbindung verschiedener Filialen mit der Hauptzentrale, den Zugang von kleinen, eigenständigen Unternehmen oder sogar von Privathaushalten. Es ist an der Zeit, über das zentrale Knotenpunkt für ein verteiltes Netzwerk zu sprechen.
Es ist klar, dass man ein modernes Netzwerk eines großen Unternehmens nicht nur auf der Basis von Geräten der Einstiegsklasse aufbauen kann. Auch ein Cloud-Service zur Bereitstellung von Dienstleistungen an Endkunden lässt sich nicht so realisieren. An einem Ort muss immer die Hardware installiert sein, die in der Lage ist, eine große Anzahl von Kunden gleichzeitig zu bedienen. Diesmal sprechen wir über ein solches Gerät – den Zyxel VPN1000.
Für sowohl große als auch kleine Teilnehmer des Netzwerkverkehrs können Kriterien festgelegt werden, anhand derer die Eignung eines bestimmten Geräts für die jeweilige Aufgabe bewertet wird.
Hier sind die wichtigsten Punkte:
- technische und funktionale Möglichkeiten;
- Management;
- Sicherheit;
- Ausfallsicherheit.
Es ist schwierig zu sagen, was wichtiger ist und auf was man verzichten kann. Man benötigt alles. Wenn ein Gerät in einem bestimmten Punkt hinter den Anforderungen zurückbleibt, kann das in der Zukunft zu Problemen führen.
Jedoch können die spezifischen Merkmale von Geräten, die für den Betrieb zentraler Knoten und Systeme an der Peripherie zuständig sind, erheblich variieren.
Für zentrale Knoten ist die Rechenleistung der entscheidende Faktor – dies führt zu einer notwendigen Kühlung und damit auch zu Geräuschen durch Lüfter. Für Peripheriegeräte, die üblicherweise in Büros und Wohnräumen stehen, sind laute Geräusche jedoch nahezu inakzeptabel.
Ein weiteres interessantes Thema ist die Portverteilung. Bei Peripheriegeräten ist mehr oder weniger klar, wie sie verwendet werden und wie viele Clients angeschlossen werden. Daher kann eine strikte Portaufteilung für WAN, LAN, DMZ festgelegt und eine feste Bindung an Protokolle vorgenommen werden. Im zentralen Knotenpunkt besteht jedoch diese Sicherheit nicht. Beispielsweise wird ein neues Netzwerksegment hinzugefügt, das über ein eigenes Interface angeschlossen werden muss – wie geht man dabei vor? Hier wird eine universellere Lösung benötigt, die flexible Interface-Konfigurationen ermöglicht.
Ein wichtiger Punkt ist die Funktionsvielfalt des Geräts. Natürlich hat der Ansatz, bei dem eine einzelne Hardwareeinheit eine einzige Aufgabe gut erledigt, seine Vorteile. Doch die interessanteste Situation entsteht, wenn man einen Schritt nach links oder einen Schritt nach rechts machen muss. Natürlich könnte man für jede neue Aufgabe zusätzlich ein weiteres Zielgerät kaufen. Und das, bis das Budget oder der Platz im Rack erschöpft ist.
Im Gegensatz dazu ermöglicht die erweiterte Funktionsvielfalt, mehrere Aufgaben mit nur einem Gerät zu lösen. Zum Beispiel unterstützt der ZyWALL VPN1000 verschiedene VPN-Verbindungstypen, einschließlich SSL und IPsec VPN, sowie Fernzugriffe für Mitarbeiter. Das bedeutet, dass ein einziges ‚Gerät‘ sowohl intersite-oriented als auch client-oriented Verbindungen abdecken kann. Allerdings gibt es einen wichtigen Punkt: Um dies zu realisieren, ist eine ausreichende Leistung erforderlich. Im Fall des ZyWALL VPN1000 sorgt der Hardwarekern des IPsec VPN für eine hohe Leistungsfähigkeit des VPN-Tunnels, während die Lastverteilung und Redundanz des VPN mit den Algorithmen SHA-2 und IKEv2 für hohe Zuverlässigkeit und Sicherheit im Geschäftsbereich sorgen.
