Cosa considerare quando si sceglie un router VPN per una rete distribuita? E quali funzionalità dovrebbe avere? Questo è l'argomento della nostra recensione su ZyWALL VPN1000.
Introduzione
Fino ad ora, la maggior parte delle nostre pubblicazioni è stata dedicata ai dispositivi VPN di fascia inferiore per l'accesso alla rete da sedi periferiche. Ad esempio, per connettere diverse filiali alla sede centrale, per l'accesso a Internet da piccole aziende autonome o addirittura da abitazioni private. È giunto il momento di parlare del nodo centrale per una rete distribuita.
È chiaro che costruire una rete moderna per una grande azienda solo con dispositivi di fascia economica non è possibile. E anche creare un servizio cloud per fornire servizi ai consumatori è altrettanto irrealizzabile. Deve esserci un'installazione di attrezzature in grado di servire un gran numero di clienti contemporaneamente. Questa volta parleremo di un dispositivo del genere: Zyxel VPN1000.
Per i partecipanti, grandi e piccoli, allo scambio di rete, è possibile identificare i criteri ai quali viene valutata l'idoneità di un dispositivo per risolvere un compito.
Di seguito sono elencati i principali di questi criteri:
- capacità tecniche e funzionali;
- gestione;
- sicurezza;
- affidabilità.
È difficile identificare cosa sia più importante e cosa si possa trascurare. È necessario tutto. Se un dispositivo non soddisfa i requisiti in un certo criterio, ciò comporterà problemi in futuro.
Tuttavia, le caratteristiche specifiche dei dispositivi destinati a garantire il funzionamento dei nodi centrali e delle attrezzature operative, che operano principalmente in periferia, possono differire significativamente.
Per il nodo centrale, la potenza di calcolo diventa prima di tutto, il che richiede un raffreddamento forzato e, di conseguenza, rumore dalla ventola. Per i dispositivi periferici, che di solito si trovano negli uffici e nelle residenze, il funzionamento rumoroso è già pressoché inaccettabile.
Un altro aspetto interessante è la distribuzione delle porte. Negli apparati periferici è più o meno chiaro come verranno utilizzate e quanti clienti si collegheranno. Pertanto, è possibile impostare una rigida separazione delle porte su WAN, LAN, DMZ, eseguire un vincolo rigido ai protocolli e così via. Nel nodo centrale, tale certezza non esiste. Ad esempio, si è aggiunto un nuovo segmento di rete che richiede una connessione tramite la propria interfaccia: come si fa? Qui è necessaria una soluzione più universale con la possibilità di configurare le interfacce in modo flessibile.
Un aspetto importante è la saturazione del dispositivo con diverse funzionalità. Ovviamente, l'approccio in cui un'unità hardware esegue bene un'unica attività ha i suoi vantaggi. Ma la situazione più interessante inizia quando è necessario fare un passo a sinistra o a destra. Naturalmente, si può continuare ad acquistare un dispositivo dedicato per ogni nuovo compito. E così fino a quando non finiscono il budget o lo spazio nel rack.
Al contrario, un insieme esteso di funzioni consente di accedere a un'unica unità per risolvere diverse problematiche. Ad esempio, ZyWALL VPN1000 supporta diversi tipi di connessioni VPN, tra cui SSL e IPsec VPN, oltre a connessioni remote per i dipendenti. Quindi, un unico "dispositivo" risolve le questioni sia delle connessioni inter-sito che delle connessioni cliente. Ma c'è un "ma". Per farlo funzionare, è necessario avere un margine di prestazioni. Ad esempio, nel caso di ZyWALL VPN1000, il nucleo hardware IPsec VPN offre alte prestazioni del tunnel VPN, mentre il bilanciamento/redundanza VPN con algoritmi SHA-2 e IKEv2 garantiscono alta affidabilità e sicurezza per le aziende.
Di seguito sono elencate alcune funzionalità utili che affrontano una o più aree descritte sopra.
SD-WAN fornisce una piattaforma per la gestione cloud, ottenendo i vantaggi della gestione centralizzata delle comunicazioni tra i siti con possibilità di controllo e monitoraggio remoto. ZyWALL VPN1000 supporta anche la modalità operativa appropriata dove sono richieste funzionalità VPN avanzate.
Supporto per piattaforme cloud per servizi critici. ZyWALL VPN1000 è stato testato per l'uso con Microsoft Azure e AWS. L'impiego di dispositivi pre-verificati è preferibile per le organizzazioni di qualsiasi livello, specialmente quando l'infrastruttura IT utilizza una combinazione di rete locale e cloud.
