Zyxel Firewall - Konfigurieren der IP-Ausnahme zur Umgehung der Sicherheitsdienste auf Nebula

Nebula Control Center bietet eine IP-Ausnahmefunktion, die es bestimmten Hosts ermöglicht, die Sicherheitsdienste zu umgehen. Dies ist nützlich, wenn Sie vertrauenswürdige Clients oder Server haben, die nicht bei jedem Zugriff auf das Internet von Content Filter, Anti-Malware oder anderen Sicherheitsfunktionen überprüft werden sollen. Sie erstellen IP-Ausnahmeprofile auf der Seite Sicherheitsdienst in Nebula und wenden sie auf die Firewall-Konfiguration an.

Liste der unterstützten Modelle (Nebula-managed):

• ATP-Reihe

• USG FLEX-Reihe

• USG FLEX H-Reihe

So funktioniert IP Exception

Wenn der Datenverkehr einem konfigurierten IP-Ausnahmeeintrag entspricht (basierend auf Quell- und Ziel-IP), überspringt die Firewall die ausgewählten Sicherheitsdienste für diesen Datenverkehr. Die Firewall-Regeln entscheiden nach wie vor, ob die Sitzung zugelassen oder verweigert wird, aber die Sicherheitsinspektion für den übereinstimmenden Datenverkehr wird umgangen, was die Leistung für bekanntermaßen gute Hosts verbessert.

Typische Anwendungen:

• Erlauben eines vertrauenswürdigen internen Hosts den Zugriff auf das Internet ohne Inhaltsfilterprüfung.

• Erlaubt dem Datenverkehr zu einem bestimmten externen Server, ausgewählte Sicherheitsdienste zu umgehen.

Konfigurationsschritte auf Nebula

1. Melden Sie sich im Nebula Control Center an und wählen Sie Ihren Standort aus.

2. Navigieren Sie zu Konfigurieren → Firewall → Sicherheitsdienst.

3. Klicken Sie im Abschnitt IP-Ausnahme auf +Hinzufügen, um ein neues Profil zu erstellen.

4. Füllen Sie die Felder aus:

   • Quell-IP - die Client-IP-Adresse oder der Bereich, der die Sicherheitsdienste umgehen soll.

   • Ziel-IP - die Server-IP-Adresse oder der Bereich, der ausgenommen werden soll (oder eine beliebige, wenn Sie alle Ziele ausnehmen möchten).

   • Beschreibung - eine klare Beschreibung, zum Beispiel: Umgehung für 192.168.8.33.

     Klicken Sie auf Speichern / Anwenden, damit das Profil an die von Nebula verwaltete Firewall übertragen wird.

Erlauben Sie einem LAN-Host, den Inhaltsfilter zu umgehen

Dieses Beispiel zeigt, wie IP Exception in einem realen Szenario funktioniert.

Szenario

• Eine Sicherheitsrichtlinie mit Inhaltsfilter ist so konfiguriert, dass das Subnetz 192.168.8.0/24 für den Besuch von Suchmaschinen wie www.google.com gesperrt wird..

• Ein bestimmter Host in diesem Subnetz mit der IP-Adresse 192.168.8.33 soll auf diese Websites zugreifen können, ohne gesperrt zu werden.

Schritt 1 - Inhaltsfilter-Richtlinie

Eine Firewall-Richtlinie ist bereits so konfiguriert, dass Benutzer im Bereich 192.168.8.0/24 nicht auf Suchmaschinen-Websites zugreifen können. Wenn ein Host in diesem Bereich versucht, www.google.com zu besuchen.zu besuchen, wird die Verbindung vom Inhaltsfilter blockiert.

Schritt 2 - Erstellen des IP-Ausnahmeprofils

1. Gehen Sie in Nebula zu Konfigurieren → Firewall → Sicherheitsdienst → IP-Ausnahme.

2. Klicken Sie auf +Hinzufügen und konfigurieren Sie:

   • Quell-IP: 192.168.8.33

   • Ziel-IP: die von den gesperrten Websites verwendete IP bzw. der IP-Bereich (oder eine beliebige IP, je nach Ihrem Design).

   • Beschreibung: Host 192.168.8.33 umgeht den Inhaltsfilter.

3. Speichern Sie das Profil und wenden Sie es an, damit es an die Firewall weitergeleitet wird.

Ergebnis

• Der Host 192.168.8.33 darf nun Sicherheitsdienste wie den Inhaltsfilter umgehen.

• Dieser Host kann www.google.com normal durchsuchen, während andere Clients in 192.168.8.0/24 weiterhin durch die bestehende Inhaltsfilterrichtlinie blockiert werden.

Bewährte Praktiken

• Verwenden Sie IP Exception nur für vertrauenswürdige Hosts oder Ziele (z. B. interne Server oder PCs von Administratoren).

• Halten Sie die Beschreibungen klar und deutlich (einschließlich IP und Zweck), so dass es einfach ist, Ausnahmen später zu überprüfen.

• Überprüfen Sie IP Exception-Einträge regelmäßig, um sicherzustellen, dass sie noch benötigt werden.

Indem Sie IP Exception in Nebula wie oben gezeigt konfigurieren, können Sie das Gleichgewicht zwischen Sicherheit und Leistung Ihrer ATP / USG FLEX / USG FLEX H Firewalls fein abstimmen.