Konfigurationsbeispiel ZyWALL USG

Größe: px

Ab Seite anzeigen:

Download "Konfigurationsbeispiel ZyWALL USG"

Pamela Koch
vor 8 Jahren
Abrufe

1 Virtual-LAN und Zonen-Konfiguration mit der ZyXEL USG-Firewall Die VLAN-Funktion vereint die Vorteile von Sicherheit und Performance. VLAN eignet sich zur Isolation des Datenverkehrs verschiedener Benutzergruppen (z. B. Abteilungen), was die Sicherheit erhöht. Dieses Beispiel zeigt, wie man über die Funktion 'Virtual LAN' mit einem ZyXEL Switch (z.b. ES-2108) und einer ZyXEL USG-Firewall einsetzt. Jede Abteilung gehört zu einer eigenen Zone, die Zonen werden über die Firewall Regeln von ZyXEL USG getrennt. Für jedes VLAN wird über die Policy-Route-Konfiguration eine Regel für den Internet Zugang festgelegt. USG lan1 Port1 ES-2108 Port2 Port3 Port4 Lan1 VLAN : /24 Lan2 VLAN: /24 DMZ VLAN: /24 Rot = Netzwerk Traffic wird durch Firewall Regeln blockiert August 2008 / HAL / Seite 1 von 10

Dieses Beispiel zeigt, wie man über die Funktion 'Virtual LAN' mit einem ZyXEL Switch (z.b. ES-2108) und einer ZyXEL USG-Firewall einsetzt.

2 USG-Firewall Konfiguration Mit Add können neue VLANs erstellen werden: Erstes VLAN: Interface Name = vlan101, Zone = LAN1, Base Port = lan1, VLAN ID = 101. Das Interface erhält die IP mit der Subnet-Maske August 2008 / HAL / Seite 2 von 10

Port = lan1, VLAN ID = 101. Das Interface erhält die IP 192.168.

3 Zweites VLAN: Interface Name = vlan102, Zone = LAN2, Base Port = lan1, VLAN ID = 102. Das Interface erhält die IP mit der Subnet-Maske Drittes VLAN: Interface Name = vlan103, Zone = DMZ, Base Port = lan1, VLAN ID = 103. Das Interface erhält die IP mit der Subnet-Maske August 2008 / HAL / Seite 3 von 10

4 Adress-Objekte für die Policy und Firewall Regeln erstellen: August 2008 / HAL / Seite 4 von 10

5 Policy Route: Ein Internet-Zugriff ist ohne entsprechende Policy Routing Regeln nicht möglich (gilt für alle VLAN-Zonen). Hinweis: Über die Option Enable BWM wird das Bandbreitemanagement aktiviert, was eine verbesserte Priorisierung des ausgehenden Datenverkehrs ermöglicht. Regel vlan101: Regel aktivieren (Enable), Bezeichnung festlegen (Description), unter Incoming das Interface vlan101 und als Source Address das Objekt vlan101_netz auswählen. Bei Next-Hope als Type die Option Trunk und als Trunk die Option WAN_TRUNK wählen. SNAT (Source Network Address Translation) auf outgoing-interface umstellen. August 2008 / HAL / Seite 5 von 10

Regel vlan101: Regel aktivieren (Enable), Bezeichnung festlegen (Description), unter Incoming das Interface vlan101 und als Source Address das Objekt

6 Regel vlan102: Regel aktivieren (Enable), Bezeichnung festlegen (Description), unter Incoming das Interface vlan102 und als Source Address das Objekt vlan102_netz auswählen. Bei Next-Hope als Type die Option Trunk und als Trunk die Option WAN_TRUNK wählen. SNAT (Source Network Address Translation) auf outgoing-interface umstellen. August 2008 / HAL / Seite 6 von 10

Bei Next-Hope als Type die Option Trunk und als Trunk die Option WAN_TRUNK wählen.

