USG FLEX / ATP / VPN-serie: gebruik van virtuele interfaces

Deze technische handleiding legt het doel en het juiste gebruik uit van virtuele interfaces op Zyxel's USG FLEX, ATP en gerelateerde VPN-beveiligingsapparatuur. Het helpt netwerkingenieurs te beslissen wanneer en waarom ze virtuele interfaces moeten gebruiken in plaats van traditionele interface-toewijzingen of VLAN's.

Wat is een virtuele interface?

Met een virtuele interface kan de firewall een extra IP-adres toewijzen aan een bestaande fysieke netwerkpoort – op WAN of LAN – om specifieke netwerkdiensten of scenario's te ondersteunen.
 

De belangrijkste regel is:

• Maak alleen een virtuele interface aan wanneer dit nodig is voor specifieke diensten of netwerkvereisten.

• Gebruik anders directe IP-toewijzing (voor WAN) of VLAN-segmentatie (voor LAN).

WAN	LAN

Virtuele interfaces op WAN

Wanneer een virtuele interface vereist is

Een virtuele interface op het WAN is vereist wanneer de firewall het eindpunt is voor een service op een extra openbaar IP-adres. Voorbeelden hiervan zijn:

• IPSec VPN-gateway (fase 1)

• L2TP / SSL VPN

• Andere services waarbij het verkeer op de firewall eindigt

In deze scenario's wordt de virtuele interface op het WAN aangemaakt met het extra openbare IP-adres en aan de service gekoppeld.

Wanneer een virtuele interface niet vereist is

Een virtuele interface is niet vereist op het WAN als het verkeer gewoon door de firewall gaat zonder daar te eindigen, zoals:

• NAT (inclusief 1:1 NAT)

• Poortdoorsturing / virtuele server

In deze gevallen kunt u het openbare IP-adres rechtstreeks opgeven in de NAT-regel of de configuratie voor poortdoorsturing.

Virtuele interfaces op LAN

Wanneer een virtuele interface vereist is

Een virtuele interface op LAN is vereist wanneer u het volgende nodig hebt:

• Meerdere subnetten op dezelfde fysieke LAN-poort zonder VLAN

• Apparaten met vaste IP-adressen buiten het hoofd-LAN-subnet wilt aansluiten die niet opnieuw kunnen worden geconfigureerd

• Een tijdelijke of vereenvoudigde extra gateway voor LAN-apparaten

Wanneer een virtuele interface niet vereist is

U hebt geen virtuele interface op het LAN nodig als:

• U netwerken kunt scheiden met behulp van VLAN's (aanbevolen voor een goede segmentatie)

• Alle LAN-apparaten zich in hetzelfde subnet bevinden en slechts één gateway-IP vereist is

Best practices

• WAN: Maak alleen een virtuele interface aan als de firewall het service-eindpunt is (VPN, door de firewall gehoste services). Gebruik deze niet voor scenario's waarin alleen NAT wordt gebruikt.

• LAN: Geef de voorkeur aan VLAN voor netwerksegmentatie; gebruik alleen LAN virtuele interfaces wanneer VLAN's niet mogelijk of praktisch zijn.

• Houd configuraties minimaal – elke virtuele interface maakt routing complexer.

Beslissingsstroom – WAN

(Gebruik het diagram als snelle referentie)

• Ja – Firewall is het eindpunt voor de service → Gebruik virtuele interface (VPN, firewall-services)

• Nee – Firewall stuurt alleen verkeer door → Gebruik geen virtuele interface (NAT, poortdoorsturing)

Beslissingsstroom – LAN

(Gebruik het diagram voor een snel overzicht)

• Ja – Extra subnet of IP vereist op LAN → Gebruik virtuele interface (tenzij VLAN de voorkeur heeft)

• Nee – Slechts één subnet of VLAN-scheiding mogelijk → Gebruik geen virtuele interface

Enkele praktijkvoorbeelden

Voorbeeld 1 – Virtuele LAN-interface gebruiken voor oudere apparaten of Superscope

Als u een DHCP Superscope gebruikt of legacy-apparaten hebt waarbij u de IP- en gatewayconfiguratie niet kunt wijzigen:

Het kan zijn dat u apparaten in uw netwerk hebt met IP-adressen buiten het geconfigureerde subnet van de LAN-interface van uw firewall. Dit kan gebeuren in scenario's zoals:

• DHCP Superscope wordt gebruikt om meerdere IP-reeksen op hetzelfde fysieke LAN aan te bieden.

• Oude of ontoegankelijke apparaten die een andere gateway/IP-configuratie hebben en niet opnieuw kunnen worden geconfigureerd vanwege ontbrekende inloggegevens.

In dergelijke gevallen is het een geldige reden om een virtuele LAN-interface te gebruiken. Maak een nieuwe virtuele LAN-interface met de vereiste IP-configuratie door naar het volgende te navigeren: Netwerk > Interface > Ethernet

Voorbeeld 2 – Meerdere VPN-gateways hosten op verschillende openbare IP's (WAN)
U hebt meerdere openbare IP-adressen en moet afzonderlijke IPSec VPN-gateways voor verschillende clients hosten.

• Maak een virtuele interface op WAN voor elk extra openbaar IP-adres.

• Koppel elke VPN-gateway aan de juiste virtuele interface om verkeersscheiding te garanderen.

Voorbeeld 3 – Migreren naar een nieuw subnet zonder alle apparaten opnieuw te configureren (LAN)
Wanneer u het LAN-subnet wijzigt, maar sommige kritieke systemen niet onmiddellijk opnieuw kunnen worden geconfigureerd, kunt u het volgende doen:

• Houd het oude subnet actief door een virtuele LAN-interface te maken met het oude IP-bereik.

• Migreer apparaten geleidelijk naar het nieuwe subnet zonder netwerkonderbreking.

Voorbeeld 4 – Test- en productieverkeer scheiden (WAN)
U hebt één WAN-verbinding, maar u moet productie- en test-VPN-verkeer isoleren:

• Wijs een speciaal openbaar IP-adres toe voor testen via een virtuele WAN-interface.

• Koppel de test-VPN aan deze interface en houd het productieverkeer op het hoofd-WAN-IP-adres.

Voorbeeld 5 – Internet verstrekken aan een tijdelijk netwerksegment (LAN)
Tijdens een evenement of project moet u internettoegang bieden aan een groep apparaten met een speciaal IP-bereik:

• Maak een virtuele LAN-interface met het subnet van het evenement/project.

• Pas specifieke firewall- en bandbreedteregels toe op dat subnet zonder het hoofd-LAN te beïnvloeden.