Konfiguration von Traffic-Shaping auf einer LANCOM R&S®Unified Firewall

Beschreibung:

In diesem Artikel wird beschrieben, wie Traffic-Shaping auf einer LANCOM R&S®Unified Firewall konfiguriert wird.

Voraussetzungen:

• LANCOM R&S® Unified Firewall mit LCOS FX ab Version 10.10 Rel
  
• Bereits eingerichtetes und funktionsfähiges Netzwerk samt Internet-Verbindung auf der Unified Firewall
• Web-Browser zur Konfiguration der Unified Firewalls
  
  Es werden folgende Browser unterstützt:
  
  • Google Chrome
  • Chromium
  • Mozilla Firefox

Vorgehensweise:

1. Erstellen einer Traffic-Gruppe (erforderlich):

1.1 Verbinden Sie sich mit dem Webinterface der Unified Firewall, wechseln in das Menü Netzwerk → Traffic-Shaping → Traffic-Gruppen und klicken auf das "Plus-Zeichen", um eine neue Traffic-Gruppe zu erstellen.

1.2 Passen Sie die folgenden Parameter an, um eine Gruppe für VoIP-Datenverkehr anzulegen und klicken auf Erstellen:

• Name: Vergeben Sie einen aussagekräftigen Namen für die Gruppe (in diesem Beispiel VoIP).
• DSCP eingehend: Wählen Sie einen passenden DSCP-Wert für die Gruppe aus (in diesem Beispiel wird für VoIP das Flag EF (Telephony) verwendet).

2. Traffic-Shaping für eine Internet-Verbindung (erforderlich):

2.1 Wechseln Sie in das Menü Netzwerk → Traffic-Shaping → Shaping-Konfigurationen.

2.2 Passen Sie die folgenden Parameter an:

• Interface: Wählen Sie im Dropdownmenü das Interface aus, an dem die Internet-Verbindung angebunden ist.
• Maximale Download-Bandbreite: Geben Sie die maximale Download-Bandbreite der Internet-Verbindung an (in diesem Beispiel 100 MBit/s).
• Maximale Upload-Bandbreite: Geben Sie die maximale Upload-Bandbreite der Internet-Verbindung an (in diesem Beispiel 40 MBit/s).

2.3 Passen Sie für den eingehenden Datenverkehr die folgenden Parameter bei Eingehende Regeln an.  Klicken Sie anschließend auf das "Plus-Zeichen", um diese zu übernehmen.

• Traffic-Gruppe: Wählen Sie im Dropdown-Menü die in Schritt 1. erstellte Traffic-Gruppe aus (in diesem Beispiel VoIP).
• Priorität: Wählen Sie im Dropdown-Menü eine Priorität zwischen 1 und 7 aus, wobei 1 die höchste und 7 die niedrigste Priorität darstellt. Datenverkehr, der keiner der Regeln entspricht, hat die niedrigste Priorität und es wird keine Bandbreite garantiert.
• Garantierte Bandbreite: Tragen Sie die garantierte Bandbreite für eingehenden Datenverkehr (Download) ein. Diese wird auf der ausgewählten Verbindung reserviert und steht nicht mehr anderweitig zur Verfügung.
• Maximale Bandbreite: Tragen Sie die maximale Bandbreite für eingehenden Datenverkehr (Download) ein. Wird diese Bandbreite überschritten, verwirft die Unified Firewall diese Pakete.

2.4 Passen Sie für den ausgehenden Datenverkehr die folgenden Parameter bei Ausgehende Regeln an und klicken auf das "Plus-Zeichen", um diese zu übernehmen:

• Traffic-Gruppe: Wählen Sie im Dropdown-Menü die in Schritt 1. erstellte Traffic-Gruppe aus (in diesem Beispiel VoIP).
• Priorität: Wählen Sie im Dropdown-Menü eine Priorität zwischen 1 und 7 aus, wobei 1 die höchste und 7 die niedrigste Priorität darstellt. Datenverkehr, der keiner der Regeln entspricht, hat die niedrigste Priorität und es wird keine Bandbreite garantiert.
• Garantierte Bandbreite: Tragen Sie die garantierte Bandbreite für ausgehenden Datenverkehr (Upload) ein. Diese wird auf der ausgewählten Verbindung reserviert und steht nicht mehr anderweitig zur Verfügung.
• Maximale Bandbreite: Tragen Sie die maximale Bandbreite für ausgehenden Datenverkehr (Upload) ein. Wird diese Bandbreite überschritten, verwirft die Unified Firewall diese Pakete.

2.5 Klicken Sie abschließend auf Erstellen.

3. Traffic-Shaping für Firewall-Regeln (optional):

Klicken Sie auf dem Desktop auf das Netzwerk-Objekt, wählen das Verbindungs-Werkzeug aus und klicken auf das Internet-Objekt, um die Firewall-Regeln zu öffnen.

