Beschreibung:
In einigen Szenarien kann es sinnvoll sein, die LANCOM R&S®Unified Firewall zwecks Redundanz über zwei Ethernet-Interfaces an zwei Switches anzubinden. Dabei ist immer nur eine der Verbindungen aktiv. Kommt es zu einem Ausfall der aktuell verwendeten Verbindung, erfolgt ein Wechsel auf die andere Verbindung.
In diesem Artikel wird beschrieben, wie ein Netzwerk auf einer LANCOM R&S®Unified Firewall redundant über zwei Ethernet-Interfaces angebunden werden kann.
Voraussetzungen:
- LCOS FX ab Version 10.7 (download aktuelle Version)
- Web-Browser zur Konfiguration der Unified Firewalls
Es werden folgende Browser unterstützt:- Google Chrome
- Chromium
- Mozilla Firefox
Szenario:
- Auf einer Unified Firewall soll das Netzwerk 192.168.10.0/24 eingerichtet und über die Ports eth2 und eth3 redundant angebunden werden.
- Die beiden Switches sind miteinander verbunden.
Vorgehensweise:
Die redundante Anbindung kann entweder über eine Bridge mittels Spanning Tree erfolgen (Abschnitt 1) oder per Gebündeltem Interface (Abschnitt 2). Die Vorbereitenden Schritte müssen in beiden Fällen im Vorfeld durchgeführt werden.
Vorbereitende Schritte:
Verbinden Sie sich per Webinterface mit der Unified Firewall, wechseln in das Menü Netzwerk → Verbindungen → Netzwerk-Verbindungen und löschen über das "Mülltonnen-Symbol" zwei nicht verwendete Netzwerke, damit diese für die Bridge (Abschnitt 1) bzw. das Gebündelte Interface (Abschnitt 2) zur Verfügung stehen.
1. Erstellen eines redundant angebundenen Netzwerks mittels einer Bridge:
Diese Vorgehensweise funktioniert nicht in Verbindung mit VLAN, da dazu MSTP benötigt wird. MSTP wird in LCOS FX aber nicht unterstützt. Wird VLAN benötigt, muss zwingend die in Abschnitt 2 beschriebene Vorgehensweise mit einem Gebündelten Interface gewählt werden.
1.1 Wechseln Sie in das Menü Netzwerk → Interfaces → Bridge Interfaces und klicken auf das "Plus-Zeichen", um ein Bridge Interface zu erstellen.
1.2 Tragen Sie zwei freie Ports ein (siehe Vorbereitende Schritte), aktivieren das Spanning Tree Protocol und klicken auf Erstellen.
1.3 Wechseln Sie in das Menü Netzwerk → Verbindungen → Netzwerk-Verbindungen und klicken auf das "Plus-Zeichen", um der in Schritt 1.2 erstellten Bridge eine IP-Adresse zuzuweisen.
1.4 Passen Sie die folgenden Parameter an und klicken auf Erstellen:
- Name: Vergeben Sie einen aussagekräftigen Namen (in diesem Beispiel Redundantes-Netzwerk).
- Interface: Wählen Sie im Dropdown-Menü die in Schritt 1.2 erstellte Bridge aus (in diesem Beispiel br0).
- IP-Adressen: Tragen Sie eine IP-Adresse in CIDR-Schreibweise ein (Classless Inter Domain Routing), welche das Netzwerk haben soll (in diesem Beispiel 192.168.10.254/24).
1.5 Klicken Sie auf das Symbol zum Erstellen eines Netzwerks, um ein Netzwerk-Objekt zu erstellen.
1.6 Passen Sie die folgenden Parameter an und klicken auf Erstellen:
- Name: Vergeben Sie einen aussagekräftigen Namen (in diesem Beispiel Redundantes-Netzwerk).
- Interface: Wählen Sie im Dropdown-Menü die in Schritt 1.2 erstellte Bridge aus (in diesem Beispiel br0).
- Netzwerk-IP: Tragen Sie die Netz-Adresse der in Schritt 1.4 hinterlegten IP-Adresse in CIDR-Schreibweise ein (in diesem Beispiel die 192.168.10.0/24).
