Eine ausführliche Darstellung zum Thema Redundanz finden Sie in Kapitel 17, „Redundanz“.
|
Eine ausführliche Darstellung zum Thema Redundanz finden Sie in Kapitel 17, „Redundanz“. |
|
Um die Redundanzfunktion zu nutzen, müssen beide mGuards die gleiche Firmware haben. |
|
Bei aktivierter Redundanzfunktion kann VLAN im Stealth-Modus nicht verwendet werden. |
14.1Redundanz >> Firewall-Redundanz
|
Dieses Menü steht nicht auf dem FL MGUARD RS2000, FL MGUARD RS2005, TC MGUARD RS2000 3G und TC MGUARD RS2000 4G zur Verfügung. |
|
|
Deaktiviert (Standard): Die Firewall-Redundanz ist ausgeschaltet. Aktiviert: Die Firewall-Redundanz ist aktiviert. Sie können diese Funktion nur aktivieren, wenn ein passender Lizenzschlüssel installiert ist. Wenn Sie gleichzeitig die VPN-Redundanz aktivieren wollen, gelten weitere Bedingungen, siehe „VPN-Redundanz“ auf Seite 453. |
|
|
Allgemein |
Redundanzstatus |
Zeigt den aktuellen Status an. |
|
|
Zeit, die im Fehlerfall maximal verstreichen darf, bevor auf den anderen mGuard gewechselt wird. |
|
|
|
0 ... 10 000 Millisekunden, Standard: 0 Zeitdauer, in der ein Fehler vom Redundanz-System ignoriert wird. Ein Fehler wird von der Konnektivitäts- und der Verfügbarkeitsprüfung ignoriert, bis er länger als die hier eingestellte Zeit andauert. |
|
|
|
hoch/niedrig Definiert die Priorität, die mit den Anwesenheitsnachrichten (CARP) verbunden ist. Setzen Sie bei dem mGuard, der aktiv sein soll, die Priorität hoch. Der mGuard in Bereitschaft bekommt die Priorität niedrig. Beide mGuards eines Redundanzpaares dürfen entweder eine unterschiedliche Priorität oder die Priorität hoch haben. 
|
|
|
|
Bei einem mGuard, der Teil eines Redundanzpaares ist, wird kontinuierlich geprüft, ob ein aktiver mGuard vorhanden ist und ob dieser aktiv bleiben soll. Dafür wird eine Variante des CARP (Common Address Redundancy Protocol) verwendet. CARP nutzt die SHA-1 HMAC-Verschlüsselung in Verbindung mit einem Passwort. Dieses Passwort muss für beide mGuards gleich eingestellt sein. Er wird niemals im Klartext übertragen, sondern zur Verschlüsselung genutzt. 
|
|
|
|
Gehen Sie so vor, um das Passwort zu ändern: Stellen Sie das neue Passwort an beiden mGuards ein. Die Reihenfolge ist egal, aber das Passwort muss bei beiden gleich sein. Wenn Sie versehentlich ein abweichendes Passwort eingetragen haben, folgen Sie den Anweisungen unter „Vorgehensweise bei einem falschem Passwort“ auf Seite 420. Sobald ein Redundanzpaar ein neues Passwort erhalten hat, handelt es selbst aus, wann es unterbrechungsfrei zum neuen Passwort wechseln kann. |
|
|
|
Wenn ein mGuard während des Passwort-Wechsels ausfällt, gibt es diese Fälle: –Die Passwort-Erneuerung wurde an allen mGuards gestartet und dann unterbrochen, z. B. durch einen Netzwerk-Fehler. Dieser Fall wird automatisch behoben. –Die Passwort-Erneuerung wurde an allen mGuards gestartet. Aber dann fällt ein mGuard aus und muss ausgetauscht werden. –Die Passwort-Erneuerung wurde gestartet, aber nicht an allen mGuards, weil diese ausgefallen sind. Sobald ein fehlerhafter mGuard wieder online ist, muss die Passwort-Erneuerung gestartet werden. Bei einem ausgetauschten mGuard muss dieser zunächst mit dem alten Passwort konfiguriert werden, bevor er angeschlossen wird. |
|
|
|
Vorgehensweise bei einem falschem Passwort 