Filtraggio dei contenuti aumenta la sicurezza bloccando l'accesso a siti web dannosi o indesiderati. Previene il download di malware da siti inaffidabili o compromessi. Per quanto riguarda il ZyWALL VPN1000, la licenza annuale per questo servizio è già inclusa nella confezione.
Geo-politiche (Geo IP) consentono di monitorare il traffico e analizzare la posizione degli indirizzi IP, negando l'accesso da regioni indesiderate o potenzialmente pericolose. La licenza annuale per questo servizio è anch'essa inclusa nella confezione all'acquisto del dispositivo.
Gestione della rete wireless nel ZyWALL VPN1000 include un controller di rete wireless, che consente di gestire fino a 1032 punti di accesso da un'interfaccia utente centralizzata. Le aziende possono implementare o espandere una rete Wi-Fi gestita con il minimo sforzo. È importante notare che il numero 1032 è davvero elevato. Considerando che un punto di accesso può connettersi a un massimo di 10 utenti, si ottiene un numero piuttosto significativo.
Bilanciamento e backup. La serie VPN supporta il bilanciamento del carico e il backup su più interfaccie esterne. Ciò consente di collegare più canali da diversi fornitori, proteggendosi così da problemi di connessione.
Funzionalità di backup del dispositivo (Device HA) per una connessione senza interruzioni, anche quando uno dei dispositivi si guasta. Senza questa funzionalità è difficile gestire operazioni 24/7 con un tempo di inattività minimo.
Zyxel Device HA Pro opera in modalità attiva/passiva, per cui non è necessaria una procedura di configurazione complessa. Questo riduce la barriera di ingresso e consente di iniziare subito a utilizzare il backup. A differenza della attiva/attiva, dove l'amministratore di sistema deve seguire una formazione aggiuntiva, essere in grado di configurare la routing dinamica, comprendere cosa siano i pacchetti asimmetrici, ecc. — la configurazione della modalità attiva/passiva è notevolmente più semplice e richiede meno tempo.
Utilizzando i dispositivi Zyxel Device HA Pro, i dispositivi si scambiano segnali heartbeat tramite una porta dedicata. Le porte del dispositivo attivo e di quello passivo sono heartbeat collegate tramite cavo Ethernet. Il dispositivo passivo sincronizza completamente le informazioni con il dispositivo attivo. In particolare, tutte le sessioni, i tunnel e gli account utente vengono sincronizzati tra i dispositivi. Inoltre, il dispositivo passivo conserva una copia di backup del file di configurazione nel caso si verifichi un guasto del dispositivo attivo. Pertanto, in caso di malfunzionamento del dispositivo principale, il passaggio risulta fluido.
Va notato che nei sistemi attivi/active si devono comunque riservare il 20-25% delle risorse di sistema per il passaggio in caso di guasti. Quando attiva/passiva un dispositivo si trova completamente in stato di riserva, è pronto per elaborare immediatamente il traffico di rete e mantenere il normale funzionamento della rete.
Parlando in termini semplici: «Utilizzando i dispositivi Zyxel Device HA Pro e avendo un canale di riserva, l'azienda è protetta sia dalla perdita di connessione a causa del provider, sia da problemi derivanti dal guasto del router.
Riassumendo quanto detto sopra
Per il nodo centrale di una rete distribuita è meglio utilizzare un dispositivo con un certo margine di porte (interfacce di connessione). È preferibile avere interfacce sia RJ45 per semplicità e riduzione dei costi di connessione, sia SFP per scegliere tra la connessione in fibra ottica e il cavo in coppia intrecciata.
Questo dispositivo deve essere:
- performante, adattato ai cambiamenti improvvisi del carico;
- con un'interfaccia di lavoro chiara;
- con un insieme ricco, ma non eccessivo, di funzioni integrate, incluse quelle relative alla sicurezza;
- con la possibilità di costruire schemi di tolleranza ai guasti — duplicazione dei canali e duplicazione dei dispositivi;
- supportante la gestione, in modo da poter gestire tutta l'infrastruttura ramificata, con nodo centrale e dispositivi periferici, da un unico punto;
- come «ciliegina sulla torta» — supporto per le tendenze moderne come l'integrazione con risorse cloud e così via.
ZyWALL VPN1000 come nodo centrale della rete
Dopo un primo sguardo al ZyWALL VPN1000, è evidente che le porte sono state ben distribuite.
Abbiamo:
12 porte configurabili RJ‑45 (GBE);
2 porte SFP configurabili (GBE);
2 porte USB 3.0 con supporto per modem 3G/4G.
Figura 1. Vista generale del ZyWALL VPN1000.
Occorre subito notare che il dispositivo non è per l'ufficio domestico, principalmente a causa delle ventole potenti. Ce ne sono ben quattro qui.
Figura 2. Pannello posteriore ZyWALL VPN1000.
