Cosa considerare quando si sceglie un router VPN per una rete distribuita? Quali funzionalità deve avere? Questo è il tema della nostra recensione del ZyWALL VPN1000.
Introduzione
Fino ad ora, la maggior parte delle nostre pubblicazioni si è concentrata su dispositivi VPN di fascia bassa per l'accesso da sedi periferiche. Ad esempio, per connettere diverse filiali alla sede centrale, per l'accesso a Internet di piccole aziende indipendenti o addirittura di case private. È giunto il momento di parlarne come nodo centrale per una rete distribuita.
È evidente che non si può costruire una rete moderna per una grande azienda solo con dispositivi economici. Anche organizzare un servizio cloud per fornire servizi ai clienti richiede un'infrastruttura adeguata. Dovrebbe esserci un hardware in grado di gestire un gran numero di clienti contemporaneamente. Questa volta parleremo di uno di questi dispositivi: Zyxel VPN1000.
Per i partecipanti alla rete, grandi e piccoli, ci sono criteri per valutare l'idoneità di ciascun dispositivo per risolvere il problema.
Di seguito sono elencati i principali di essi:
- capacità tecniche e funzionali;
- gestione;
- sicurezza;
- affidabilità.
È difficile distinguere ciò che è più importante da ciò di cui si può fare a meno. Serve tutto. Se un dispositivo non soddisfa determinati criteri, ci possono essere problemi in seguito.
Tuttavia, le caratteristiche di alcuni dispositivi, progettati per garantire il funzionamento dei nodi centrali e delle attrezzature operanti principalmente in periferia, possono differire notevolmente.
Per il nodo centrale, la potenza di calcolo è fondamentale, il che implica un raffreddamento forzato e, di conseguenza, rumore da ventole. Per i dispositivi periferici, che di solito si trovano in uffici e abitazioni, un funzionamento rumoroso è praticamente inaccettabile.
Un altro aspetto interessante è la distribuzione delle porte. Negli apparecchi periferici è piuttosto chiaro come verranno utilizzate e quanti clienti si conneteranno. Pertanto, è possibile impostare una separazione rigorosa delle porte su WAN, LAN, DMZ, eseguire un legame stretto ai protocolli e così via. Nel nodo centrale, però, non c'è la stessa certezza. Ad esempio, viene aggiunto un nuovo segmento di rete che richiede una connessione attraverso la sua interfaccia — e come si può fare? Qui è necessaria una soluzione più universale con la possibilità di configurare le interfacce in modo flessibile.
Un aspetto importante è la saturazione dell'apparecchio con varie funzioni. Ovviamente, il metodo in cui un singolo dispositivo svolge bene un'unica attività ha i suoi vantaggi. Tuttavia, la situazione più interessante si presenta quando è necessario compiere un passo a sinistra o a destra. È chiaro che si può continuare ad acquistare un altro dispositivo dedicato per ogni nuovo compito. E così via, finché non termina il budget o lo spazio nel rack.
Al contrario, un set di funzioni avanzate consente di gestire più questioni con un solo dispositivo. Ad esempio, il ZyWALL VPN1000 supporta diversi tipi di connessioni VPN, comprese SSL e IPsec VPN, nonché connessioni remote per i dipendenti. Ciò significa che un singolo dispositivo risolve le problematiche relative sia alle connessioni tra siti che a quelle client. Tuttavia, c'è un 'però'. Affinché questo funzioni, è necessario avere una capacità di prestazione adeguata. Ad esempio, nel caso del ZyWALL VPN1000, il nucleo hardware IPsec VPN offre elevate prestazioni del tunnel VPN, mentre il bilanciamento/redundanza VPN con algoritmi SHA‑2 e IKEv2 garantisce alta affidabilità e sicurezza per le aziende.
Di seguito sono elencate alcune funzionalità utili che coprono uno o più degli ambiti descritti in precedenza.
SD-WAN fornisce una piattaforma per la gestione cloud, ottenendo i vantaggi di un controllo centralizzato delle comunicazioni tra i siti con la possibilità di monitoraggio e controllo remoto. Il ZyWALL VPN1000 supporta anche la modalità operativa corrispondente dove sono richieste funzioni VPN avanzate.
Supporto delle piattaforme cloud per servizi critici. ZyWALL VPN1000 è stato testato per l'uso con Microsoft Azure e AWS. L'impiego di dispositivi pre-verificati è preferibile per le organizzazioni di qualsiasi livello, soprattutto quando l'infrastruttura IT combina rete locale e cloud.
Filtraggio dei contenuti aumenta la sicurezza bloccando l'accesso a siti web dannosi o indesiderati. Previene il download di malware da siti non affidabili o compromessi. Per quanto riguarda ZyWALL VPN1000, la licenza annuale per questo servizio è già inclusa nella fornitura.
