Seria USG FLEX / ATP / VPN: korzystanie z wirtualnych interfejsów

W tym artykule chcielibyśmy zwrócić uwagę na częstą błędną konfigurację lub nieporozumienia klientów dotyczące wirtualnych interfejsów .

1. Niewłaściwa konfiguracja

2. Korzystanie z dodatkowych publicznych adresów IP

3. Kiedy właściwie używać wirtualnych interfejsów?

1. Niewłaściwa konfiguracja

Wielu klientów uważa, że konieczne jest skonfigurowanie wirtualnego interfejsu WAN dla każdego publicznego adresu IP przypisanego im przez dostawcę usług internetowych.

Nie ma potrzeby tworzenia wirtualnego interfejsu, aby używać go w fazie 1 IPSec VPN (brama IPsec) lub w regułach NAT/przekierowania portów.

Jeśli skonfigurujesz wirtualny interfejs, aby używał go w regule NAT lub w IPsec Gateway w ten sposób:

Zrobiłeś to źle!

2. Korzystanie z dodatkowych publicznych adresów IP

Wyobraźmy sobie, że masz publiczną podsieć 212.13.45.6/29, co oznacza, że masz 6 publicznych adresów IP, z których możesz swobodnie korzystać.

Korzystanie z pożądanego publicznego adresu IP w sieci IPsec VPN Faza 1

Zamiast korzystać z opcji „Interfejs”, użyj „Nazwa domeny / IPv4” i wpisz IP:

Aby użyć żądanego publicznego adresu IP w regułach NAT, użyj NAT 1:1: Kliknij tutaj, aby zapoznać się z przewodnikiem

Jeśli używasz modułu równoważenia obciążenia NAT (zapory ogniowe z oprogramowaniem układowym 5.x i nowszym), w rzeczywistości nie ma możliwości dokonania błędnej konfiguracji i użycia wirtualnego interfejsu WAN, ponieważ moduł równoważenia obciążenia prosi o wpisanie publicznych adresów IP. Ponadto wirtualnego interfejsu WAN nie można nawet wybrać w menu rozwijanym interfejsu:

3. Kiedy właściwie używać wirtualnych interfejsów?

Przyjrzyjmy się teraz dwóm możliwym scenariuszom, w których użycie wirtualnych interfejsów ma sens.

rzeczywisty przypadek użycia wirtualnego interfejsu LAN - jednym ze scenariuszy jest superzakres lub starsze urządzenia, w których nie można zmienić konfiguracji IP i bramy

Z jakiegoś powodu możesz mieć w swojej sieci urządzenia z różnymi zakresami adresów IP poza skonfigurowaną podsiecią interfejsu LAN zapory. Dwa powody mogą być:

• Superzakres DHCP
• Stare urządzenia w Twojej sieci, które mają inną konfigurację bramy / IP i nie znasz danych logowania, aby to zmienić

Jest to słuszny powód do korzystania z interfejsów wirtualnych. Po prostu utwórz nowy wirtualny interfejs LAN z potrzebną konfiguracją IP, wybierając kolejno Sieć > Interfejs > Ethernet:

Pamiętaj jednak, że lepiej jest używać sieci VLAN do oddzielenia domen rozgłoszeniowych!

ZASTRZEŻENIE:

Drogi Kliencie, pamiętaj, że używamy tłumaczenia maszynowego, aby dostarczać artykuły w Twoim lokalnym języku. Nie każdy tekst może zostać przetłumaczony dokładnie. W przypadku pytań lub rozbieżności co do dokładności informacji w przetłumaczonej wersji zapoznaj się z oryginalnym artykułem tutaj: Wersja oryginalna