🥇Spinne für das Netz oder zentraler Knoten eines verteilten Netzwerks

Worauf sollte man bei der Auswahl eines VPN-Routers für ein verteiltes Netzwerk achten? Und welche Funktionen sollte er haben? Diesen Fragen widmet sich unser Überblick über den ZyWALL VPN1000.

Einführung

Bis jetzt waren die meisten unserer Veröffentlichungen älteren VPN-Geräten gewidmet, die den Zugang für periphere Standorte ermöglichen. Zum Beispiel für die Verbindung verschiedener Niederlassungen mit der Zentrale, den Zugang für kleine eigenständige Unternehmen oder sogar für private Haushalte. Es ist an der Zeit, über das zentrale Element für ein verteiltes Netzwerk zu sprechen.

Es ist klar, dass man ein modernes Netzwerk eines großen Unternehmens nicht nur mit Geräten der Economy-Klasse aufbauen kann. Auch die Organisation eines Cloud-Dienstes zur Bereitstellung von Dienstleistungen für Verbraucher ist nicht möglich. Irgendwo muss Hardware installiert sein, die in der Lage ist, eine große Anzahl von Kunden gleichzeitig zu bedienen. Diesmal sprechen wir über ein solches Gerät – das Zyxel VPN1000.

Für große und kleine Teilnehmer am Netzwerkverkehr können Kriterien hervorgehoben werden, anhand derer die Eignung eines bestimmten Geräts zur Lösung der Aufgabe bewertet wird.

Im Folgenden sind die wichtigsten aufgeführt:

technische und funktionale Möglichkeiten;
Management;
Sicherheit;
Fehlertoleranz.

Es ist schwer zu sagen, was wichtiger ist und auf was man verzichten kann. Man braucht alles. Wenn ein Gerät in einem bestimmten Kriterium nicht den Anforderungen entspricht, kann dies später zu Problemen führen.

Jedoch können die bestimmenden Merkmale von Geräten, die für den Betrieb zentraler Knoten und von Geräten, die hauptsächlich an der Peripherie arbeiten, gedacht sind, erheblich variieren.

Für den zentralen Knoten steht die Rechenleistung im Vordergrund – das führt zu einer Zwangsbelüftung und damit zu Geräuschen vom Ventilator. Bei peripheren Geräten, die normalerweise in Büros und Wohnräumen untergebracht sind, ist laute Betriebsgeräusch schon nahezu inakzeptabel.

Ein weiterer interessanter Punkt ist die Verteilung der Ports. Bei Peripheriegeräten ist mehr oder weniger klar, wie sie genutzt werden und wie viele Clients angeschlossen werden. Daher kann eine strikte Aufteilung der Ports auf WAN, LAN, DMZ festgelegt und eine starre Bindung an Protokolle vorgenommen werden. Beim zentralen Knoten gibt es diese Sicherheit jedoch nicht. Zum Beispiel, wenn ein neuer Netzwerksegment hinzugefügt wird, der eine Verbindung über eine eigene Schnittstelle erfordert – wie geht man damit um? Hier wird eine universellere Lösung benötigt, die eine flexible Konfiguration der Schnittstellen ermöglicht.

Ein wichtiger Aspekt ist die Funktionalität des Geräts. Natürlich hat der Ansatz, bei dem eine Geräteeinheit eine bestimmte Aufgabe gut erfüllt, seine Vorteile. Doch die interessanteste Situation entsteht, wenn ein Schritt nach links oder rechts erforderlich ist. Natürlich kann man für jede neue Aufgabe zusätzlich ein weiteres Zielgerät kaufen. Und das geht so lange, bis das Budget oder der Platz im Rack erschöpft ist.

Im Gegensatz dazu erlaubt ein erweitertes Funktionsangebot, mit einem einzigen Gerät mehrere Probleme zu lösen. Zum Beispiel unterstützt die ZyWALL VPN1000 verschiedene Arten von VPN-Verbindungen, einschließlich SSL und IPsec VPN, sowie Remote-Verbindungen für Mitarbeiter. Das bedeutet, dass ein einzelnes „Gerät“ sowohl für site-to-site- als auch für client-seitige Verbindungen eingesetzt werden kann. Doch es gibt einen entscheidenden Punkt. Damit das funktioniert, muss eine ausreichende Leistungsreserve vorhanden sein. Beispielsweise sorgt das Hardware-Kern des IPsec VPN bei der ZyWALL VPN1000 für hohe Leistung des VPN-Tunnels, und die Lastverteilung / Redundanz der VPN mit SHA-2- und IKEv2-Algorithmen gewährleisten hohe Zuverlässigkeit und Sicherheit für das Geschäft.