Wenn Sie das alte Passwort noch kennen, gehen Sie so vor: •Rekonfigurieren Sie den mGuard, bei dem das falsche Passwort eingetragen wurde, noch einmal mit dem alten Passwort. •Warten Sie bis der mGuard anzeigt, dass das alte Passwort benutzt wird. •Tragen Sie dann das richtige Passwort ein. Wenn Sie das alte Passwort nicht mehr kennen, gehen Sie so vor: •Prüfen Sie, ob Sie das alte Passwort beim anderen mGuard auslesen können. •Wenn der andere mGuard ausgeschaltet ist oder fehlt, dann können Sie bei dem aktiven mGuard, dem sie versehentlich das falsche Passwort eingestellt haben, einfach das korrekte neue Passwort eintragen. Sorgen Sie dafür, dass der andere mGuard das gleiche Passwort erhält, bevor er wieder in Betrieb geht. •Wenn der andere mGuard das neue Passwort bereits verwendet, dann müssen Sie sicherstellen, dass der mGuard mit dem falschen Passwort nicht aktiv ist oder wird, z. B. durch das Herausziehen des Kabels an der LAN- oder WAN-Schnittstelle. Bei einem Fernzugriff können Sie für die Konnektivitätsprüfung ein Ziel eintragen, das nicht reagieren wird. Bevor Sie einen solchen Fehler provozieren, prüfen Sie, dass bei keinem der mGuards ein Fehler bei der Redundanz vorliegt. Ein mGuard muss aktiv und der andere in Bereitschaft sein. Gegebenenfalls müssen Sie angezeigte Fehler beheben und dann erst die Methode verwenden. Dann führen Sie die folgenden Schritte aus: –Ersetzen Sie das falsche Passwort durch ein anderes. –Geben Sie dieses Passwort auch beim aktiven mGuard ein. –Nehmen Sie den nicht aktiven mGuard wieder in Betrieb. Stecken Sie zum Beispiel das Ethernet-Kabel wieder ein oder stellen Sie die alten Einstellungen für die Konnektivitätsprüfung wieder her. |
|
|
Externe virtuelle Interfaces |
1, 2, 3, ... 255 (Standard: 51) Nur im Netzwerk-Modus Router Diese ID wird vom Redundanzpaar bei jeder Anwesenheitsnachricht (CARP) über das externe Interface mitgesendet und dient der Identifizierung des Redundanzpaares. Diese ID muss für beide mGuards gleich sein. Sie ist notwendig, um das Redundanzpaar von anderen Redundanzpaaren zu unterscheiden, die über ihr externes Interface mit demselben Ethernet-Segment verbunden sind. Beachten Sie dabei, dass CARP dasselbe Protokoll und denselben Port wie VRRP (Virtuell Router Redundancy Protokoll) nutzt. Die hier eingestellte ID muss sich unterscheiden von den IDs der Geräte, die VRRP oder CARP nutzen und sich im selben Ethernet-Segment befinden. |
|
|
|
Default: 10.0.0.100 Nur im Netzwerk-Modus Router IP-Adressen, die von beiden mGuards als virtuelle IP-Adresse des externen Interfaces geteilt wird. Diese IP-Adressen müssen für beide mGuards gleich sein. Diese Adressen werden als Gateway für explizite statische Routen von Geräten genutzt, die sich im selben Ethernet-Segment wie das externe Netzwerk-Interface des mGuards befinden. Der aktive mGuard kann auf dieser IP-Adresse ICMP-Anfragen erhalten. Er reagiert auf diese ICMP-Anfragen wie es im Menü unter Netzwerksicherheit >> Paketfilter >> Erweitert eingestellt ist. Für die virtuelle IP-Adressen werden keine Netzwerkmaske oder VLAN ID eingerichtet, da diese Attribute von der realen externen IP-Adresse bestimmt werden. Zu jeder virtuellen IP-Adresse muss eine reale IP-Adresse konfiguriert sein, in deren IP-Netz die virtuelle Adresse passt. Der mGuard überträgt die Netzwerkmaske und die VLAN-Einstellung von der realen externen IP-Adresse auf die entsprechende virtuelle IP-Adresse. Die übernommenen VLAN-Einstellungen bestimmen, ob Standard-MTU-Einstellungen oder VLAN-MTU-Einstellungen für die virtuelle IP-Adresse genutzt werden. 