Nachfolgend sind einige nützliche Funktionen aufgeführt, die eine oder mehrere der oben genannten Anforderungen abdecken.
SD-WAN bietet eine Plattform für die Cloud-Verwaltung, die die Vorteile einer zentralisierten Steuerung der Kommunikation zwischen den Standorten mit der Möglichkeit zur Fernkontrolle und -überwachung nutzt. Der ZyWALL VPN1000 unterstützt zudem den entsprechenden Betriebsmodus, wo erweiterte VPN-Funktionen benötigt werden.
Unterstützung für Cloud-Plattformen für geschäftskritische Services. Der ZyWALL VPN1000 wurde für die Nutzung mit Microsoft Azure und AWS geprüft. Der Einsatz von vorher getesteten Geräten ist für Unternehmen aller Größenordnungen vorzuziehen, insbesondere wenn in der IT-Infrastruktur eine Kombination aus lokalem Netzwerk und Cloud verwendet wird.
Inhaltsfilterung erhöht die Sicherheit, indem der Zugriff auf schadhafte oder unerwünschte Websites blockiert wird. Sie verhindert das Herunterladen von Malware von unsicheren oder gehackten Seiten. Bei der ZyWALL VPN1000 ist die Jahreslizenz für diesen Service bereits im Lieferumfang enthalten.
Geo-Politiken (Geo IP) ermöglichen die Überwachung des Traffics und die Analyse des Standorts von IP-Adressen, indem der Zugang aus unerwünschten oder potenziell gefährlichen Regionen verweigert wird. Auch die Jahreslizenz für diesen Service ist im Lieferumfang des Geräts enthalten.
Verwaltung des drahtlosen Netzwerks Der ZyWALL VPN1000 beinhaltet einen WLAN-Controller, der die Verwaltung von bis zu 1032 Zugangspunkten über ein zentrales Benutzerinterface ermöglicht. Unternehmen können ihr verwaltetes Wi-Fi-Netzwerk mit minimalem Aufwand bereitstellen oder erweitern. Es ist erwähnenswert, dass die Zahl 1032 wirklich viel ist. Bei der Annahme, dass sich bis zu 10 Nutzer mit einem Zugangspunkt verbinden können, ergibt das eine ziemlich beeindruckende Zahl.
Lastverteilung und Redundanz. Die VPN-Serie unterstützt die Lastverteilung und Redundanz über mehrere externe Schnittstellen. Das bedeutet, dass mehrere Kanäle von verschiedenen Anbietern angeschlossen werden können, um sich so von möglichen Kommunikationsproblemen abzusichern.
Geräte-Redundanz (Device HA) für unterbrechungsfreie Verbindungen, selbst wenn eines der Geräte ausfällt. Dies ist unerlässlich, wenn ein 24/7-Betrieb mit minimaler Ausfallzeit organisiert werden muss.
Zyxel Device HA Pro funktioniert im active/passive-Modus, der keine komplizierte Einrichtung erfordert. Dies senkt die Einstiegshürde und ermöglicht sofort die Verwendung von Redundanz. Im Gegensatz zu active/active, wenn ein Systemadministrator zusätzliche Schulungen absolvieren muss, um dynamische Routereingenschaften zu konfigurieren, asymmetrische Pakete zu verstehen usw. — Moduskonfiguration active/passive funktioniert erheblich einfacher und erfordert weniger Zeitaufwand.
Bei der Verwendung des Zyxel Device HA Pro tauschen die Geräte Signale aus Heartbeat über einen dedizierten Port. Die Ports des aktiven und passiven Geräts werden Heartbeat über ein Ethernet-Kabel angeschlossen. Das passive Gerät synchronisiert alle Informationen vollständig mit dem aktiven Gerät. Insbesondere werden zwischen den Geräten alle Sitzungen, Tunnel und Benutzerkonten synchronisiert. Darüber hinaus speichert das passive Gerät eine Sicherungskopie der Konfigurationsdatei für den Fall eines Ausfalls des aktiven Geräts. In diesem Fall erfolgt der Übergang nahtlos.