Nachfolgend sind einige nützliche Funktionen aufgeführt, die ein oder mehrere der oben beschriebenen Bereiche abdecken.

SD-WAN bietet eine Plattform für das Cloud-Management und nutzt die Vorteile der zentralisierten Verwaltung der Kommunikation zwischen Standorten mit der Möglichkeit zur Fernüberwachung und -kontrolle. ZyWALL VPN1000 unterstützt auch den entsprechenden Betriebsmodus, wo erweiterte VPN-Funktionen erforderlich sind.

Unterstützung von Cloud-Plattformen für geschäftskritische Dienste. Die ZyWALL VPN1000 wurde für die Verwendung mit Microsoft Azure und AWS überprüft. Der Einsatz von vorab geprüften Geräten ist für Organisationen jeder Größenordnung vorzuziehen, insbesondere wenn in der IT-Infrastruktur eine Kombination aus lokalem Netzwerk und Cloud verwendet wird.

Inhaltsfilterung erhöht die Sicherheit, indem der Zugang zu schädlichen oder unerwünschten Websites blockiert wird. Sie verhindert das Herunterladen von Malware von unsicheren oder gehackten Websites. Im Fall der ZyWALL VPN1000 ist die Jahreslizenz für diesen Dienst bereits im Lieferumfang enthalten.

Geo-Politiken (Geo IP) ermöglichen die Überwachung des Datenverkehrs und die Analyse von IP-Standorten, indem der Zugang aus unerwünschten oder potenziell gefährlichen Regionen verweigert wird. Die Jahreslizenz für diesen Dienst ist ebenfalls im Lieferumfang enthalten, wenn das Gerät erworben wird.

Die Verwaltung des drahtlosen Netzwerks im ZyWALL VPN1000 umfasst einen drahtlosen Netzwerkcontroller, der die Verwaltung von bis zu 1032 Zugriffspunkten über eine zentralisierte Benutzeroberfläche ermöglicht. Unternehmen können ein verwaltetes Wi-Fi-Netzwerk mit minimalem Aufwand bereitstellen oder erweitern. Es ist erwähnenswert, dass die Zahl 1032 tatsächlich sehr hoch ist. Wenn man bedenkt, dass sich bis zu 10 Benutzer mit einem Zugangspunkt verbinden können, ergibt das eine beachtliche Anzahl.

Lastverteilung und Redundanz. Die VPN-Serie unterstützt die Lastverteilung und Redundanz über mehrere externe Schnittstellen. Das bedeutet, dass mehrere Kanäle von verschiedenen Anbietern angeschlossen werden können, um sich vor Kommunikationsproblemen zu schützen.

Die Möglichkeit der Geräte-Redundanz (Device HA) sorgt für eine unterbrechungsfreie Verbindung, selbst wenn eines der Geräte ausfällt. Ohne dies ist es schwierig, einen Betrieb rund um die Uhr mit minimaler Ausfallzeit zu organisieren.

Zyxel Device HA Pro arbeitet im active/passive-Modus, für den keine komplexe Einrichtung erforderlich ist. Dies senkt die Einstiegshürde und ermöglicht es, die Redundanz sofort zu nutzen. Im Gegensatz zu active/active, bei dem der Systemadministrator zusätzliche Schulungen durchlaufen muss, um dynamisches Routing einzurichten und zu verstehen, was asymmetrische Pakete sind usw. — die Konfiguration des active/passive Modus ist deutlich einfacher und erfordert weniger Zeitaufwand.

Bei der Verwendung des Zyxel Device HA Pro kommunizieren die Geräte über Signale heartbeat über einen dedizierten Port. Die Ports des aktiven und passiven Geräts sind heartbeat über ein Ethernet-Kabel verbunden. Das passive Gerät synchronisiert alle Informationen mit dem aktiven Gerät vollständig. Insbesondere werden alle Sitzungen, Tunnel und Benutzerkonten zwischen den Geräten synchronisiert. Darüber hinaus speichert das passive Gerät eine Sicherungskopie der Konfigurationsdatei für den Fall eines Ausfalls des aktiven Geräts. So erfolgt im Falle eines Ausfalls des Hauptgeräts der Wechsel nahtlos.