Geo-politiche (Geo IP) consentono di monitorare il traffico e analizzare la posizione degli indirizzi IP, negando l'accesso da regioni non desiderate o potenzialmente pericolose. Anche la licenza annuale per questo servizio è inclusa nella fornitura dell'apparecchiatura.
Gestione della rete wireless Il ZyWALL VPN1000 include un controller di rete wireless che consente di gestire fino a 1032 punti di accesso da un'interfaccia utente centralizzata. Le aziende possono implementare o espandere una rete Wi-Fi gestita con il minimo sforzo. È importante notare che la cifra 1032 è davvero elevata. Considerando che a un punto di accesso possono connettersi fino a 10 utenti, si ottiene un numero piuttosto consistente.
Bilanciamento e riserva. La serie VPN supporta il bilanciamento del carico e la riserva su più interfacce esterne. Ciò significa che è possibile collegare più linee da diversi fornitori, proteggendosi così da problemi di connettività.
Possibilità di riserva del dispositivo (Device HA) per garantire connessioni ininterrotte, anche quando uno dei dispositivi si guasta. Senza questo, è difficile operare se è necessario garantire un funzionamento 24/7 con tempi di inattività minimi.
Zyxel Device HA Pro opera in modalità attiva/passiva, per la quale non è richiesta una procedura di configurazione complessa. Questo consente di abbassare la soglia di ingresso e di iniziare immediatamente ad utilizzare la riserva. A differenza di attiva/attiva, quando l'amministratore di sistema ha bisogno di ulteriori preparazioni, deve saper configurare il routing dinamico, comprendere cosa sono i pacchetti asimmetrici, ecc. — impostazione della modalità attiva/passiva funziona molto più semplicemente e richiede meno tempo.
Utilizzando i dispositivi Zyxel Device HA Pro, i dispositivi scambiano segnali heartbeat tramite una porta dedicata. Le porte del dispositivo attivo e passivo sono collegate tramite un cavo Ethernet. Il dispositivo passivo sincronizza completamente le informazioni con il dispositivo attivo. In particolare, tutte le sessioni, i tunnel e gli account utente vengono sincronizzati tra i dispositivi. Inoltre, il dispositivo passivo conserva una copia di backup del file di configurazione in caso di guasto del dispositivo attivo. In questo modo, in caso di fallimento del dispositivo principale, il passaggio risulta senza interruzioni. heartbeat подключаются через кабель Ethernet. Пассивное устройство полностью синхронизирует информацию с активным устройством. В частности, между устройствами синхронизируются все сессии, туннели, учетные записи пользователей. Помимо этого, пассивное устройство сохраняет резервную копию файла конфигурации на случай сбоя активного устройства. Таким образом, в случае отказа основного устройства переход получается бесшовным.
Va notato che nei sistemi attivi/active è comunque necessario riservare il 20-25% delle risorse di sistema per il passaggio in caso di guasti. Quando attiva/passiva un dispositivo è completamente in stato di riserva, è pronto a gestire immediatamente il traffico di rete e a mantenere il funzionamento normale della rete.
In parole semplici: «Utilizzando Zyxel Device HA Pro e avendo una connessione di riserva, l'azienda è protetta sia dalla perdita di connettività a causa del fornitore sia da problemi derivanti guasti del router.
Riassumendo quanto detto sopra
Per il nodo centrale di una rete distribuita, è meglio utilizzare un dispositivo con un numero adeguato di porte (interfacce di connessione). È preferibile avere sia interfacce RJ45 per semplicità e costi ridotti, sia SFP per la possibilità di scegliere tra connessioni in fibra ottica e coppia intrecciata.
Questo dispositivo dovrebbe essere:
- performante e adattato a variazioni significative del carico;
- con un'interfaccia di utilizzo intuitiva;
- dotato di un ricco ma non eccessivo numero di funzioni integrate, anche in relazione alla sicurezza;
- capace di implementare schemi di alta disponibilità — duplicazione dei canali e duplicazione dei dispositivi;
- supportante la gestione centralizzata, in modo da controllare tutta l'infrastruttura ramificata, composta da nodo centrale e dispositivi periferici, da un unico punto;
- come una «ciliegina sulla torta» — supporto per le moderne tendenze come l'integrazione con le risorse cloud e così via.
ZyWALL VPN1000 come nodo centrale della rete
Alla prima occhiata, è evidente che Zyxel non ha risparmiato sui porte nel ZyWALL VPN1000.
Abbiamo a disposizione:
12 porte RJ‑45 (GBE) configurabili;
2 porte SFP (GBE) configurabili;
2 porte USB 3.0 con supporto per modem 3G/4G.
Figura 1. Aspetto generale del ZyWALL VPN1000.
Va subito notato che questo dispositivo non è adatto per un ufficio domestico, principalmente a causa delle ventole potenti. Ce ne sono ben quattro.
