Nebula [USGFLEX/ATP/VPN] - Configurazione del routing e del traffic shaping

L'instradamento è una delle caratteristiche più importanti del gateway di sicurezza. Le opzioni di configurazione descritte in questo articolo consentono di impostare il comportamento del traffico che passa attraverso il gateway in base alle proprie esigenze. Questo articolo copre tutte le opzioni di configurazione relative al routing all'interno di Nebula Control Center, tra cui le funzioni di Policy Route, Static Route, Traffic Shaping e WAN Load Balancing. Per accedere a queste opzioni, accedere a Nebula Control Center utilizzando le proprie credenziali all'indirizzo https://nebula.zyxel.com/ e navigare nel seguente menu:

Site-wide > Configure > Firewall > Routing

Criteri di rotta

Per creare una rotta di policy su USG FLEX, è sufficiente fare clic sul pulsante Aggiungi nell'elenco Rotte di policy/Traffic Shaping e compilare i criteri di corrispondenza per identificare il traffico che deve essere interessato da questa regola.

Per gli indirizzi di origine e di destinazione, è possibile utilizzare la parola chiave Qualsiasi per corrispondere a tutto il traffico, l'indirizzo IP di un singolo host, la sottorete in formato CIDR, l'intervallo IP definito dall'intervallo di indirizzi, l'FQDN o il nome del Paese per il GeoIP.

Il servizio può essere TCP, UDP, ICMP o qualsiasi altro protocollo non elencato, se necessario. Il campo della porta per il traffico TCP/UDP accetta valori separati da virgole, un intervallo di porte o una combinazione di entrambi.

Una volta terminata la configurazione dei criteri di corrispondenza per il traffico, occorre impostare l'instradamento del traffico. Assicurarsi che il campo Criteri di instradamento sia selezionato e selezionare il tipo di traffico: se deve essere instradato sull'interfaccia WAN (traffico Internet) o verso un altro gateway della rete locale (traffico Intranet). Nel campo Next-Hop, selezionare il gateway desiderato per il traffico.

Percorso statico

Per creare un record di routing statico su USG FLEX, è sufficiente fare clic sul pulsante Aggiungi nell'elenco Rotte statiche e inserire la subnet di origine. Il campo Tipo di hop successivo consente di selezionare se utilizzare un indirizzo IP statico o l'IP del gateway di interfaccia, che può essere aggiornato automaticamente ogni volta che viene modificato da USG FLEX. Il campo metrica imposta la priorità della regola; una metrica più bassa significa che la rotta ha maggiori probabilità di essere utilizzata.

Modellamento del traffico

Analogamente al routing dei criteri, per creare una regola di traffic shaping sull'USG FLEX è sufficiente fare clic sul pulsante Aggiungi nell'elenco Policy Route/Traffic Shaping e compilare i criteri di corrispondenza per identificare il traffico che deve essere influenzato da questa regola.

Per gli indirizzi di origine e di destinazione, si può usare la parola chiave Qualsiasi per abbinare tutto il traffico, l'indirizzo IP di un singolo host, la sottorete in formato CIDR, l'intervallo IP definito dall'intervallo di indirizzi, l'FQDN o il nome del Paese per il GeoIP.

Il servizio può essere TCP, UDP, ICMP o qualsiasi altro protocollo non elencato, se necessario. Il campo della porta per il traffico TCP/UDP accetta valori separati da virgole, un intervallo di porte o una combinazione di entrambi.

Una volta terminata la configurazione dei criteri di corrispondenza per il traffico, si può attivare l'opzione Traffic Shaping nel modulo e appariranno nuove opzioni. Impostare i limiti di velocità e la priorità a proprio piacimento e fare clic su Crea per salvare la regola.

Bilanciamento del carico WAN

Nell'attuale implementazione, il bilanciamento del carico WAN utilizza l'algoritmo Weighted Round Robin e i rispettivi valori sono calcolati automaticamente in base alla larghezza di banda Downstream e alla larghezza di banda Upstream della rispettiva interfaccia. Per configurare questo valore, modificare la rispettiva interfaccia WAN nel seguente menu:

Side-wide > Configure > Firewall > Interfaces

Nel caso in cui si disponga di un'interfaccia WAN che si desidera utilizzare solo come ultima risorsa di backup, ad esempio a causa di limitazioni del piano dati, è possibile designare tale interfaccia come interfaccia di backup. Con questa impostazione, l'interfaccia non verrà utilizzata, a meno che tutte le altre interfacce WAN non siano disponibili.