Es ist zu beachten, dass in aktiven Systemen/active trotzdem 20-25% der Systemressourcen für die Umschaltung bei Ausfällen reserviert werden müssen. Bei active/passive einem Gerät, das sich vollständig im Standby-Modus befindet, ist es sofort bereit, den Datenverkehr zu behandeln und den normalen Betrieb des Netzwerks aufrechtzuerhalten.

Einfach ausgedrückt: „Bei der Verwendung des Zyxel Device HA Pro und eines redundantem Kanals ist das Unternehmen sowohl gegen den Verlust der Verbindung durch den Anbieter als auch gegen Probleme aufgrund eines Routerausfalls geschützt.

Zusammenfassend lässt sich sagen,

dass für den zentralen Knoten eines verteilten Netzwerks ein Gerät mit einem gewissen Übermaß an Ports (Anschluss-Schnittstellen) eingesetzt werden sollte. Dabei ist es wünschenswert, sowohl RJ45-Schnittstellen für einfache und kostengünstige Verbindungen als auch SFP für die Wahl zwischen Glasfaser- und Twisted-Pair-Verbindungen zu haben.

Dieses Gerät sollte sein:

leistungsstark, angepasst an plötzliche Laständerungen;
mit einer verständlichen Benutzeroberfläche;
mit einer Vielzahl, aber nicht übermäßigen integrierten Funktionen, einschließlich Sicherheitsaspekten;
mit der Möglichkeit, ausfallsichere Architekturen zu erstellen — Kanalredundanz und GerätereDundanz;
unterstützend für die Verwaltung, damit die gesamte verzweigte Infrastruktur in Form von zentralen und peripheren Geräten von einem Punkt aus verwaltet werden kann;
wie das „Tüpfelchen auf dem i“ — Unterstützung für moderne Trends wie die Integration in Cloud-Ressourcen usw.

ZyWALL VPN1000 als zentraler Knoten des Netzwerks

Beim ersten Blick auf den ZyWALL VPN1000 fällt auf, dass die Ports im Zyxel nicht gespart wurden.

Wir haben:

12 konfigurierbare RJ-45-Ports (GBE);
2 konfigurierbare SFP-Ports (GBE);
2 USB 3.0-Ports mit Unterstützung für 3G/4G-Modems.

Abbildung 1. Gesamtansicht des ZyWALL VPN1000.

Es ist sofort zu beachten, dass das Gerät nicht für das Homeoffice gedacht ist, hauptsächlich wegen der leistungsstarken Lüfter. Es gibt insgesamt vier davon.

Abbildung 2. Rückseite des ZyWALL VPN1000.

Lassen Sie uns ansehen, wie die Benutzeroberfläche aussieht.

Es ist wichtig, sofort auf einen wichtigen Punkt hinzuweisen. Es gibt viele Funktionen, und es ist nicht möglich, alle in einem einzigen Artikel ausführlich zu beschreiben. Aber was gut an den Produkten von Zyxel ist – es gibt sehr detaillierte Dokumentation, insbesondere das Benutzerhandbuch (Administratorhandbuch). Daher werden wir, um einen Eindruck von der Fülle der Funktionen zu bekommen, einfach die Registerkarten durchgehen.

Standardmäßig sind Port 1 und Port 2 für WAN reserviert. Ab dem dritten Port folgen die Schnittstellen für das lokale Netzwerk.

Port 3 mit der Standard-IP 192.168.1.1 eignet sich gut für die Verbindung.

Wir schließen ein Patchkabel an, rufen die Adresse auf https://192.168.1.1 und können das Benutzerregistrierungsfenster der Weboberfläche sehen.

Hinweis. Zur Verwaltung kann das cloudbasierte SD-WAN-Management-System verwendet werden.

Abbildung 3. Eingabefenster für Benutzername und Passwort

Wir durchlaufen den Prozess der Eingabe von Benutzername und Passwort und erhalten auf dem Bildschirm das Dashboard-Fenster. Wie es sich für ein Dashboard gehört – maximale aktuelle Informationen auf jedem Stück Bildschirmfläche.