|
|
|
Interne virtuelle Interfaces |
Interne virtuelle Router-ID |
1, 2, 3, ... 255 (Standard: 52) Nur im Netzwerk-Modus Router Diese ID wird vom Redundanzpaar bei jeder Anwesenheitsnachricht (CARP) über das externe und interne Interface mitgesendet und dient der Identifizierung des Redundanzpaares. Diese ID muss für beide mGuards gleich eingestellt sein. Sie ist notwendig, um das Redundanzpaares von anderen Ethernet-Teilnehmern zu unterscheiden, die über ihr externes/internes Interface mit demselben Ethernet-Segment verbunden sind. Beachten Sie dabei, dass CARP dasselbe Protokoll und denselben Port wie VRRR (Virtuell Router Redundancy Protokoll) nutzt. Die hier eingestellte ID muss sich unterscheiden von den IDs der Geräte, die VRRR oder CARP nutzen und sich im selben Ethernet-Segment befinden. |
|
|
Interne virtuelle IP-Adressen |
Wie unter Externe virtuelle IP-Adressen beschrieben, aber mit zwei Ausnahmen Unter Interne virtuelle IP-Adresse werden IP-Adressen definiert für Geräte, die zum internen Ethernet-Segment gehören. Diese Geräte müssen die IP-Adresse als ihr Standard-Gateway nutzen. Sie können diese Adresse als DNS- oder NTP-Server nutzen, wenn der mGuard als Server für die Protokolle konfiguiert ist. Zu jeder virtuellen IP-Adresse muss eine reale IP-Adresse konfiguriert sein, in deren IP-Netz die virtuelle Adresse passt. Die Reaktion auf ICMP-Anfragen bei internen virtuellen IP-Adressen ist unabhängig von den Einstellungen unter Netzwerksicherheit >> Paketfilter >> Erweitert. |
|
Verschlüsselter Zustandsabgleich |
Zustandsnachrichten verschlüsseln |
Bei aktivierter Funktion wird der Zustandsabgleich verschlüsselt. 