7 Regel vlan103: Regel aktivieren (Enable), Bezeichnung festlegen (Description), unter Incoming das Interface vlan103 und als Source Address das Objekt vlan103_netz auswählen. Bei Next-Hope als Type die Option Trunk und als Trunk die Option WAN_TRUNK wählen. SNAT (Source Network Address Translation) auf outgoing-interface umstellen. August 2008 / HAL / Seite 7 von 10

8 Über das Menü Firewall wird über Firewall-Regeln der Zugriff zwischen den Zonen festgelegt. Der Datenverkehr von vlan101 zu vlan102 wird mit deny gesperrt (und mit log protokolliert): Der Datenverkehr von vlan101 zu vlan103 wird ebenfalls mit deny gesperrt (und mit log protokolliert): Wichtig: Die allow-regeln (erlaubt) müssen immer vor den deny-regeln (blockiert) stehen, sonst wird die allow-regel von der Firewall ignoriert. Die Reihenfolge nimmt Einfluss auf die Ausführung von Firewallund Policy-Route-Regeln (Top-Down-Konzept). August 2008 / HAL / Seite 8 von 10

ebenfalls mit deny gesperrt (und mit log protokolliert): Wichtig: Die allow-regeln (erlaubt) müssen immer vor den deny-regeln (blockiert)

9 Switch Konfiguration In unserem Konfigurationsbeispiel wird der Port 1 des Switchs an das Interface ge1 (Port1 LAN) der USG- Firewall angeschlossen. VLAN 101: Im Menü VLAN / Static VLAN ein VLAN namens Sales und der Group ID 101 erstellen. Der Port 1 wird auf fixed gesetzt und TX Tagging aktiviert. Der Port 2 für die Zone lan1 wird auf fixed gesetzt, TX Tagging bleibt deaktiviert. Alle anderen Ports auf Forbidden umstellen (kein ausgehender Traffic dieses VLANs erlaubt). VLAN 102: Im Menü VLAN / Static VLAN ein VLAN namens Marketing und der Group ID 102 erstellen. Der Port 1 wird auf fixed gesetzt und TX Tagging aktiviert (VLAN ID an USG-Firewall weitergeben). Der Port 3 für die Zone LAN2 wird auf fixed gesetzt, TX Tagging bleibt deaktiviert. Alle anderen Ports auf Forbidden umstellen (kein ausgehender Traffic dieses VLANs erlaubt). August 2008 / HAL / Seite 9 von 10

Der Port 2 für die Zone lan1 wird auf fixed gesetzt, TX Tagging bleibt deaktiviert. Alle anderen Ports auf Forbidden umstellen (kein ausgehender Traffic dieses VLANs erlaubt).

10 VLAN 103: Im Menü VLAN / Static VLAN ein VLAN namens Technik und der Group ID 103 erstellen. Der Port 1 wird auf fixed gesetzt und TX Tagging aktiviert (VLAN ID an USG-Firewall weitergeben). Der Port 4 für die Zone DMZ wird auf fixed gesetzt, TX Tagging bleibt deaktiviert. Alle anderen Ports auf Forbidden umstellen (kein ausgehender Traffic dieses VLANs erlaubt). Über das Menü VLAN Port Setting werden den Ports die entsprechenden VLAN IDs zugewiesen. Auf Port 2 eingehender Traffic wird mit der PVID 101, Port 3 mit der PVID 102 und Port 4 mit der PVID 103 markiert. Port1 verbleibt auf der PVID 1. August 2008 / HAL / Seite 10 von 10

Der Port 4 für die Zone DMZ wird auf fixed gesetzt, TX Tagging bleibt deaktiviert.

Ähnliche Dokumente

How-to: Webserver NAT. Securepoint Security System Version 2007nx

How-to: Webserver NAT. Securepoint Security System Version 2007nx Securepoint Security System Inhaltsverzeichnis Webserver NAT... 3 1 Konfiguration einer Webserver NAT... 4 1.1 Einrichten von Netzwerkobjekten... 4 1.2 Erstellen von Firewall-Regeln... 6 Seite 2 Webserver