Es ist zu beachten, dass in aktiven Systemen/active trotzdem 20-25% der Systemressourcen für den Failover reserviert werden müssen. Bei active/passive ein Gerät befindet sich vollständig im Standby-Modus und ist bereit, sofort den Netzwerkverkehr zu verarbeiten und den ordnungsgemäßen Betrieb des Netzwerks aufrechtzuerhalten.
Einfach ausgedrückt: Mit dem Zyxel Device HA Pro und einem Backup-Kanal ist Ihr Unternehmen sowohl vor Ausfällen durch den Anbieter als auch vor Routerproblemen geschützt.
Zusammenfassend lässt sich sagen,
Für den zentralen Knoten einer verteilten Netzwerkarchitektur ist es sinnvoll, ein Gerät mit einer ausreichenden Anzahl an Ports (Anschlüssen) zu verwenden. Dabei sollten sowohl RJ45-Anschlüsse für einfache und kostengünstige Verbindungen als auch SFP-Anschlüsse für die Wahl zwischen LWL- und Twisted-Pair-Verbindungen vorhanden sein.
Dieses Gerät sollte Folgendes bieten:
- leistungsfähig und anpassungsfähig an plötzliche Laständerungen;
- eine benutzerfreundliche Bedienoberfläche;
- eine umfangreiche, aber nicht übermäßige Anzahl an integrierten Funktionen, einschließlich Sicherheitsmaßnahmen;
- die Möglichkeit, redundante Systeme zu erstellen — Kanalredundanz und Geräte-Redundanz;
- eine zentrale Verwaltung, damit die gesamte vernetzte Infrastruktur mit einem zentralen Knoten und den Endgeräten von einem einzigen Punkt aus gesteuert werden kann.
- als das "Tüpfelchen auf dem i" — Unterstützung moderner Strömungen wie die Integration mit Cloud-Ressourcen und mehr.
ZyWALL VPN1000 als zentraler Knotenpunkt im Netzwerk
Auf den ersten Blick zeigt sich, dass Zyxel bei den Ports des ZyWALL VPN1000 nicht gespart hat.
Wir bieten an:
12 konfigurierbare RJ‑45-Ports (GBE);
2 konfigurierbare SFP-Ports (GBE);
2 USB 3.0-Ports mit Unterstützung für 3G/4G-Modems.
Abbildung 1. Gesamtansicht des ZyWALL VPN1000.
Es ist sofort zu beachten — das Gerät ist nicht für das Home Office geeignet, hauptsächlich aufgrund der leistungsstarken Lüfter. Hier sind gleich vier vorhanden.
Abbildung 2. Rückansicht des ZyWALL VPN1000.
Werfen wir einen Blick auf die Benutzeroberfläche.
Es ist wichtig zu beachten, dass die Funktionen sehr umfangreich sind und nicht im Rahmen eines einzigen Artikels ausführlich beschrieben werden können. Aber das Gute an den Produkten von Zyxel ist — es gibt sehr umfassende Dokumentationen, vor allem das Benutzerhandbuch (Administratorenhandbuch). Daher werfen wir einfach einen kurzen Blick auf die Registerkarten, um einen Eindruck von der Fülle der Funktionen zu bekommen.
Standardmäßig sind Port 1 und Port 2 für WAN reserviert. Ab dem dritten Port folgen die Schnittstellen für das lokale Netzwerk.
Der 3. Port mit der Standard-IP 192.168.1.1 eignet sich gut für die Verbindung.
Schließen Sie das Patchkabel an und gehen Sie zu der Adresse und beobachten Sie das Benutzerregistrierungsfenster der Weboberfläche.
Hinweis. Zur Verwaltung kann das cloudbasierte SD-WAN-Managementsystem verwendet werden.
Abb. 3. Anmeldefenster und Passworteingabe
Durchlaufen Sie den Anmelde- und Passwortprozess und erhalten Sie auf dem Bildschirm das Dashboard. Tatsächlich zeigt das Dashboard — maximal operative Informationen auf jedem Quadratzentimeter Bildschirmfläche.
Abb. 4. ZyWALL VPN1000 — Dashboard.
