Seria USG FLEX / ATP / VPN: Korzystanie z interfejsów wirtualnych

Niniejszy przewodnik techniczny wyjaśnia cel i prawidłowe wykorzystanie interfejsów wirtualnych w urządzeniach Zyxel USG FLEX, ATP i powiązanych urządzeniach zabezpieczających VPN. Pomaga on inżynierom sieciowym zdecydować, kiedy i dlaczego należy stosować interfejsy wirtualne zamiast tradycyjnych przypisanych interfejsów lub sieci VLAN.

Czym jest interfejs wirtualny

Interfejs wirtualny pozwala zaporze sieciowej przypisać dodatkowy adres IP do istniejącego fizycznego portu sieciowego — zarówno w sieci WAN, jak i LAN — w celu obsługi określonych usług lub scenariuszy sieciowych.
 

Główna zasada brzmi:

• Interfejs wirtualny należy tworzyć tylko wtedy, gdy jest to konieczne do obsługi określonych usług lub wymagań sieciowych.

• W przeciwnym razie należy użyć bezpośredniego przypisania adresu IP (dla sieci WAN) lub segmentacji VLAN (dla sieci LAN).

WAN	LAN

Interfejsy wirtualne w sieci WAN

Kiedy wymagany jest interfejs wirtualny

Interfejs wirtualny w sieci WAN jest wymagany, gdy zapora sieciowa jest punktem końcowym dla usługi na dodatkowym publicznym adresie IP. Przykłady:

• Brama VPN IPSec (faza 1)

• L2TP / SSL VPN

• Inne usługi, w których ruch kończy się na zaporze ogniowej

W takich scenariuszach interfejs wirtualny jest tworzony w sieci WAN z dodatkowym publicznym adresem IP i powiązany z usługą.

Kiedy interfejs wirtualny nie jest wymagany

Interfejs wirtualny nie jest wymagany w sieci WAN, jeśli ruch po prostu przechodzi przez zaporę sieciową bez kończenia się na niej, na przykład:

• NAT (w tym NAT 1:1)

• Przekierowanie portów / serwer wirtualny

W takich przypadkach można bezpośrednio określić publiczny adres IP w regule NAT lub konfiguracji przekierowania portów.

Interfejsy wirtualne w sieci LAN

Kiedy wymagany jest interfejs wirtualny

Wirtualny interfejs w sieci LAN jest wymagany, gdy potrzebujesz:

• Wiele podsieci w tym samym fizycznym porcie LAN bez sieci VLAN

• Podłączyć urządzenia ze stałymi adresami IP poza główną podsiecią LAN, których nie można ponownie skonfigurować

• Tymczasowa lub uproszczona dodatkowa brama dla urządzeń sieci LAN

Kiedy interfejs wirtualny nie jest wymagany

Wirtualny interfejs w sieci LAN nie jest potrzebny, jeśli:

• Można rozdzielić sieci za pomocą sieci VLAN (zalecane w celu prawidłowej segmentacji)

• Wszystkie urządzenia LAN znajdują się w tej samej podsieci i wymagany jest tylko jeden adres IP bramy

Najlepsze praktyki

• WAN: Utwórz interfejs wirtualny tylko wtedy, gdy zapora sieciowa jest punktem końcowym usługi (VPN, usługi hostowane przez zaporę sieciową). Nie używaj go w scenariuszach obejmujących wyłącznie NAT.

• LAN: Preferuj sieci VLAN do segmentacji sieci; używaj wirtualnych interfejsów LAN tylko wtedy, gdy sieci VLAN nie są możliwe lub praktyczne.

• Konfiguracje powinny być minimalne — każdy interfejs wirtualny zwiększa złożoność routingu.

Przebieg decyzji — WAN

(Skorzystaj z diagramu jako szybkiego odniesienia)

• Tak — zapora sieciowa jest punktem końcowym usługi → użyj interfejsu wirtualnego (VPN, usługi zapory sieciowej)

• Nie — zapora sieciowa tylko przekazuje ruch → Nie używaj interfejsu wirtualnego (NAT, przekierowanie portów)

Przebieg decyzji — LAN

(Skorzystaj z diagramu, aby szybko znaleźć potrzebne informacje)

• Tak – wymagana dodatkowa podsieć lub adres IP w sieci LAN → użyj interfejsu wirtualnego (chyba że preferowana jest sieć VLAN)

• Nie – Możliwe jest tylko jedno podsieć lub separacja VLAN → Nie używaj interfejsu wirtualnego

Kilka praktycznych przykładów

Przykład 1 – Korzystanie z interfejsu wirtualnej sieci LAN dla starszych urządzeń lub Superscope

Jeśli korzystasz z DHCP Superscope lub masz starsze urządzenia, w których nie można zmienić konfiguracji adresu IP i bramy:

W sieci mogą znajdować się urządzenia z adresami IP spoza skonfigurowanej podsieci interfejsu LAN zapory. Może to mieć miejsce w następujących sytuacjach:

• DHCP Superscope jest używane do zapewnienia wielu zakresów adresów IP w tej samej fizycznej sieci LAN.

• Stare lub niedostępne urządzenia, które mają inną konfigurację bramy/adresu IP i nie można ich ponownie skonfigurować z powodu braku poświadczeń.

W takich przypadkach uzasadnione jest użycie interfejsu wirtualnej sieci LAN. Utwórz nowy interfejs wirtualnej sieci LAN z wymaganą konfiguracją adresu IP, przechodząc do: Sieć > Interfejs > Ethernet

Przykład 2 — Hostowanie wielu bram VPN na różnych publicznych adresach IP (WAN)
Posiadasz wiele publicznych adresów IP i musisz hostować oddzielne bramy IPSec VPN dla różnych klientów.

• Utwórz interfejs wirtualny w sieci WAN dla każdego dodatkowego publicznego adresu IP.

• Powiąż każdą bramę VPN z odpowiednim interfejsem wirtualnym, aby zapewnić separację ruchu.

Przykład 3 — Migracja do nowej podsieci bez konieczności ponownej konfiguracji wszystkich urządzeń (LAN)
W przypadku zmiany podsieci LAN, ale niektórych krytycznych systemów nie można natychmiast ponownie skonfigurować, można:

• Utrzymać starą podsieć aktywną, tworząc wirtualny interfejs LAN ze starym zakresem adresów IP.

• Stopniowo migrować urządzenia do nowej podsieci bez przestojów w sieci.

Przykład 4 — Oddzielenie ruchu testowego od produkcyjnego (WAN)
Masz jedno łącze WAN, ale musisz oddzielić ruch VPN produkcyjny od testowego:

• Przypisz dedykowany publiczny adres IP do testów za pośrednictwem wirtualnego interfejsu WAN.

• Powiąż testową sieć VPN z tym interfejsem, zachowując ruch produkcyjny na głównym adresie IP sieci WAN.

Przykład 5 — zapewnienie dostępu do Internetu dla tymczasowego segmentu sieci (LAN)
Podczas wydarzenia lub projektu musisz zapewnić dostęp do Internetu grupie urządzeń z dedykowanym zakresem adresów IP:

• Utwórz wirtualny interfejs LAN z podsiecią wydarzenia/projektu.

• Zastosuj określone reguły zapory ogniowej i przepustowości do tej podsieci bez wpływu na główną sieć LAN.