Feintuning

Außer diesen Grundeinstellungen, die für die meisten Ansprüche ausreichen sollten, kann die IDP 10 unterschiedlichen Netzwerkstrukturen angepasst und für diese auch gewartet werden. Zunächst erhöhten wir im Menü System/General im Reiter Device den Timeout für die Inaktivität bei der Administration, weil für uns fünf Minuten zu kurz waren und wir uns daher immer aufs Neue wieder einloggen mussten. Da diese Einstellung für alle Ports gilt, wählen wir den Wert nicht zu hoch und verzichteten auf die Deaktivierung mit einer "0". Mit dem Wert "0" ist ein hohes Sicherheitsrisiko verbunden, vor allem dann, wenn der Zugriff auf die Management-Funktionen via Internet erlaubt ist.

Werden in einem physikalischen Netz VLANs (Virtual Local Area Network), also virtuell getrennte Netze, betrieben, so kann die IDP 10 entsprechend konfiguriert werden. Befindet sich beispielsweise der Management-PC oder Mail-Server in einem virtuellen Netz, so muss die TAG-Funktion aktiviert und die VLAN-ID eingetragen werden. Nur dann können sie mit der IDP 10 kommunizieren. Wichtig ist dabei, dass sich die betreffenden Rechner im selben Netz wie die IDP 10 befinden, denn es kann nur eine ID eingetragen werden. Diese Option fanden wir im Menü System/General im Reiter VLAN.

VLAN-Konfiguration in der ZyWALL IDP 10.

Im Menü General/Interface prüften wir das für das Regelverhalten an den Ports für LAN und WAN. Wir registrierten, dass voreingestellt die Regelüberprüfung an beiden Ports stattfindet. Damit werden die Regeln für Datenströme angewendet, die am LAN ankommen und am WAN ausgehen, beziehungsweise am WAN ankommen und am LAN ausgehen. So sind beide Datenrichtungen abgesichert. Diese Einstellung kann in Abhängigkeit von der Netzwerkkonfiguration verändert werden, wenn eine höhere Performance der IDP 10 notwendig ist. Ansonsten sollten beide Ports aktiviert bleiben.

Anzeige

Weiterhin prüften wir (aber nur zu Testzwecken!) die Konfiguration der IDP 10 aus dem WAN. Im Menü System/Remote MGMT im Reiter WWW aktivierten wir alle Ports für Server Access und deaktivieren kurzzeitig den Stealth-Modus für WAN. (Siehe oben).

Um auch in der Testphase für ein wenig Sicherheit zu sorgen, trugen wir die IP-Adresse des Management-Clients ein. So konnte nur der entsprechende PC via WAN auf die IDP 10 zugreifen. Nach diesem Test aktivierten wir den Stealth-Modus erneut und ließen das Management nur noch am MGMT-Port zu. Auf die Einrichtung von SNMP (Simple Network Management Protocol) verzichteten wir in unserer Testkonfiguration.