USG FLEX / ATP / VPN-Serie: Verwendung virtueller Schnittstellen

Diese technische Anleitung erläutert den Zweck und die korrekte Verwendung von virtuellen Schnittstellen auf den USG FLEX-, ATP- und zugehörigen VPN-Sicherheitsgeräten von Zyxel. Sie hilft Netzwerkingenieuren bei der Entscheidung, wann und warum virtuelle Schnittstellen anstelle von herkömmlichen Schnittstellenzuweisungen oder VLANs eingesetzt werden sollten.

Was ist eine virtuelle Schnittstelle?

Eine virtuelle Schnittstelle ermöglicht es der Firewall, einem bestehenden physischen Netzwerkport – egal ob im WAN oder LAN – eine zusätzliche IP-Adresse zuzuweisen, um bestimmte Netzwerkdienste oder -szenarien zu unterstützen.
 

Die wichtigste Regel lautet:

• Erstellen Sie eine virtuelle Schnittstelle nur, wenn dies für bestimmte Dienste oder Netzwerkanforderungen erforderlich ist.

• Andernfalls verwenden Sie die direkte IP-Zuweisung (für WAN) oder die VLAN-Segmentierung (für LAN).

WAN	LAN

Virtuelle Schnittstellen im WAN

Wann eine virtuelle Schnittstelle erforderlich ist

Eine virtuelle Schnittstelle im WAN ist erforderlich, wenn die Firewall der Endpunkt für einen Dienst auf einer zusätzlichen öffentlichen IP-Adresse ist. Beispiele hierfür sind:

• IPSec-VPN-Gateway (Phase 1)

• L2TP/SSL-VPN

• Andere Dienste, bei denen der Datenverkehr auf der Firewall endet

In diesen Szenarien wird die virtuelle Schnittstelle im WAN mit der zusätzlichen öffentlichen IP-Adresse erstellt und an den Dienst gebunden.

Wann ist keine virtuelle Schnittstelle erforderlich?

Eine virtuelle Schnittstelle ist im WAN nicht erforderlich, wenn der Datenverkehr die Firewall einfach durchläuft, ohne dort zu enden, z. B.:

• NAT (einschließlich 1:1 NAT)

• Portweiterleitung/virtueller Server

In diesen Fällen können Sie die öffentliche IP-Adresse direkt in der NAT-Regel oder der Portweiterleitungskonfiguration angeben.

Virtuelle Schnittstellen im LAN

Wann ist eine virtuelle Schnittstelle erforderlich?

Eine virtuelle Schnittstelle im LAN ist erforderlich, wenn Sie Folgendes benötigen:

• Mehrere Subnetze auf demselben physischen LAN-Port ohne VLAN

• Geräte mit festen IP-Adressen außerhalb des Haupt-LAN-Subnetzes anzuschließen, die nicht neu konfiguriert werden können

• Ein temporäres oder vereinfachtes zusätzliches Gateway für LAN-Geräte

Wann ist keine virtuelle Schnittstelle erforderlich?

Sie benötigen keine virtuelle Schnittstelle im LAN, wenn:

• Sie Netzwerke mithilfe von VLANs trennen können (empfohlen für eine ordnungsgemäße Segmentierung)

• Alle LAN-Geräte sich im selben Subnetz befinden und nur eine Gateway-IP erforderlich ist

Bewährte Verfahren

• WAN: Erstellen Sie eine virtuelle Schnittstelle nur, wenn die Firewall der Dienstendpunkt ist (VPN, von der Firewall gehostete Dienste). Verwenden Sie sie bitte nicht für reine NAT-Szenarien.

• LAN: Bevorzugen Sie VLAN für die Netzwerksegmentierung; verwenden Sie virtuelle LAN-Schnittstellen nur, wenn VLANs nicht möglich oder praktikabel sind.

• Halten Sie die Konfigurationen minimal – jede virtuelle Schnittstelle erhöht die Komplexität des Routings.

Entscheidungsablauf – WAN

(Verwenden Sie das Diagramm als Schnellübersicht)

• Ja – Die Firewall ist der Endpunkt für den Dienst → Verwenden Sie eine virtuelle Schnittstelle (VPN, Firewall-Dienste).