Abbildung 4. ZyWALL VPN1000 – Dashboard.

Registerkarte "Schnelle Einrichtung" (Wizards)

Im Interface gibt es zwei Assistenten: für die Einrichtung von WAN und für die Einrichtung von VPN. Tatsächlich sind Assistenten eine gute Sache, sie ermöglichen es, Standardkonfigurationen durchzuführen, auch ohne Erfahrung im Umgang mit dem Gerät. Für diejenigen, die mehr wollen, wie oben erwähnt – gibt es eine detaillierte Dokumentation.

Abbildung 5. Registerkarte "Schnelle Einrichtung".

Registerkarte Überwachung

Offenbar haben die Ingenieure von Zyxel beschlossen, nach dem Prinzip zu handeln: Wir überwachen alles, was möglich ist. Natürlich wird die totale Kontrolle für ein Gerät, das die Rolle des zentralen Knotens spielt, nicht schaden.

Sogar wenn man einfach alle Punkte in der Seitenleiste aufklappt, wird die Fülle an Auswahlmöglichkeiten offensichtlich.

Abbildung 6. Registerkarte Überwachung mit aufgeklappten Unterpunkten.

Registerkarte Konfiguration

Hier ist die Fülle der Funktionen noch offensichtlicher.

Zum Beispiel ist die Steuerung der Ports des Geräts sehr ansprechend gestaltet.

Abbildung 7. Registerkarte Konfiguration mit aufgeklappten Unterpunkten.

Registerkarte Wartung

Enthält Unterabschnitte zur Firmware-Aktualisierung, Diagnose, Ansicht von Routing-Regeln und zum Herunterfahren.

Diese Funktionen haben einen unterstützenden Charakter und sind in unterschiedlichem Maße in fast jedem Netzwerkgerät vorhanden.

Abbildung 8. Die Registerkarte Wartung mit erweiterten Unterpunkten.

Vergleichende Merkmale

Unser Überblick wäre unvollständig ohne den Vergleich mit anderen Alternativen.

Im Folgenden ist eine Tabelle der Alternativen zum ZyWALL VPN1000 sowie eine Liste von Funktionen zum Vergleich aufgeführt.

Tabelle 1. Vergleich ZyWALL VPN1000 mit Alternativen.

Erläuterungen zu Tabelle 1:

*1: Lizenz erforderlich

* 2: Low Touch Provision: Der Administrator muss das Gerät zunächst lokal vor ZTP konfigurieren.

* 3: Basierend auf der Sitzung: DPS wird nur auf die neue Sitzung angewendet; dies hat keinen Einfluss auf die aktuelle Sitzung.

Wie wir sehen, holen die Alternativen in gewisser Hinsicht bei unserem Prüfungshelden auf. Zum Beispiel hat auch der Fortinet FG‑100E eine integrierte WAN-Optimierung, und der Meraki MX100 hat eine integrierte Funktion für AutoVPN (Site-to-Site), aber insgesamt führt der ZyWALL VPN1000 eindeutig im umfassenden Funktionsspektrum.

Empfehlungen zur Auswahl von Geräten für den zentralen Knoten (nicht nur Zyxel)

Bei der Auswahl von Geräten zur Organisation eines zentralen Knotens in einem ausgedehnten Netzwerk mit vielen Niederlassungen sollten eine Reihe von Parametern berücksichtigt werden: technische Möglichkeiten, Benutzerfreundlichkeit, Sicherheits- und Ausfallsicherheit.

Ein breites Spektrum an Funktionen, eine große Anzahl physischer Ports mit flexibler Konfiguration: WAN, LAN, DMZ und das Vorhandensein anderer nützlicher Funktionen, wie z. B. ein Controller zur Verwaltung von Zugangspunkten, ermöglichen es, viele Aufgaben gleichzeitig zu lösen.

Eine wichtige Rolle spielen die Verfügbarkeit von Dokumentationen und eine benutzerfreundliche Verwaltungsoberfläche.

Mit solchen vermeintlich einfachen Dingen ist es nicht schwierig, Netzwerk Infrastrukturen zu schaffen, die verschiedene Standorte und Orte abdecken, und die Anwendung von Cloud SD-WAN ermöglicht es, dies so flexibel und sicher wie möglich zu tun.