|
|
|
Passphrase |
Das Passwort wird so gewechselt, wie es unter „Passphrase für Verfügbarkeitstest“ auf Seite 419 beschrieben ist. Nur wenn versehentlich ein falsches Passwort eingegeben wurde, gibt es ein Abweichung von der verschriebenen Vorgehensweise. |
|
|
Vorgehensweise bei einem falschen Passwort 
Fall 1: Nur ein mGuard hat ein falsches Passwort. Beim anderen mGuard wurde mit dem Passworttausch noch gar nicht begonnen. •Rekonfigurieren Sie den mGuard, bei dem das falsche Passwort eingetragen wurde, noch einmal mit dem alten Passwort. •Warten Sie bis der mGuard anzeigt, dass das alte Passwort benutzt wird. •Tragen Sie dann das richtige Passwort ein. Fall 2: Der andere mGuard nutzt bereits das neue Passwort. •Beide mGuards müssen in dem Status sein, dass sie ein altes Passwort nutzen aber ein neues erwarten (rotes Kreuz). Damit es dazu kommt, tragen Sie nacheinander zufällige Passwörter ein. •Zum Schluss generieren Sie ein sicheres Passwort und tragen es in beiden mGuards ein. Dieses Passwort wird sofort ohne Abstimmung genutzt. Der mGuard in Bereitschaft kann bei diesem Vorgang für kurze Zeit im Zustand „outdated“ sein, aber das behebt sich automatisch wieder. |
|
|
|
Verschlüsselungsalgorithmus |
DES, 3DES, AES-128, AES-192, AES-256 (Standard) 
|
|
|
Prüfsummen-Algorithmus |
MD5, SHA1, SHA-256 (Standard), SHA-512 
|
|
Interface für den Zustandsabgleich (Nur bei mGuard centerport (Innominate), FL MGUARD CENTERPORT) |
Internes Interface/Dediziertes Interface Der mGuard centerport (Innominate), FL MGUARD CENTERPORT unterstützt ein dediziertes Interface. Das ist eine reservierte direkte Ethernet-Schnittstelle oder ein dediziertes LAN-Segment, über das der Zustandsabgleich gesendet wird. Das Redundanzpaar kann über ein zusätzliches dediziertes Ethernet-Interface verbunden sein oder über einen dazwischen geschalteten Switch. Bei Dediziertes Interface wird an dem dritten Ethernet-Interface ebenfalls auf Anwesenheitsnachrichten (CARP) gelauscht. Wenn der mGuard aktiv ist, werden auch Anwesenheitsnachrichten (CARP) gesendet. Für dieses Interface wird aber kein zusätzliches Routing unterstützt. Aus Sicherheitsgründen werden Frames, die an dieser Schnittstelle empfangen werden, nicht weitergeleitet. Über das SNMP kann der Verbindungsstatus des dritten Ethernet-Interface abgefragt werden. |
|
|
|
IP des dedizierten Interfaces (Nur wenn Dediziertes Interface ausgewählt ist) |
IP IP-Adresse, die der mGuard centerport (Innominate), FL MGUARD CENTERPORT an seinem dritten Netzwerk-Interface für den Zustandsabgleich mit dem anderen mGuard nutzt. Default: 192.168.68.29 Netzmaske Netzwerkmaske, die der mGuard centerport (Innominate), FL MGUARD CENTERPORT an seinem dritten Netzwerk-Interface für den Zustandsabgleich mit dem anderen mGuard nutzt. Default: 255.255.255.0 Verwendete VLAN Bei Ja wird eine VLAN-ID für das dritte Netzwerk-Interface genutzt. VLAN-ID 1, 2, 3, ... 4094 (Standard: 1) VLAN-ID, wenn diese Einstellung aktiviert ist. |
|
|
Unterlasse die Verfügbarkeitsprüfung der externen Schnittstelle (Nur wenn Dediziertes Interface ausgewählt ist) |
Bei aktivierter Funktion werden an dem externen Interface keine Anwesenheitsnachrichten (CARP) gesendet und empfangen. Das macht für einige Szenarien Sinn, um Angreifer von außen abzuwehren. |
Bei der Konnektivitätsprüfung können Ziele für das interne und externe Interface konfiguriert werden. Es ist wichtig, dass diese Ziele tatsächlich an dem angegebenen Interface angeschlossen sind. Ein ICMP-Echo-Reply kann nicht von einem externen Interface empfangen werden, wenn das zugehörige Ziel am internen Interface angeschlossen ist (und umgekehrt). Bei einem Wechsel der statischen Routen kann es leicht passieren, dass die Ziele nicht entsprechend überprüft werden.
|
Die Funktion Ring-/Netzkopplung wird nicht unterstützt vom mGuard centerport (Innominate). Ring-/Netzkopplung mit Einschränkung: –mGuard delta (Innominate): hier lässt sich die interne Seite (Switch-Ports) nicht abschalten –FL MGUARD PCI 533/266: hier lässt sich im Treibermodus die interne Netzwerkschnittstelle nicht abschalten (wohl aber im Power-over-PCI-Modus). |
