Nebula [USGFLEX/ATP/VPN] - Configuration du routage et de la mise en forme du trafic

Le routage est l'une des fonctions les plus importantes de la passerelle de sécurité. Les options de configuration décrites dans cet article vous permettront de définir le comportement du trafic passant par votre passerelle en fonction de vos besoins. Cet article couvre toutes les options de configuration liées au routage dans Nebula Control Center, ce qui inclut les fonctions Policy Route, Static Route, Traffic Shaping, et WAN Load Balancing. Pour accéder à ces options, veuillez vous connecter à Nebula Control Center en utilisant vos identifiants sur https://nebula.zyxel.com/ et naviguer vers le menu suivant :

Site-wide > Configure > Firewall > Routing

Route Policy

Pour créer une route de politique sur votre USG FLEX, cliquez simplement sur le bouton Ajouter dans la liste Route de politique/Formation du trafic et remplissez les critères de correspondance pour identifier le trafic qui doit être affecté par cette règle.

Pour les adresses source et destination, vous pouvez utiliser le mot-clé Any pour correspondre à l'ensemble du trafic, l'adresse IP d'un seul hôte, le sous-réseau au format CIDR, la plage IP définie par l'intervalle d'adresses, le FQDN ou le nom du pays pour le GeoIP.

Le service peut être TCP, UDP, ICMP ou tout autre protocole non répertorié si nécessaire. Le champ du port pour le trafic TCP/UDP accepte des valeurs séparées par des virgules, un intervalle de ports ou une combinaison des deux.

Lorsque nous avons fini de configurer les critères de correspondance pour notre trafic, nous devons définir où le trafic est censé être acheminé. Assurez-vous que le champ Policy Route est coché et sélectionnez Type of the traffic - s'il est destiné à être acheminé sur l'interface WAN (Internet Traffic) ou vers une autre passerelle au sein du réseau local (Intranet Traffic). Dans le champ Next-Hop, sélectionnez la passerelle souhaitée pour le trafic.

Route statique

Pour créer un enregistrement de routage statique sur votre USG FLEX, il suffit de cliquer sur le bouton Ajouter dans la liste des routes statiques et d'indiquer le sous-réseau source. Le champ Next Hop Type vous permet de choisir entre une adresse IP statique et l'adresse IP de la passerelle d'interface qui peut être mise à jour automatiquement chaque fois qu'elle est modifiée par USG FLEX. Le champ métrique définit la priorité de la règle, une métrique plus faible signifie que la route a plus de chances d'être utilisée.

Mise en forme du trafic

Comme pour l'acheminement des règles, pour créer une règle de mise en forme du trafic sur votre USG FLEX, il suffit de cliquer sur le bouton Ajouter dans la liste des règles d'acheminement/de mise en forme du trafic et de remplir les critères de correspondance pour identifier le trafic qui doit être affecté par cette règle.

Pour les adresses source et destination, vous pouvez utiliser le mot-clé Any pour correspondre à tout le trafic, l'adresse IP d'un seul hôte, le sous-réseau au format CIDR, la plage IP définie par l'intervalle d'adresses, le FQDN ou le nom du pays pour le GeoIP.

Le service peut être TCP, UDP, ICMP ou tout autre protocole non répertorié si nécessaire. Le champ du port pour le trafic TCP/UDP accepte des valeurs séparées par des virgules, un intervalle de ports ou une combinaison des deux.

Lorsque nous avons fini de configurer les critères de correspondance pour notre trafic, nous pouvons activer l'option Traffic Shaping dans le formulaire et de nouvelles options apparaîtront. Définissez les limites de débit et la priorité à votre convenance et cliquez sur Créer pour enregistrer la règle.

Équilibrage de charge WAN

Dans l'implémentation actuelle, l'équilibrage de charge WAN utilise l'algorithme Weighted Round Robin et les valeurs respectives sont calculées automatiquement sur la base des valeurs de bande passante en aval et en amont de l'interface respective. Pour configurer cette valeur, veuillez éditer l'interface WAN concernée dans le menu suivant :

Side-wide > Configure > Firewall > Interfaces

Si vous disposez d'une interface WAN que vous ne souhaitez utiliser qu'en dernier recours en raison de limitations du plan de données, par exemple, vous pouvez désigner cette interface comme interface de secours. Avec ce paramètre, l'interface ne sera pas utilisée, sauf si toutes les autres interfaces WAN sont indisponibles.