🥇Hämara võrgu või jaotatud võrgu keskpunkt

Millele tuleb pöörata tähelepanu, kui valida VPN-ruuteri jaotatud võrgu jaoks? Millised funktsioonid peaksid olemas olema? Sellele pühendab meie ülevaade ZyWALL VPN1000.

Sissejuhatus

Varem on enamik meie publikatsioone keskendunud noorematele VPN-seadmetele, mis võimaldavad ühendust perifeersete objektidega. Näiteks filiaalide ühendamiseks peakorteriga, väikeste iseseisvate ettevõtete juurde pääsemiseks või isegi erakorterite jaoks. On aeg rääkida kesknodist jaotatud võrgus.

Selge on see, et tänapäeva suurettevõtte võrgu ülesehitamine ainult ökonoomsete seadmete baasil ei toimi. Samuti ei saa organiseerida pilveteenust tarbijate teenindamiseks. Kusagil peab olema paigaldatud seadmed, mis suudavad teenindada suurt hulka kliente korraga. Seekord räägime ühest sellisest seadmest — Zyxel VPN1000.

N nii suurte kui ka väikeste võrgu osaliste jaoks saab välja tuua kriteeriumid, mille järgi hinnatakse, kas see või teine seade sobib ülesande lahendamiseks.

Allpool on toodud peamised kriteeriumid:

tehnilised ja funktsionaalsed võimalused;
haldamine;
turvalisus;
riketeta töö.

Raske on välja tuua, mis on olulisem ja millest võib ilma jääda. Kõike on vaja. Kui seade ei vasta mõnes kriteeriumis nõutavale tasemele, võib see tulevikus kaasa tuua probleeme.

Siiski võivad teatud seadmete omadused, mis on mõeldud kesknode ja peamiselt perifeersete seadmete töötagamiseks, oluliselt erineda.

Kesknodede puhul on esikohal arvutusvõime — see toob endaga kaasa sunnitud jahutuse ning seega ka ventilaatori müra. Perifeersete seadmete puhul, mis tavaliselt asuvad kontorites ja eluruumides, on lärmakas töö juba praktiliselt vastuvõetamatu.

Veel huvitav punkt on portide jaotamine. Perifeersetes seadmetes on enam-vähem selge, kuidas seda kasutatakse ja kui palju kliente on ühendatud. Seetõttu saab määrata ranget portide jaotust WAN, LAN, DMZ, teostada ranget protokolli sidumist ja nii edasi. Keskse sõlme puhul ei ole sellist kindlust. Näiteks, kui lisatakse uus võrgu segmend, mis nõuab ühendamist läbi oma liidese — kuidas seda teha? Siin on vaja universaalsemat lahendust, mis võimaldab liideste paindlikku seadistamist.

Oluline nüanss on seadme kvaliteet erinevate funktsioonide poolest. Ilmselgelt on lähenemine, kus üks seade täidab hästi vaid ühte ülesannet, oma eelised. Kuid kõige huvitavam olukord tekib siis, kui tuleb astuda sammu vasakule või paremale. Ilmselgelt saab iga uue ülesande jaoks juurde osta veel ühe sihtseadmestiku. Ja nii, kuni eelarve või racki koht saab otsa.

Sellele vastandina võimaldab lai funktsioonide hulk lahendada mitmeid küsimusi vaid ühe seadmega. Näiteks toetab ZyWALL VPN1000 erinevaid ühendustüüpe VPN kaudu, sealhulgas SSL ja IPsec VPN, samuti kaugühendusi töötajatele. See tähendab, et üks 'rauda' lahendab nii sidepunktide kui ka kliendi ühenduste küsimused. Kuid siin on üks „aga”. Selleks, et see töötaks, peab olema piisav jõudlus. Näiteks ZyWALL VPN1000 puhul tagab IPsec VPN riistvara süda kõrge VPN tunnelite jõudluse ja VPNi koormuse/varu tasakaalu SHA‑2 ja IKEv2 algoritmidega, tagades kõrge usaldusväärsuse ja turvalisuse äri jaoks.

Allpool on loetletud mõned kasulikud funktsioonid, mis katavad ühte või mitut ülaltoodud suunda.

SD-WAN pakub platvormi pilvehalduseks, saades kasu saidi vahelise ühenduse tsentraliseeritud juhtimisest kaugjuhtimise ja jälgimise võimalusega. ZyWALL VPN1000 toetab ka vastavat töörežiimi, kus on vajalikud laienenud VPN-funktsioonid.

Pilveplatvormide toetamine kriitiliste teenuste jaoks. ZyWALL VPN1000 on testitud töötama koos Microsoft Azure ja AWS-iga. Ettevalmistatud seadmete kasutamine on eelistatud mis tahes tasemel organisatsioonide jaoks, eriti kui IT-infrastruktuuris kasutatakse nii lokaalset võrku kui ka pilveteenuseid.

