LAN & WAN-Setup. ZyXEL USG Firewall-Serie ab Firmware Version Knowledge Base KB-3509 September Studerus AG

Transkript

1 LAN & WAN-Setup ZyXEL USG Firewall-Serie ab Firmware Version 4.10 Knowledge Base KB-3509 September 2014 Studerus AG

2 LAN & WAN-SETUP Je nach USG-Modell können die Netzwerk-Zonen und Anschlüsse variieren. Die USG110 stellt auf den Ports P1 und P2 die WAN-Konnektivität und auf den Ports P4 bis P7 die LAN-Zonen bereit. P3 lässt sich nach Bedarf der WAN- oder der LAN-Zone zuweisen. WAN OPT LAN Zugriff auf das WebGUI Die Ports P4, P5 und P6 sind in der Grundkonfiguration der LAN1-Zone mit der IP-Adresse zugeordnet. Ein DHCP-Server liefert einem angeschlossenen Rechner eine IP-Adresse aus dem entsprechenden Subnetz /24. Der Zugriff auf das WebGUI erfolgt über die Eingabe der IP-Adresse in die Adresszeile des Browsers. Der Benutzername und das Passwort für das Administrator-Konto lauten admin und LAN & WAN-Setup 2 KB-3509 / SRU

3 Netzwerk-Grundeinstellungen Zu den wichtigsten Netzwerk-Grundeinstellungen bei der Inbetriebnahme einer USG gehören: Lokales Subnetz, IP und Subnetzmaske DHCP-Range zur automatischen IP-Adressvergabe an die Clients DNS-Server, welcher per DHCP den Clients zur Namensauflösung mitgeteilt wird DNS-Server, welcher der USG zur Namensauflösung bereit steht Zeitserver für die Synchronisierung der Zeit LAN-Setup Das Subnetz bestimmt den lokalen IP-Adressraum. Alle IP-Adressen innerhalb dieses Subnetzes können direkt zueinander kommunizieren. IP-Adressen ausserhalb dieses Subnetzes lassen sich nur geroutet über die USG erreichen. Damit sich Subnetze per VPN verbinden lassen, müssen diese zwingend einmalig sein. Es ist daher immer von Vorteil, bei der Planung oder beim Einrichten eines Netzwerkes auf ein neues, noch nicht verwendetes Subnetz aufzubauen. IP-Konflikte mit versehentlich eingebrachten, sich in der Grundkonfiguration ( !) befindlichen Netzwerkkomponenten lassen sich so ebenfalls vermeiden. Übersicht über die per Default eingerichteten IP-Adressen: Configuration > Network > Interface > Ethernet LAN & WAN-Setup 3 KB-3509 / SRU

4 Einrichten des lokalen Subnetzes lan1: Configuration > Network > Interface > Ethernet > lan1 > Edit Die IP-Adresse, über welche die Firewall erreichbar ist. Wird per DHCP den Clients als Gateway mitgeteilt. Die Subnetzmaske bestimmt den Umfang des lokalen Netzes. Startadresse und Grösse des DHCP-Bereichs. DNS-Adresse, welche per DHCP dem Client als DNS-Server mitgeteilt wird. Mit der Einstellung "ZyWALL" vergibt die Firewall ihre eigene IP-Adresse und kann so DNS-Anfragen bearbeiten. Statische DHCP-Einträge weisen bestimmten Rechnern anhand der MAC immer die gleiche IP- Adresse zu. LAN & WAN-Setup 4 KB-3509 / SRU

5 Mit dem Wechsel der IP-Adresse auf der USG verliert der Browser seine Verbindung. Der Rechner verfügt noch über eine IP-Adresse, welche nicht mehr im Adressraum der USG liegt. Nach dem Erneuern der IP-Adresse erfolgt der Zugriff auf die USG über die neue IP-Adresse. LAN & WAN-Setup 5 KB-3509 / SRU

6 WAN Setup 1: IP over Ethernet, DHCP Je nach Provider und Anschlussart erfolgt die Zuweisung der WAN-IP-Adresse per DHCP oder per PPPoE. Die USG nutzt in den Standardeinstellungen DHCP, so dass beispielsweise an einem Kabelmodem-Zugang mit automatischer IP-Zuweisung der Internet-Zugriff ohne weitere Einstellungen funktioniert. Configuration > Network > Interface > Ethernet > wan1 > Edit WAN Setup 2: IP over Ethernet, fixe IP-Adresse Wann immer möglich, sollte der automatische Bezug einer IP-Adresse bevorzugt werden. Viele Provider können auch fixe IP-Adressen automatisch zuweisen. Muss die Zuweisung der Adresse ausdrücklich manuell erfolgen, steht die Option Use Fixed IP Address zur Verfügung. Bei einem öffentlichen IP-Block wird nur eine der nutzbaren IP-Adressen direkt einem Interface zugewiesen. Configuration > Network > Interface > Ethernet > wan1 > Edit LAN & WAN-Setup 6 KB-3509 / SRU

