Schade. Aber vielleicht können Sie als Kompromiss implementieren, dass man Zonen schachteln kann, also eine Zone "VPN-ipSec", die dann die Zonen "DSL-WAN" und "Kabel-WAN" enthält. So könnte man Remote-Systemen die per ipSec angebunden sind die Zone "VPN-ipSec" stecken, ohne sich Gedanken zu machen, über welches WAN der ipSec-Tunnel jetzt eigentlich raus geht.

Alternativ vielleicht auch pro Zone mehrere Interfaces zur Auswahl ermöglichen. Danke.

Ich sehe die Argumente gegen ein Zonenkonzept und verstehe, dass man das je nach Umfeld auch anders bewerten kann. Am Ende ist das aus meiner Sicht aber tatsächlich ein Stück weit eine Philosophiefrage.

Für uns überwiegen die Vorteile: klare Struktur, nachvollziehbare Regeln, bessere Trennung von Sicherheitsbereichen und eine einfachere Bewertung, welche Kommunikation zwischen Bereichen erlaubt sein soll. Deshalb werden wir beim Zonenkonzept bleiben und es weiter sauber umsetzen, statt grundsätzlich davon abzuweichen.

Vielleicht übersehe ich etwas. Aber dieses geroutete Netz kann ich doch als Netzwerkobjekt anlegen und dann Paketfilterregeln damit konfigurieren. Die UTM kennt das geroutete Netz ja aus der VPN-Konfiguration und weiß daher, dass Traffic aus diesem Netz auch nur über das VPN rein kommen darf. Hier wieder der Große Vorteil der Abschaffung der Zonen: Bisher muss ich den per VPN-angebundenen Server in die Zone des WAN-Interfaces stecken, über das das VPN läuft. Total hinderlich, wenn ich mal das WAN wechsle, über den das VPN läuft.

Bei Ihrem Konzept fehlt meiner Ansicht nach dann eine Lösung für geroutete Netze, wie z.B. entferne per VPN angebundene Netze. Dies ist im Zonenkonzept mit inbegriffen.

IST-Zustand: Ich muss für jedes Netz 2 Zonen anlegen, eine für das Netz, eine für das Gateway. Und ich muss alle Systeme/Netzwerkobjekte in die Zonen einsortieren.

SOLL-Zustand: Ich richte die Interfaces ein, externe Interfaces markiere ich als extern oder wan. Alle anderen bekommen einen Netzbereich, die UTM eine IP in diesem Netzbereich. Netzwerkobjekte lege ich an mit ihrer IP-Adresse bzw. Netz/Netzbereich und mehr nicht. Die UTM weiß nun, dass Anfragen von einer IP nur dann berechtigt sind, wenn die IP zum Netzbereich passt, der auf dem Interface hinterlegt ist, auf dem die Anfrage rein kommt.

Hallo,

vielen Dank für die Antwort. Leider wird mir der Punkt noch nicht ganz klar.

Können Sie bitte das IST- und das SOLL-Scenario ausführlich beschreiben?

Viele Grüße,
Michel Jockheck

Na die Netze muss ich je Interface/VLAN ja eh angeben, daher ist das Zonenkonzept für mich bisher Mehrarbeit ohne Mehrwert.

Hallo,

vielen Dank für das Formulieren dieses Wunsches.

An welcher Stelle würden Sie sich Arbeitsaufwand sparen durch das Abschaffen des Zonenkonzeptes?

Würde hierdurch nicht nur die Arbeit der Zuweisung der Netze hinzukommen?

Viele Grüße,
Michel Jockheck