Serie USG FLEX / ATP / VPN: utilizzo delle interfacce virtuali

Questa guida tecnica spiega lo scopo e l'uso corretto delle interfacce virtuali su USG FLEX, ATP e relativi dispositivi di sicurezza VPN di Zyxel. Aiuta i tecnici di rete a decidere quando e perché utilizzare le interfacce virtuali rispetto alle tradizionali assegnazioni di interfaccia o alle VLAN.

Che cos'è un'interfaccia virtuale

Un'interfaccia virtuale consente al firewall di assegnare un indirizzo IP aggiuntivo a una porta di rete fisica esistente, sia su WAN che su LAN, per supportare servizi o scenari di rete specifici.
 

La regola principale è:

• Creare un'interfaccia virtuale solo quando necessario per servizi specifici o requisiti di rete.

• Altrimenti, utilizzare l'assegnazione diretta dell'IP (per WAN) o la segmentazione VLAN (per LAN).

WAN	LAN

Interfacce virtuali su WAN

Quando è necessaria un'interfaccia virtuale

Un'interfaccia virtuale sulla WAN è necessaria quando il firewall è l'endpoint per un servizio su un indirizzo IP pubblico aggiuntivo. Alcuni esempi:

• Gateway VPN IPSec (Fase 1)

• VPN L2TP / SSL

• Altri servizi in cui il traffico termina sul firewall

In questi scenari, l'interfaccia virtuale viene creata sulla WAN con l'IP pubblico aggiuntivo e associata al servizio.

Quando non è necessaria un'interfaccia virtuale

Un'interfaccia virtuale non è necessaria sulla WAN se il traffico passa semplicemente attraverso il firewall senza terminare su di esso, come ad esempio:

• NAT (incluso NAT 1:1)

• Port Forwarding / Server virtuale

In questi casi, è possibile specificare direttamente l'IP pubblico nella regola NAT o nella configurazione del port forwarding.

Interfacce virtuali sulla LAN

Quando è necessaria un'interfaccia virtuale

Un'interfaccia virtuale su LAN è necessaria quando occorre:

• Più sottoreti sulla stessa porta LAN fisica senza una VLAN

• Collegare dispositivi con indirizzi IP fissi al di fuori della sottorete LAN principale che non possono essere riconfigurati

• Un gateway aggiuntivo temporaneo o semplificato per i dispositivi LAN

Quando non è necessaria un'interfaccia virtuale

Non è necessaria un'interfaccia virtuale sulla LAN se:

• È possibile separare le reti utilizzando le VLAN (consigliato per una corretta segmentazione)

• Tutti i dispositivi LAN si trovano nella stessa sottorete ed è richiesto un solo IP gateway

Best practice

• WAN: creare un'interfaccia virtuale solo se il firewall è l'endpoint del servizio (VPN, servizi ospitati dal firewall). Non utilizzarla per scenari solo NAT.

• LAN: preferire le VLAN per la segmentazione della rete; utilizzare le interfacce virtuali LAN solo quando le VLAN non sono possibili o pratiche.

• Mantenere le configurazioni al minimo: ogni interfaccia virtuale aggiunge complessità al routing.

Flusso decisionale - WAN

(Utilizzare il diagramma come riferimento rapido)

• Sì - Il firewall è l'endpoint per il servizio → Utilizzare l'interfaccia virtuale (VPN, servizi firewall)

• No – Il firewall si limita a inoltrare il traffico → Non utilizzare l'interfaccia virtuale (NAT, inoltro delle porte)

Flusso decisionale – LAN

(Utilizzare il diagramma come riferimento rapido)

• Sì – È necessaria una sottorete o un IP aggiuntivo sulla LAN → Utilizzare l'interfaccia virtuale (a meno che non si preferisca la VLAN)

• No – È possibile solo una sottorete o separazione VLAN → Non utilizzare l'interfaccia virtuale

Alcuni esempi pratici

Esempio 1 – Utilizzo dell'interfaccia LAN virtuale per dispositivi legacy o Superscope

Se si utilizza un DHCP Superscope o si dispone di dispositivi legacy in cui non è possibile modificare la configurazione IP e gateway:

È possibile che nella rete siano presenti dispositivi con indirizzi IP esterni alla sottorete configurata dell'interfaccia LAN del firewall. Ciò può verificarsi in scenari quali:

• DHCP Superscope viene utilizzato per fornire più intervalli IP sulla stessa LAN fisica.

• Dispositivi vecchi o inaccessibili che hanno una configurazione gateway/IP diversa e non possono essere riconfigurati a causa della mancanza delle credenziali.

In questi casi, è valido utilizzare un'interfaccia LAN virtuale. Crea una nuova interfaccia LAN virtuale con la configurazione IP richiesta navigando su: Rete > Interfaccia > Ethernet

Esempio 2 - Hosting di più gateway VPN su diversi IP pubblici (WAN)
Si dispone di più indirizzi IP pubblici e si deve ospitare gateway VPN IPSec separati per diversi client.

• Creare un'interfaccia virtuale su WAN per ogni IP pubblico aggiuntivo.

• Associa ogni gateway VPN all'interfaccia virtuale appropriata per garantire la separazione del traffico.

Esempio 3 - Migrazione a una nuova sottorete senza riconfigurare tutti i dispositivi (LAN)
Quando si modifica la sottorete LAN, ma alcuni sistemi critici non possono essere riconfigurati immediatamente, è possibile:

• Mantenere attiva la vecchia sottorete creando un'interfaccia LAN virtuale con il vecchio intervallo IP.

• Migrare gradualmente i dispositivi alla nuova sottorete senza interruzioni di rete.

Esempio 4 - Separazione del traffico di test e di produzione (WAN)
Si dispone di un collegamento WAN ma è necessario isolare il traffico VPN di produzione e di test:

• Assegnare un IP pubblico dedicato per il test tramite un'interfaccia WAN virtuale.

• Collega la VPN di test a questa interfaccia mantenendo il traffico di produzione sull'IP WAN principale.

Esempio 5 - Fornitura di Internet a un segmento di rete temporaneo (LAN)
Durante un evento o un progetto, è necessario fornire l'accesso a Internet a un gruppo di dispositivi con un intervallo IP dedicato:

• Creare un'interfaccia LAN virtuale con la sottorete dell'evento/progetto.

• Applicare regole specifiche relative al firewall e alla larghezza di banda a tale sottorete senza influire sulla LAN principale.