Figura 2. Pannello posteriore del ZyWALL VPN1000.
Diamo un'occhiata a come appare l'interfaccia.
È importante sottolineare un aspetto cruciale. Ci sono molte funzioni, e non sarà possibile descriverle dettagliatamente in un solo articolo. Ma ciò che è positivo della produzione Zyxel è che c'è una documentazione molto dettagliata, in particolare il manuale utente (amministratore). Quindi, per avere un'idea della ricchezza delle funzioni, daremo semplicemente un'occhiata alle schede.
Per impostazione predefinita, la porta 1 e la porta 2 sono dedicate a WAN. A partire dalla terza porta ci sono le interfacce per la rete locale.
La porta 3 con IP di default 192.168.1.1 è perfettamente adatta per il collegamento.
Colleghiamo il cavo patch, accediamo all'indirizzo e possiamo vedere la finestra di registrazione dell'utente nell'interfaccia web.
Nota. Per la gestione si può utilizzare il sistema di gestione cloud SD-WAN.
Figura 3. Finestra di inserimento login e password
Procediamo con l'inserimento del login e della password e otteniamo sullo schermo la finestra Dashboard. Come ci si aspetta da un Dashboard, massimo delle informazioni operative su ogni porzione di spazio dello schermo.
Figura 4. ZyWALL VPN1000 — Dashboard.
Scheda "Configurazione rapida" (Wizards)
Ci sono due assistenti nell'interfaccia: per la configurazione WAN e per la configurazione VPN. In realtà gli assistenti sono una buona cosa, permettono di eseguire configurazioni standard, anche senza esperienza con il dispositivo. E per chi desidera di più, come detto sopra, esiste una documentazione dettagliata.
Figura 5. Scheda "Configurazione rapida".
Scheda Monitoraggio
A quanto pare, gli ingegneri di Zyxel hanno deciso di seguire il principio: monitoriamo tutto ciò che è possibile. Ovviamente, per un dispositivo che funge da nodo centrale, un controllo totale non può far male.
Anche solo espandendo tutti i punti nella barra laterale, diventa evidente la ricchezza delle scelte.
Figura 6. Tab Monitoraggio con sottosezioni espanse.
Tab Configurazione
Qui la ricchezza delle funzionalità è ancora più evidente.
Ad esempio, la gestione delle porte del dispositivo è ben progettata.
Figura 7. Tab Configurazione con sottosezioni espanse.
Tab Manutenzione
Contiene sottosezioni per l'aggiornamento del firmware, diagnosi, visualizzazione delle regole di routing e spegnimento.
Queste funzioni sono di supporto e in un modo o nell'altro sono presenti in quasi tutti i dispositivi di rete.
Figura 8. Tab Manutenzione con sottosezioni espanse.
Caratteristiche comparative
La nostra analisi sarebbe incompleta senza un confronto con altri analoghi.
Di seguito è riportata una tabella dei più vicini analoghi al ZyWALL VPN1000 e un elenco delle funzionalità per il confronto.
Tabella 1. Confronto tra ZyWALL VPN1000 e analoghi.
Spiegazioni per la tabella 1:
*1: Licenza necessaria
* 2: Low Touch Provision: l'amministratore deve prima configurare il dispositivo localmente prima di ZTP.
* 3: basato su sessione: DPS sarà applicato solo a una nuova sessione; non influenzerà la sessione corrente.
Come possiamo vedere, in alcuni aspetti i concorrenti raggiungono il protagonista della nostra recensione; ad esempio, il Fortinet FG-100E ha anche un'ottimizzazione WAN integrata e il Meraki MX100 dispone di una funzione AutoVPN (site-to-site), ma nel complesso, per il set completo di funzionalità, il ZyWALL VPN1000 è decisamente in testa.
Raccomandazioni per la scelta dei dispositivi per il nodo centrale (non solo Zyxel)
Quando si scelgono i dispositivi per organizzare un nodo centrale in una rete ramificata con numerosi filiali, è importante considerare una serie di parametri: capacità tecniche, facilità di gestione, sicurezza e resilienza.
Un'ampia gamma di funzioni, un numero elevato di porte fisiche con possibilità di configurazione flessibile: WAN, LAN, DMZ, e la presenza di altre funzioni utili, come il controller per la gestione dei punti di accesso, permettono di affrontare numerosi compiti in una sola volta.
Un ruolo importante è giocato dalla disponibilità della documentazione e dall'interfaccia di gestione intuitiva.
Avendo a disposizione queste, a prima vista, semplici cose, non è così difficile creare infrastrutture di rete che coinvolgono diversi siti e location, mentre l'uso del cloud SD-WAN consente di farlo in modo estremamente flessibile e sicuro.
Link utili
Fonte: habr.com