7 WAN Setup 3: PPPoE Baut die Verbindung ins Internet auf PPPoE, stellt der Provider einen PPPoE-Benutzernamen und ein PPPoE-Passwort bereit. Diese Angaben werden in einem vordefinierten ISP-Objekt gespeichert. Configuration > Object > ISP Account Für die PPPoE-Verbindung auf WAN1 editieren wir das Objekt WAN1_PPPOE_ACCOUNT und ergänzen Benutzername und Passwort mit den Angaben des Providers. Ohne anderslautende Anweisungen des Providers sollte das Feld Service Name leergelassen werden. Die Option Idle timeout bestimmt die Zeitdauer, bis eine PPPoE-Verbindung ohne aktive Datenübertragung seitens USG beendet und erst bei Bedarf wieder aufgebaut wird. 0 bedeutet, dass die USG die Verbindung nicht von sich aus abbaut. Eine seitens Provider beendete Verbindung wird aber auch nicht mehr automatisch hergestellt, dafür steht die Option Nailed Up in der folgenden Konfiguration des PPPoE-Kontos bereit. LAN & WAN-Setup 7 KB-3509 / SRU

8 Configuration > Network > Interface > PPP führt die vordefinierten PPPoE-Interface-Objekte auf: Configuration > Network > Interface > PPP > System Default > wan1_ppp > Edit PPPoE-Interface aktivieren. Nailed-Up sorgt dafür, dass nach einer Trennung die PPPoE- Verbindung gleich wieder aufgebaut wird. Wichtig, wenn Ressourcen aus dem lokalen Netz erreichbar sein sollen oder VPN-Verbindungen auf der USG terminiert werden. Das Account-Profil entspricht dem Objekt mit dem PPPoE-Usernamen und Passwort. Der PPPoE- Benutzername wird zur Kontrolle aufgeführt. PPPoE weist auch fixe IP- Adresse automatisch zu. LAN & WAN-Setup 8 KB-3509 / SRU

9 DNS-Server Die im Abschnitt LAN-Einstellungen unter DHCP festgelegten DNS-Angaben bestimmen lediglich, welche DNS-Server dem Client zur Nutzung mitgeteilt werden. Für eigene Namensauflösungen und für die von Clients gestellten Anfragen muss auch die USG auf einen DNS-Server zugreifen können. Bei automatischem Bezug einer WAN-IP bekommt die USG normalerweise vom Provider die entsprechenden Angaben. Die Übersicht Domain Zone Forwarder im Menü Configuration > System > DNS führt alle von der USG genutzten, dynamisch vom Provider zugewiesenen oder manuell erfassten DNS-Server auf: Im obigen Beispiel werden Anfragen an die USG, welche sich auf die eigene Domäne mydomain.ch beziehen, an den lokalen DNS-Server mit der IP weitergereicht. Alle anderen Anfragen löst die USG über den benutzerdefinierten und den vom Provider zugewiesenen DNS-Server auf. Mindestens ein DNS-Server sollte festgelegt sein. Ohne eigene Definition kann die USG zwar einige intern festgelegte Server nutzen, jedoch ist das Verhalten so nicht wirklich klar definiert. LAN & WAN-Setup 9 KB-3509 / SRU

10 Zeit-Server, NTP Eine korrekte Zeit ist wichtig, da diese für diverse Funktionen miteinbezogen wird. Verschlüsselte oder zertifikatsgesicherte Verbindungen lehnen den Aufbau ohne Übereinstimmung der Zeit möglicherweise ab. Der Zeitpunkt von Ereignissen in Logfiles lässt sich nur schwer nachvollziehen. Configuration > System > Date/Time Die erfolgreiche Zeitaktualisierung wird im Log mit "NTP update has succeeded..." vermerkt. Eine einwandfrei funktionierende Zeit-Synchronisierung bestätigt die korrekte und vollständige Konfiguration des Internet-Zuganges der USG. LAN & WAN-Setup 10 KB-3509 / SRU