• Nein – Firewall leitet nur Datenverkehr weiter → Verwenden Sie keine virtuelle Schnittstelle (NAT, Portweiterleitung)

Entscheidungsablauf – LAN

(Verwenden Sie das Diagramm als schnelle Referenz)

• Ja – Zusätzliches Subnetz oder IP im LAN erforderlich → Virtuelle Schnittstelle verwenden (es sei denn, VLAN wird bevorzugt)

• Nein – Nur ein Subnetz oder VLAN-Trennung möglich → Keine virtuelle Schnittstelle verwenden

Einige Praxisbeispiele

Beispiel 1 – Verwendung einer virtuellen LAN-Schnittstelle für ältere Geräte oder Superscope

Wenn Sie einen DHCP-Superscope verwenden oder Legacy-Geräte haben, bei denen Sie die IP- und Gateway-Konfiguration nicht ändern können:

Möglicherweise befinden sich in Ihrem Netzwerk Geräte mit IP-Adressen außerhalb des konfigurierten Subnetzes der LAN-Schnittstelle Ihrer Firewall. Dies kann in folgenden Szenarien vorkommen:

• DHCP Superscope wird verwendet, um mehrere IP-Bereiche im selben physischen LAN bereitzustellen.

• Alte oder unzugängliche Geräte, die eine andere Gateway-/IP-Konfiguration haben und aufgrund fehlender Anmeldedaten nicht neu konfiguriert werden können.

In solchen Fällen ist die Verwendung einer virtuellen LAN-Schnittstelle sinnvoll. Erstellen Sie eine neue virtuelle LAN-Schnittstelle mit der erforderlichen IP-Konfiguration, indem Sie zu „Netzwerk > Schnittstelle > Ethernet“ navigieren.

Beispiel 2 – Hosting mehrerer VPN-Gateways auf verschiedenen öffentlichen IPs (WAN)
Sie verfügen über mehrere öffentliche IP-Adressen und müssen separate IPSec-VPN-Gateways für verschiedene Clients hosten.

• Erstellen Sie für jede zusätzliche öffentliche IP-Adresse eine virtuelle Schnittstelle im WAN.

• Binden Sie jedes VPN-Gateway an die entsprechende virtuelle Schnittstelle, um die Trennung des Datenverkehrs sicherzustellen.

Beispiel 3 – Migration zu einem neuen Subnetz ohne Neukonfiguration aller Geräte (LAN)
Wenn Sie das LAN-Subnetz ändern, einige kritische Systeme jedoch nicht sofort neu konfiguriert werden können, haben Sie folgende Möglichkeiten:

• Behalten Sie das alte Subnetz aktiv, indem Sie eine virtuelle LAN-Schnittstelle mit dem alten IP-Bereich erstellen.

• Migrieren Sie Geräte schrittweise auf das neue Subnetz, ohne dass es zu Netzwerkausfällen kommt.

Beispiel 4 – Trennung von Test- und Produktionsdatenverkehr (WAN)
Sie haben eine WAN-Verbindung, müssen jedoch den Produktions- und Test-VPN-Datenverkehr voneinander trennen:

• Weisen Sie über eine virtuelle WAN-Schnittstelle eine dedizierte öffentliche IP-Adresse für Tests zu.

• Binden Sie das Test-VPN an diese Schnittstelle, während Sie den Produktionsdatenverkehr auf der Haupt-WAN-IP belassen.

Beispiel 5 – Bereitstellung von Internet für ein temporäres Netzwerksegment (LAN)
Während einer Veranstaltung oder eines Projekts müssen Sie einer Gruppe von Geräten mit einem dedizierten IP-Bereich Internetzugang bereitstellen:

• Erstellen Sie eine virtuelle LAN-Schnittstelle mit dem Subnetz der Veranstaltung/des Projekts.

• Wenden Sie bestimmte Firewall- und Bandbreitenregeln auf dieses Subnetz an, ohne das Haupt-LAN zu beeinträchtigen.