Was ist eine Adressgruppe?

Eine Adressgruppe ist ein wiederverwendbares „ Versa “-Richtlinienobjekt, das IP-Subnetze, Adressbereiche, Platzhalteradressen, FQDNs, Adressobjekte oder andere Adressgruppen unter einem Namen zusammenfasst. Durch die Bezugnahme auf die Gruppe – anstelle jeder einzelnen darin enthaltenen Adresse – kann eine einzige Sicherheits-, SD-WAN- oder QoS-Richtlinie auf viele Adressen gleichzeitig angewendet werden.

Die wichtigsten Erkenntnisse

• Adressgruppen fassen Adressen zusammen, sodass eine Richtlinie auf alle gleichzeitig angewendet werden kann.
• Mitglieder können Subnetze, Bereiche, Platzhalter, FQDNs oder andere Gruppen sein.
• Statische Gruppen listen ihre Mitglieder explizit auf; dynamische Gruppen werden anhand von Tags zugeordnet.
• Eine Organisation kann eine unbegrenzte Anzahl von Adressgruppen definieren.
• Sicherheits-, SD-WAN- und QoS-Richtlinien akzeptieren alle Adressgruppen als Kriterien.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Adressgruppen & Versa · Häufig gestellte Fragen

Warum sind Adressgruppen wichtig?

Sicherheits-, SD-WAN- und QoS-Richtlinien ordnen den Datenverkehr anhand der Quell- und Zieladresse zu. Ohne Gruppierung muss ein Administrator, der eine Zugriffsentscheidung auf eine Gruppe verwandter Hosts anwendet – beispielsweise ein Subnetz von Servern, eine Liste von IP-Bereichen von Partnern oder eine Reihe von Cloud-Workloads –, jede Adresse zu jeder Regel hinzufügen, für die sie erforderlich ist, und die Änderung in jeder Regel wiederholen, sobald sich die Gruppe ändert.

Eine Adressgruppe fasst diese Liste zu einem benannten Objekt zusammen, auf das eine Regel einmalig verweist. Wenn ein Mitglied hinzugefügt oder entfernt wird, werden alle Richtlinien, die auf die Gruppe verweisen, automatisch aktualisiert, ohne dass jede Regel einzeln durchlaufen werden muss. Dynamische Adressgruppen erweitern diesen Vorteil auf Adressen, die zum Zeitpunkt der Konfiguration nicht stabil sind: Eine Cloud-Workload unter Live-Migration behält ihre Richtlinienabdeckung bei, auch wenn sich ihre IP-Adresse ändert, da die Gruppe anhand eines Tags und nicht anhand eines festen Werts abgeglichen wird.

Was ist eine Adressgruppe?

Eine Adressgruppe ist ein benannter Container, der Website-Adressen, Adressobjekte, Adressdateien und andere Adressgruppen zu einem einzigen wiederverwendbaren Abgleichwert zusammenfasst. Anstatt auf ein Adressobjekt – ein IP-Subnetz, einen Bereich, eine Platzhaltermaske oder einen FQDN – zu verweisen, verweist eine Richtlinie auf die Gruppe, die bis zu sechs Adresstypen und – ohne hochgeladene Adressdatei – Zehntausende von Werten pro Typ enthalten kann.

Adressgruppen werden unter „Objekte & Konnektoren“ in „ Versa Director“ oder unter „Wiederverwendbare Objekte“ in der Tenant-Ansicht von Concerto konfiguriert und anschließend als Abgleichkriterien für Quelle oder Ziel in Richtlinien für zustandsorientierte Firewalls, NGFW, Anwendungs-QoS, richtlinienbasierte Weiterleitung und SD-WAN-Verkehrssteuerung ausgewählt. Eine Gruppe kann auch direkt während der Erstellung einer Richtlinienregel angelegt werden. Da eine Gruppe selbst weitere Gruppen enthalten kann, können Administratoren mehrschichtige Gruppierungen erstellen – beispielsweise eine regionale Gruppe, die aus mehreren Gruppen auf Standortebene besteht.

Arten von Adressgruppen

Versa Es werden zwei Arten von Adressgruppen unterschieden. Eine statische Adressgruppe listet ihre Mitglieder explizit auf: Adressobjekte, hochgeladene Adressdateien, IP-Subnetze, Adressbereiche, Platzhaltermasken, IPv6-Subnetze oder andere Adressgruppen – in beliebiger Kombination, jedoch maximal sechs Typen pro Gruppe. Dies ist die Standardeinstellung – der Typ, der für stabile Infrastrukturen wie Server-Subnetze, IP-Adressbereiche von Partnern oder LANs von Niederlassungen verwendet wird.