3.1 Traffic-Shaping für die gesamte Firewall-Regel:

Optional kann über das Traffic-Shaping ausgehenden Paketen für den Datenverkehr aller in der Firewall-Regel enthaltenen Protokolle oder Dienste ein bestimmter DSCP-Wert zugewiesen werden (der vorhandene DSCP-Wert wird dabei überschrieben). Dies ist allerdings nur sinnvoll, wenn es sich um ähnlich gearteten Datenverkehr handelt und dieser von der Zuweisung des DSCP-Flags profitiert (etwa bei Firewall-Regeln einer dedizierten Internet-Verbindung für VoIP-Datenverkehr).

3.1.1 Wechseln Sie in den Reiter Traffic-Shaping, passen die folgenden Parameter an und klicken auf Speichern:

• Traffic-Gruppe: Wählen im Dropdown-Menü Sie die in Schritt 1. erstellte Traffic-Gruppe aus (in diesem Beispiel VoIP).
• DSCP ausgehend: Wählen Sie im Dropdown-Menü den gewünschten DSCP-Wert aus, welcher ausgehenden Paketen zugewiesen werden soll (in diesem Beispiel EF (Telephony)).

3.2 Traffic-Shaping für einzelne Protokolle:

Optional kann über das Traffic-Shaping ausgehenden Paketen für den Datenverkehr eines bestimmten Protokolls oder Dienstes ein bestimmter DSCP-Wert zugewiesen werden (der vorhandene DSCP-Wert wird dabei überschrieben). Die restlichen Protokolle bleiben unberührt und verwenden das bereits vorhandene DSCP-Flag.

3.2.1 Klicken Sie bei dem gewünschten Protokoll (in diesem Beispiel der benutzerdefinierte Dienst SIP) unter Optionen auf NAT, um in die erweiterten Einstellungen zu gelangen.

3.2.2 Wechseln Sie in den Reiter Traffic-Shaping, wählen die Option Servicespezifische Einstellungen verwenden aus und passen die folgenden Parameter an. Klicken Sie anschließend auf OK:

• Traffic-Gruppe: Wählen im Dropdown-Menü Sie die in Schritt 1. erstellte Traffic-Gruppe aus (in diesem Beispiel VoIP).
• DSCP ausgehend: Wählen Sie im Dropdown-Menü den gewünschten DSCP-Wert aus, welcher ausgehenden Paketen zugewiesen werden soll (in diesem Beispiel EF (Telephony)).

3.2.3 Klicken Sie abschließend auf Speichern.

3.3 Aktivieren der Konfigurations-Änderungen:

Klicken Sie auf Aktivieren, damit die vorgenommenen Änderungen übernommen werden.

4. Traffic-Shaping für einen IPSec-Tunnel (optional):

Optional kann über das Traffic-Shaping ausgehenden Paketen für den Datenverkehr des IPSec-Tunnels ein bestimmter DSCP-Wert zugewiesen werden (der vorhandene DSCP-Wert wird dabei überschrieben). Dadurch wird allerdings nur der IPSec-Tunnel als Ganzes beeinflusst, nicht aber der Datenverkehr einzelner Protokolle innerhalb des IPSec-Tunnels. Dies ist allerdings nur sinnvoll, wenn innerhalb des IPSec-Tunnels ähnlich gearteter Datenverkehr übertragen wird und dieser von der Zuweisung des DSCP-Flags profitiert.

4.1 Wechseln Sie in das Menü VPN → IPSec → Verbindungen und klicken bei der gewünschten Verbindung auf das Bleistift-Symbol, um die Verbindung zu editieren.

4.2 Wechseln Sie in den Reiter Traffic-Shaping, passen die folgenden Parameter an und klicken auf Speichern:

• Traffic-Gruppe: Wählen im Dropdown-Menü Sie die in Schritt 1. erstellte Traffic-Gruppe aus (in diesem Beispiel VoIP).
• DSCP ausgehend: Wählen Sie im Dropdown-Menü den gewünschten DSCP-Wert aus, welcher ausgehenden Paketen zugewiesen werden soll (in diesem Beispiel EF (Telephony)).

5. Traffic-Shaping unter Verwendung von Application-Management (optional):

Optional kann über das Traffic-Shaping ausgehenden Paketen unter Verwendung des Application-Managements ein bestimmter DSCP-Wert zugewiesen werden. 

5.1 Wechseln Sie in das Menü UTM → Application-Management → Routing-Profile und klicken auf das gewünschte Routing-Profil, um diese zu editieren.

5.2 Passen Sie die folgenden Parameter an und klicken auf Speichern:

• Traffic-Gruppe: Wählen im Dropdown-Menü Sie die in Schritt 1. erstellte Traffic-Gruppe aus (in diesem Beispiel VoIP).
• DSCP ausgehend: Wählen Sie im Dropdown-Menü den gewünschten DSCP-Wert aus, welcher ausgehenden Paketen zugewiesen werden soll (in diesem Beispiel EF (Telephony)).