Anschließend können Sie für dieses Netzwerk über den Paket-Filter Firewall-Regeln erstellen, welche den Zugriff in andere Netzwerke sowie zum Internet erlauben. Die Vorgehensweise ist in dem folgenden Knowledge Base Artikel beschrieben:
LANCOM R&S®Unified Firewall: Konfiguration des Paket-Filters
1.7 Klicken Sie abschließend auf Aktivieren, damit die Änderungen umgesetzt werden.
Anschließend muss Spanning Tree noch auf den angeschlossenen Switches konfiguriert werden. Die Vorgehensweise für die unterschiedlichen LANCOM Switch-Modelle ist in den folgenden Knowledge Base Artikeln beschrieben:
Konfiguration von RSTP auf einem Switch der GS-23xx Serie
Konfiguration von RSTP auf einem Switch der GS-3xxx Serie (LCOS SX 4.00)
Konfiguration von RSTP auf einem Switch mit LCOS SX 5.xx
Sollten Sie Switches eines anderen Herstellers verwenden, konsultieren Sie bitte die entsprechende Dokumentation bzw. wenden sich an den jeweiligen Hersteller.
2. Erstellen eines redundant angebundenen Netzwerks mittels eines Gebündelten Interfaces (Bond):
2.1 Wechseln Sie in das Menü Netzwerk → Interfaces → Gebündelte Interfaces und klicken auf das "Plus-Zeichen", um ein Gebündeltes Interface zu erstellen.
2.2 Passen Sie die folgenden Parameter an und klicken auf Erstellen:
- Modus: Wählen Sie im Dropdown-Menü die Option Active-Backup (Bridge) aus. Damit werden Daten über das erste Interface in der Liste übertragen. Fällt dieses aus, erfolgt ein Wechsel auf das nächste Interface in der Liste. Ist das ursprüngliche Interface wieder verfügbar, verbleibt die Verbindung weiterhin auf dem Interface, welches die Kommunikation übernommen hat.
- Ports: Tragen Sie zwei freie Ports ein (siehe Vorbereitende Schritte).
2.3 Wechseln Sie in das Menü Interfaces → VLAN-Interfaces und klicken auf das "Plus-Zeichen", um dem Gebündelten Interface ein VLAN zuzuweisen.
2.4 Wählen Sie bei Haupt-Interface das in Schritt 2.2 erstellte Gebündelte Interface aus, tragen das gewünschte VLAN-Tag ein und klicken auf Erstellen.
Wiederholen Sie diesen Schritt für weitere VLANs, falls erforderlich.
2.5 Wechseln Sie in das Menü Netzwerk → Verbindungen → Netzwerk-Verbindungen und klicken auf das "Plus-Zeichen", um dem in Schritt 2.2 erstellten Gebündelten Interface eine IP-Adresse zuzuweisen.
2.6 Passen Sie die folgenden Parameter an und klicken auf Erstellen:
- Name: Vergeben Sie einen aussagekräftigen Namen (in diesem Beispiel Redundantes-Netzwerk).
- Interface: Wählen Sie im Dropdown-Menü das in Schritt 2.2 erstellte Gebündelte Interface aus (in diesem Beispiel bond0).
- IP-Adressen: Tragen Sie eine IP-Adresse in CIDR-Schreibweise ein, welche das Netzwerk haben soll (in diesem Beispiel 192.168.10.254/24).
2.7 Klicken Sie auf das Symbol zum Erstellen eines Netzwerks, um ein Netzwerk-Objekt zu erstellen.
2.8 Passen Sie die folgenden Parameter an und klicken auf Erstellen:
- Name: Vergeben Sie einen aussagekräftigen Namen (in diesem Beispiel Redundantes-Netzwerk).
- Interface: Wählen Sie im Dropdown-Menü das in Schritt 2.2 erstellte Gebündelte Interface aus (in diesem Beispiel bond0).
- Netzwerk-IP: Tragen Sie die Netz-Adresse der in Schritt 2.6 hinterlegten IP-Adresse in CIDR-Schreibweise ein (in diesem Beispiel die 192.168.10.0/24).
Anschließend können Sie über den Paket-Filter für dieses Netzwerk Firewall-Regeln erstellen, welche den Zugriff in andere Netzwerke sowie zum Internet erlauben. Die Vorgehensweise ist in dem folgenden Knowledge Base Artikel beschrieben:
LANCOM R&S®Unified Firewall: Konfiguration des Paket-Filters
2.9 Klicken Sie abschließend auf Aktivieren, damit die Änderungen umgesetzt werden.