Reiter "Schnellkonfiguration" (Wizards)
Es gibt gleich zwei Assistenten im Interface: für die WAN- und VPN-Konfiguration. Tatsächlich sind Assistenten eine gute Sache, da sie die Durchführung von Vorlageneinstellungen ermöglichen, auch ohne Erfahrung mit dem Gerät. Für diejenigen, die mehr wollen, gibt es, wie bereits erwähnt, ausführliche Dokumentation.
Abb. 5. Reiter "Schnellkonfiguration".
Reiter Überwachung
Offensichtlich haben die Ingenieure von Zyxel nach dem Prinzip entschieden: Wir überwachen alles, was möglich ist. Für ein Gerät, das die Rolle eines zentralen Knotens spielt, ist eine umfassende Kontrolle durchaus vorteilhaft.
Sogar einfach, wenn Sie alle Punkte in der Seitenleiste aufklappen, wird die Fülle der Auswahl offensichtlich.
Abbildung 6. Tab Monitoring mit erweiterten Unterpunkten.
Tab Konfiguration
Hier zeigen sich die zahlreichen Funktionen noch deutlicher.
Das Portmanagement des Geräts hebt sich durch eine ansprechende Gestaltung hervor.
Abbildung 7. Tab Konfiguration mit erweiterten Unterpunkten.
Tab Wartung
Enthält Unterabschnitte zur Firmware-Aktualisierung, Diagnose, Anzeige von Routing-Regeln und Herunterfahren.
Diese Funktionen sind unterstützender Natur und sind in irgendeiner Form in praktisch jedem Netzwerkgerät vorhanden.
Abbildung 8. Tab Wartung mit erweiterten Unterpunkten.
Vergleichsspezifikationen
Unsere Übersicht wäre unvollständig ohne einen Vergleich mit anderen ähnlichen Produkten.
Im Folgenden finden Sie eine Tabelle, die die vergleichbarsten Produkte zum ZyWALL VPN1000 sowie eine Funktionsliste zum Vergleich enthält.
Tabelle 1. Vergleich ZyWALL VPN1000 mit ähnlichen Geräten.
Erklärungen zur Tabelle 1:
*1: Lizenz erforderlich
* 2: Low Touch Provision: Der Administrator muss das Gerät zunächst lokal konfigurieren, bevor ZTP erfolgt.
* 3: basierend auf der Sitzung: DPS wird nur auf die neue Sitzung angewendet; dies hat keinen Einfluss auf die aktuelle Sitzung.
Wie wir sehen, erreichen einige Nachahmer in bestimmten Aspekten das Niveau unseres Blickpunktes, zum Beispiel verfügt der Fortinet FG‑100E ebenfalls über integrierte WAN-Optimierung, während die Meraki MX100 eine integrierte AutoVPN-Funktion (Site-to-Site) bietet. Insgesamt hat jedoch die ZyWALL VPN1000 eindeutig die Nase vorn, wenn es um den umfassenden Funktionsumfang geht.
Empfehlungen zur Auswahl von Geräten für den zentralen Knotenpunkt (nicht nur Zyxel)
Bei der Auswahl von Geräten zur Einrichtung eines zentralen Knotens für ein weit verzweigtes Netzwerk mit vielen Niederlassungen sollten eine Reihe von Parametern berücksichtigt werden: technische Möglichkeiten, Benutzerfreundlichkeit, Sicherheitsmaßnahmen und Ausfallsicherheit.
Ein breites Spektrum an Funktionen, eine große Anzahl physischer Ports mit flexibler Konfiguration: WAN, LAN, DMZ sowie das Vorhandensein anderer nützlicher Funktionen, wie z. B. ein Controller für den Zugangspunkt, ermöglichen es, viele Aufgaben auf einmal zu bewältigen.
Ebenfalls von großer Bedeutung sind die Verfügbarkeit von Dokumentationen und ein benutzerfreundliches Verwaltungsinterface.
Mit solchen, scheinbar einfachen Werkzeugen ist es nicht schwer, Netzwerkinfrastrukturen aufzubauen, die verschiedene Standorte und Orte erfassen, und der Einsatz von SD-WAN-Cloud ermöglicht es, dies flexibel und sicher zu gestalten.
Nützliche Links
Quelle: habr.com