Sisu filtreerimine tugevdab turvalisust, blokeerides juurdepääsu pahatahtlikele või soovimatutele veebisaitidele. See takistab pahavara allalaadimist usaldamatest või häkitud saitidest. ZyWALL VPN1000 puhul sisaldub aasta litsents juba pakendis.

Geo-poliitikad (Geo IP) võimaldavad jälgida liiklust ja analüüsida IP-aadresside asukohta, keelates juurdepääsu ebasoovitavatest või potentsiaalselt ohtlikest regioonidest. Ka selle teenuse aastane litsents kuulub seadme ostmisel paketti.

Traadita võrguhalduse ZyWALL VPN1000-s sisaldab traadita võrgukontroller, mis võimaldab hallata kuni 1032 juurdepääsupunkti keskelt. Ettevõtted võivad minimaalse vaevaga rakendada või laiendada hallatud Wi-Fi võrku. Tuleb märkida, et 1032 on väga suur number. Ühe juurdepääsupunkti alla võib kuni 10 kasutajat, mis teeb kokku üsna muljetavaldava arvu.

Koormuse ja varukoopiate tasakaalustamine. VPN seeria toetab mitme välise liidese kaudu koormuse tasakaalustamist ja varu. See tähendab, et saate ühendada mitu kanalit erinevatelt teenusepakkujatelt, kaitstes end seeläbi ühenduse probleemide eest.

Seadme varu (Device HA) võimalus tagab katkestusteta ühenduse isegi siis, kui üks seadetest ebaõnnestub. Ilma selleta on keeruline korraldada ööpäevaringset tööd minimaalsete katkestusaegadega.

Zyxel Device HA Pro töötab aktiivne/passiivne, mille seadistamiseks ei ole vajalik keeruline protseduur. See alandab sisenemise takistust ja võimaldab kohe varukoopiaid kasutada. Erinevalt aktiivne/aktiivne, kus süsteemiadministraator peab läbima täiendava koolituse, oskama seadistada dünaamilist marsruutimist, mõistma, mis on asümmeetrilised paketid jne — selle režiimi seadistamine on oluliselt lihtsam ja nõuab vähem aega. aktiivne/passiivne töötamine on oluliselt lihtsam ja nõuab vähem aega.

Zyxel Device HA Pro kasutamisel seadmed vahetavad signaale heartbeat eraldatud pordi kaudu. Aktiivse ja passiivse seadme pordid on heartbeat ühendatud Etherneti kaabli kaudu. Passiivne seade sünkroniseerib täielikult teabe aktiivse seadmega. Eelkõige sünkroniseeritakse seadmete vahel kõik seansid, tunnelid ja kasutajakontod. Peale selle säilitab passiivne seade konfiguratsioonifaili varukoopia, et valmistuda aktiivse seadme rikke korral. Seega, kui põhiseade rikki läheb, toimub üleminek sujuvalt.

Oluline on märkida, et aktiivsetes süsteemides/active peab siiski reserveerima 20-25% süsteemiressursse rikke korral vahetamiseks. Kui aktiivne/passiivne üks seade on täielikult reservis, on see kohe valmis töötlema võrgu liiklust ja toetama võrgu normaalset toimimist.

Lihtsustatult öeldes: „Zyxel Device HA Pro kasutamisel ja varuvõrgu olemasolul on äri kaitstud nii teenusepakkuja süü tõttu ühenduse kaotamise kui ka ruuteri rikke tõttu tekkinud probleemide eest.

Kokkuvõttes,

jaotatud võrgu keskse sõlme jaoks on parem kasutada seadet, millel on mõningane portide (ühenduspindade) reserv. Samal ajal peaks olema RJ45 liideseid lihtsuse ja ühenduse odavuse huvides ning SFP liideseid, et valida moodulide vahel, kas kasutada kiudoptilist ühendust või keerdupaari.

See seade peab olema:

tõhus, kohandatud koormuse järsuks muutmiseks;
selge kasutajaliidesega;
rikka, kuid mitte ülearuseid sisseehitatud funktsioone, sealhulgas turvalisuse tagamiseks;
supportima rikekindlate skeemide loomist — kanalite ja seadmete dubleerimist;
toetama haldust, et kogu harunenud infrastruktuuri, sealhulgas kesksõlme ja perifeerseid seadmeid, saaks hallata ühest kohast;
nagu „kirsiks tordil” — toetama kaasaegseid suundi nagu integreerimine pilvetoodetega ja nii edasi.

ZyWALL VPN1000 keskse sõlmena

Esimese pilguga ZyWALL VPN1000-le on selge, et Zyxel ei ole portide osas kitsi olnud.

Meie käes on:

12 kohandatavat RJ-45 (GBE) porti;
2 kohandatavat SFP (GBE) porti;
2 USB 3.0 porti, mis toetavad 3G/4G modemite kasutamist.

Joonis 1. Ülevaade ZyWALL VPN1000-st.

Kohe tuleb märkida, et seade ei sobi kodukontoriks, eelkõige tänu võimsatele ventilaatoritele. Siin on neid lausa neli.