Eine dynamische Adressgruppe ordnet Mitglieder anhand von Tags statt anhand eines festen Werts zu und ist für sich ändernde Adressen konzipiert – beispielsweise für Cloud-Workloads, die über einen CMS-Konnektor mit Tags versehen wurden, oder für Hosts, die über eine hochgeladene Datei zur Zuordnung von IP-Subnetzen zu Tags zugeordnet wurden. Bei der Zuordnung werden Tags mit UND/ODER-Logik kombiniert, sodass sich die Zugehörigkeit aktualisiert, wenn mit Tags versehene Ressourcen hinzukommen oder wegfallen. Der Workflow in der Tenant-Ansicht von Concerto bietet dieselbe Auswahl wie „Statische IP-Adresse“ gegenüber „Adress-Feed“, wobei bei Letzterem die Zugehörigkeit aus einem externen Feed bezogen wird.

Adressgruppen & Versa

Adressgruppen gehören zu den wiederverwendbaren Objekten, die „ Versa “ bereitstellt, sodass eine Konfiguration einmal erstellt und überall dort referenziert wird, wo sie zum Einsatz kommt – ebenso wie Adressobjekte, Dienste, Zeitpläne und Protokollierungsprofile. Director verfolgt jede Referenz auf eine Gruppe, sodass ein Administrator vor dem Bearbeiten oder Löschen sehen kann, welche Vorlagen und Geräte diese Gruppe verwenden; die Ansicht „Wiederverwendbare Objekte“ in Concerto bietet für dieselben Objekte die Aktionen „Audit-Protokoll anzeigen“ und „In Untermieter kopieren“ an.

Adressgruppen werden in der Regel an allgemeine (Datenspeicher-)Vorlagen angehängt, sodass eine einmal definierte Gruppe von jeder Servicevorlage in einem Mandanten referenziert werden kann, die sie benötigt – wodurch eine gemeinsame Richtlinie, beispielsweise eine Liste gesperrter Partner-Subnetze, über die Firewall- und SD-WAN-Konfigurationen eines Mandanten hinweg konsistent bleibt. Auf der Registerkarte „Monitor“ von Director wird die Zugehörigkeit zu Adressgruppen außerdem direkt unter „Netzwerk > Adressgruppen“ angezeigt. Die vollständige Feldübersicht finden Sie unter „Adressobjekte konfigurieren “.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Adressobjekt und einer Adressgruppe?

Ein Adressobjekt ist ein einzelner Übereinstimmungswert – ein IP-Subnetz, ein Bereich, eine Platzhaltermaske oder ein FQDN. Eine Adressgruppe fasst mehrere Adressobjekte, Adressdateien oder andere Adressgruppen zu einem benannten Objekt zusammen, sodass eine Richtlinie durch einmaligen Verweis auf die Gruppe mit allen diesen Objekten übereinstimmen kann.

Was ist der Unterschied zwischen einer statischen und einer dynamischen Adressgruppe?

Eine statische Adressgruppe listet ihre Mitglieder explizit auf – Subnetze, Bereiche, FQDNs, Adressobjekte. Eine dynamische Adressgruppe ordnet Mitglieder anhand von Tags zu, typischerweise für Cloud-Workloads, deren IP-Adressen sich ändern; die Mitgliedschaft wird automatisch aktualisiert, sobald mit Tags versehene Ressourcen hinzukommen oder wegfallen, ohne dass die Gruppe bearbeitet werden muss.

Kann eine Adressgruppe andere Adressgruppen enthalten?

Ja. Statische Adressgruppen können neben Adressobjekten, Subnetzen, Bereichen und FQDNs auch andere Adressgruppen verschachteln, sodass Administratoren mehrschichtige Gruppierungen erstellen können – beispielsweise durch die Zusammenfassung mehrerer Gruppen auf Standortebene zu einer regionalen Gruppe, auf die dann eine einzelne Richtlinienregel direkt verweisen kann.

Welche Richtlinien können einer Adressgruppe zugeordnet werden?

Adressgruppen sind gültige Kriterien für die Übereinstimmung von Quell- oder Zieladressen in Sicherheitsrichtlinien für Stateful Firewalls und NGFWs, bei Application-QoS, bei der richtlinienbasierten Weiterleitung sowie in SD-WAN-Richtlinien zur Verkehrssteuerung – überall dort, wo eine Richtlinienregel den Datenverkehr anhand der Quell- oder Zieladresse und nicht anhand eines einzelnen IP-Werts abgleichen muss.

Gibt es eine Begrenzung hinsichtlich der Anzahl der Adressgruppen, die eine Organisation haben kann?

Nein – „ Versa Director“ sieht keine Begrenzung der Anzahl der Adressgruppen pro Organisation vor. Stattdessen gelten Beschränkungen innerhalb einer Gruppe: bis zu sechs Adresstypen und bis zu 32.767 Einträge pro Typ, bevor eine hochgeladene Adressdatei erforderlich ist.

Mehr zu Adressgruppen

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit Adressgruppen beschäftigen, sollten Sie sich als Nächstes damit befassen.