Diamo un'occhiata a come appare l'interfaccia.
È importante far notare subito un aspetto cruciale. Ci sono molte funzioni, e descriverle in dettaglio all'interno di un solo articolo non è possibile. Ma ciò che è buono nei prodotti Zyxel è che c'è una documentazione molto dettagliata, in particolare il manuale dell'utente (o dell'amministratore). Quindi, per avere un'idea della ricchezza delle funzioni, daremo solo una rapida occhiata alle schede.
Per impostazione predefinita, la porta 1 e la porta 2 sono dedicate a WAN. A partire dalla terza porta ci sono interfacce per la rete locale.
La porta 3 con l'IP predefinito 192.168.1.1 è perfetta per la connessione.
Colleghiamo il cavo patch, andiamo all'indirizzo e possiamo osservare la finestra di registrazione dell'utente dell'interfaccia web.
Nota. Per la gestione si può utilizzare il sistema di gestione cloud SD-WAN.
Figura 3. Finestra per l'inserimento di login e password
Completiamo la procedura di inserimento di login e password e vediamo sullo schermo la finestra del Dashboard. Come ci si aspetta da un Dashboard, ci sono informazioni operative massime in ogni angolo dello spazio visivo.
Figura 4. ZyWALL VPN1000 — Dashboard.
Scheda 'Configurazione rapida' (Wizards)
Ci sono due assistenti nell'interfaccia: uno per la configurazione WAN e l'altro per la configurazione VPN. In effetti, gli assistenti sono molto utili, permettono di effettuare impostazioni standard senza avere esperienza con il dispositivo. E per chi vuole di più, come detto sopra, c'è una documentazione dettagliata.
Figura 5. Scheda 'Configurazione rapida'.
Scheda Monitoraggio
A quanto pare, gli ingegneri di Zyxel hanno deciso di seguire il principio di monitorare tutto ciò che è possibile. Naturalmente, per un dispositivo che svolge il ruolo di nodo centrale, un controllo totale non guasta affatto.
Anche semplicemente espandendo tutti i punti nel pannello laterale, diventa evidente la ricchezza delle scelte.
Figura 6. Scheda Monitoraggio con sotto-punti espansi.
Scheda Configurazione
Qui la ricchezza delle funzioni è ancora più evidente.
Ad esempio, la gestione delle porte del dispositivo è molto ben realizzata.
Figura 7. Scheda Configurazione con sotto-punti espansi.
Scheda Manutenzione
Contiene sottosezioni per l'aggiornamento del firmware, la diagnostica, la visualizzazione delle regole di routing e lo spegnimento.
Queste funzioni hanno carattere accessorio e sono presenti in misura variabile nella maggior parte dei dispositivi di rete.
Figura 8. Scheda Manutenzione con sotto-opzioni espanse.
Caratteristiche comparative
La nostra rassegna non sarebbe completa senza un confronto con altri modelli simili.
Di seguito è riportata una tabella dei più simili al ZyWALL VPN1000 e un elenco delle funzioni per il confronto.
Tabella 1. Confronto tra ZyWALL VPN1000 e i modelli simili.
Note alla tabella 1:
*1: Richiesta licenza
* 2: Low Touch Provision: l'amministratore deve prima configurare il dispositivo localmente prima del ZTP.
* 3: basato su sessione: DPS sarà applicato solo a una nuova sessione; non influenzerà la sessione corrente.
Come possiamo vedere, in alcuni aspetti i modelli simili stanno raggiungendo il protagonista della nostra rassegna, ad esempio, il Fortinet FG-100E ha anche un'ottimizzazione WAN integrata, mentre il Meraki MX100 ha la funzione AutoVPN (site-to-site) integrata, ma nel complesso per la gamma completa di funzioni, il ZyWALL VPN1000 è decisamente in testa.
Raccomandazioni per la scelta dei dispositivi per il nodo centrale (non solo Zyxel)
Nella scelta dei dispositivi per l'organizzazione di un nodo centrale in una rete ramificata con molte filiali, è importante considerare una serie di parametri: capacità tecniche, facilità di gestione, sicurezza e resilienza.
Un'ampia gamma di funzioni, un gran numero di porte fisiche con possibilità di configurazione flessibile: WAN, LAN, DMZ e altre funzionalità utili, come il controller di gestione degli access point, consentono di risolvere molteplici compiti contemporaneamente.
Un fattore importante è la disponibilità di documentazione e un'interfaccia di gestione intuitiva.
Avendo a disposizione tali elementi, non è difficile creare infrastrutture di rete che coprano vari siti e località, e l'uso del cloud SD-WAN permette di farlo in modo estremamente flessibile e sicuro.
Link utili
Fonte: habr.com