Joonis 2. ZyWALL VPN1000 tagakülg.

Vaadakem, milline näeb välja liidese kasutajaliides.

Tuleb kohe mainida üht olulist aspekti. Funktsioone on väga palju ja nende üksikasjalik kirjeldamine ühe artikli raames ei õnnestu. Aga mis on Zyxel toote puhul hea - on olemas väga põhjalik dokumentatsioon, eelkõige kasutaja (administratori) juhend. Seetõttu saame lihtsalt liikuda vahete vahel, et saada ülevaade funktsioonide rohkusest.

Vaikimisi on port 1 ja port 2 reserveeritud WAN-ile. Alates kolmandast portist on kohaliku võrgu liidesed.

Kolmas port IP aadressiga 192.168.1.1 sobib hästi ühendamiseks.

Ühendame kaabli, suundume aadressile https://192.168.1.1 ja näeme veebiliidese kasutaja registreerimise akent.

Märkus. Halduseks saab kasutada SD-WAN-i pilvehalduslahendust.

Joonis 3. Logi ja parooli sisestamise aken.

Läbime logi ja parooli sisestamise protseduuri ning saame ekraanile Dashboardi akna. Nagu Dashboardile tõepoolest kohane, on ekraanipinnal maksimaalne operatiivne teave.

Joonis 4. ZyWALL VPN1000 – Dashboard.

Vahekaart "Kiire seadistamine" (Wizards).

Liidese abil on kahte assistenti: WAN ja VPN seadistamiseks. Tegelikult on assistendid väga kasulikud, võimaldades teha malliseadeid, isegi ilma seadmega töötamise kogemuseta. Aga neile, kes soovivad rohkem, nagu juba mainitud - on olemas üksikasjalik dokumentatsioon.

Joonis 5. Vahekaart "Kiire seadistamine".

Vahekaart Jälgimine.

Tundub, et Zyxel insenerid otsustasid järgida põhimõtet: jälgime kõike, mis võimalik. Loomulikult ei tee tsentraalsete sõlmede jaoks täielik kontroll sugugi kahju.

Isegi lihtsalt avades kõik punktid külgribal, on valiku rohkus juba ilmne.

Joonis 6. Jälgimise vahekaart lahtiste alampunktidega.

Vahekaart Konfigureerimine.

Siin on funktsioonide rohkus veelgi nähtavam.

Näiteks on seadme portide haldamine väga kenasti kujundatud.

Joonis 7. Konfigureerimise vahekaart lahtiste alampunktidega.

Vahekaart Hooldus.

Sisaldab jaotusi riistvara värskendamiseks, diagnostikale, reeglite vaatamiseks ja välja lülitamiseks.

Need funktsioonid on abistavad ja esinevad peaaegu igas võrgu seadmes mingil määral.

Joonis 8. Hooldusvahekaart lahti keeratud alajaotustega.

Võrdlevad omadused

Meie ülevaade oleks puudulik, kui ei peaksime silmas sarnaseid tooteid.

Allpool on tabel lähimad ZyWALL VPN1000 sarnased seadmed ja funktsioonide võrdlus.

Tabel 1. ZyWALL VPN1000 võrdlus sarnaste seadmetega.

Selgitused tabelile 1:

*1: Nõuab litsentsi

* 2: Low Touch Provision: administraator peab seadme esmalt kohapeal konfigureerima enne ZTP-d.

* 3: istungi järgi: DPS rakendatakse ainult uue istungi puhul; see ei mõjuta praegust istungit.

Kuidas näha, mõnes osas sarnased seadmed jätavad meie ülevaate peategelasele, näiteks Fortinet FG‑100E-l on samuti sisseehitatud WAN optimeerimine ja Meraki MX100-l on sisseehitatud AutoVPN (site-to-site) funktsioon, kuid üldiselt ZyWALL VPN1000 juhib kindlasti oma funktsioonide kogumiga.

Soovitused seadmete valimiseks kesknõlva jaoks (mitte ainult Zyxel)

Kesknõlva seadmete valimisel keerulise võrgu korral, millel on palju filiaale, tuleks arvestada mitmeid parameetreid: tehnilised võimalused, haldamise mugavus, turvalisuse ja talitlushäirete vältimise tagamine.

Laialdane funktsioonide valik, suur füüsiliste portide arv koos paindlike seadistusvõimalustega: WAN, LAN, DMZ ja muud kasulikud funktsioonid, nagu juurdepääsupunktide juhtimise kontroller, aitavad lahendada mitmeid ülesandeid korraga.

Olulist rolli mängivad dokumentatsiooni olemasolu ja mugav haldusliides.

Kui sellised, näiliselt lihtsad asjad on käepärast, ei ole võrgu infrastruktuuride loomine, mis katab erinevad saidid ja asukohad, üldse keeruline ning SD-WAN-i kasutamine muudab selle äärmiselt paindlikuks ja turvaliseks.