Was ist eine Verwaltungsschnittstelle?

Eine Verwaltungsschnittstelle ist eine dedizierte Netzwerk-Schnittstelle – physisch oder virtuell –, die ein Gerät für den administrativen Zugriff und die Überwachung nutzt und die von den Schnittstellen getrennt ist, über die der Produktionsdatenverkehr läuft. Sie unterstützt in der Regel SSH, SNMP und ähnliche Protokolle und bleibt auch dann erreichbar, wenn der Datenverkehr unterbrochen ist.

Die wichtigsten Erkenntnisse

• Verwaltungsschnittstellen trennen den administrativen Zugriff vom Produktionsdatenverkehr.
• Out-of-Band-Designs bleiben auch bei einem Ausfall der Datenebene erreichbar.
• Zu den gängigen Verwaltungsprotokollen gehören SSH, SNMP, HTTPS und Telnet.
• VOS-Geräte stellen eine Schnittstelle mit dem Präfix „eth“ für den SSH- und SNMP-Zugriff bereit.
• Durch die Isolierung des Verwaltungsdatenverkehrs wird die Angriffsfläche in Produktionsnetzwerken verringert.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Verwaltungsschnittstellen & Versa · Häufig gestellte Fragen

Warum ist eine Verwaltungsschnittstelle wichtig?

Jedes vernetzte Gerät benötigt eine Möglichkeit für einen Administrator, sich anzumelden, den Status zu überprüfen und Konfigurationsänderungen zu übertragen. Wenn dieser Zugriff über dieselben Schnittstellen erfolgt wie der Benutzerdatenverkehr, ergeben sich zwei Probleme: zum einen ein Sicherheitsrisiko, da jeder, der Zugriff auf die Datenebene hat, potenziell auch auf Protokolle wie SSH oder SNMP zugreifen kann; zum anderen ein Verfügbarkeitsproblem, da ein Ausfall der Datenebene – sei es durch eine Fehlkonfiguration, einen Verbindungsausfall oder eine Datenflut – auch den Zugriff des Administrators lahmlegt.

Eine spezielle Verwaltungsschnittstelle löst beide Probleme. Durch die Isolierung des Verwaltungsdatenverkehrs auf einen eigenen Port, ein eigenes VLAN oder eine eigene IP-Adresse bleibt der Zugriff für die Überwachung unabhängig vom Produktionsdatenverkehr gewährleistet, und Administratoren können festlegen, welche Netzwerke überhaupt auf Verwaltungsprotokolle zugreifen dürfen – weshalb die meisten Hardware-Geräte der Enterprise-Klasse mit einem separaten Verwaltungsport ausgeliefert werden und Sicherheitsrichtlinien empfehlen, den Verwaltungsdatenverkehr in ein eigenes Out-of-Band-Netzwerk zu isolieren.

Was ist eine Verwaltungsschnittstelle?

Eine Verwaltungsschnittstelle ist jede Schnittstelle – sei es ein physischer Port, ein virtueller Port oder ein softwaredefinierter Endpunkt –, die ein Gerät für den administrativen Zugriff und nicht für die Weiterleitung von Benutzerdatenverkehr vorgesehen hat. Sie verfügt in der Regel über eine eigene IP-Adresse und oft auch über ein eigenes VLAN, sodass Verwaltungssitzungen von der Datenebene getrennt bleiben.

Verwaltungsschnittstellen dienen in der Regel als Endpunkte für Protokolle, die für die Geräteverwaltung entwickelt wurden: SSH und Telnet für den Zugriff über die Befehlszeile, HTTPS für Webkonsolen sowie SNMP für die Statusabfrage und Konfiguration durch Verwaltungssysteme. Einige Geräte nutzen die Schnittstelle auch, um auf unterstützende Infrastrukturkomponenten zuzugreifen – NTP-, Syslog-, RADIUS/TACACS+- und DNS-Server.

Das entscheidende Merkmal ist nicht das physische Medium, sondern der Zweck: Eine Schnittstelle gilt als Verwaltungsschnittstelle, wenn ihre Aufgabe darin besteht, die Verwaltung eines Geräts zu gewährleisten, unabhängig von den Schnittstellen, die die eigentliche Weiterleitung übernehmen.

Arten von Verwaltungsschnittstellen

Verwaltungsschnittstellen lassen sich im Allgemeinen in einige wenige Muster einteilen. Bei der Out-of-Band-Verwaltung (OOB) wird ein physisch separater Port mit eigener Adressierung verwendet – der klassische dedizierte Ethernet-Port an den meisten Routern und Switches –, sodass der Zugriff auch bei einem vollständigen Ausfall der Datenebene erhalten bleibt. Bei der In-Band-Verwaltung wird ein regulärer Datenport für den Verwaltungsdatenverkehr wiederverwendet, der durch ACLs oder ein dediziertes VLAN eingeschränkt ist; dies ist kostengünstiger in der Verkabelung, teilt jedoch das Schicksal der von ihr überwachten Datenebene. Virtuelle Verwaltungsschnittstellen existieren ausschließlich in der Software – als VLAN-getaggte Subschnittstelle oder als Loopback-Konstruktion –, die auf gemeinsamer Hardware aufgesetzt wird, um den Verwaltungsdatenverkehr ohne dedizierten Port zu trennen. Cloud-gehostete Verwaltungsschnittstellen, wie beispielsweise das Webportal eines Anbieters, verlagern die Schnittstelle vom Gerät weg, sodass der Zugriff stattdessen über das Internet erfolgt.

Verwaltungsschnittstellen & Versa

Bei Geräten mit dem Betriebssystem „ Versa “ (VOS) handelt es sich bei der Verwaltungsschnittstelle um eine Out-of-Band-Schnittstelle, deren Name mit dem Präfix „eth“ beginnt. Sie dient dazu, sich über SSH anzumelden und SNMP-Vorgänge getrennt vom Datenverkehr durchzuführen – im Gegensatz zu den VNI-Schnittstellen, über die der WAN- und LAN-Verkehr geleitet wird. Während der Geräteaktivierung stellt ein Administrator mithilfe einer URL-basierten Zero-Touch-Provisioning-Funktion (ZTP) sicher, dass ein Port als eth0-Schnittstelle konfiguriert ist, bevor der Staging-Controller-Knoten erreicht wird.

Versa erweitert diese Trennung auch auf SD-LAN-Switches. Durch die Konfiguration einer Switch-Management-Schnittstelle auf einem SD-WAN-Edge-Gerät in der Zweigstelle erhalten SD-LAN-Switches einen dedizierten Pfad – über ein natives VLAN (standardmäßig 4091) und eine „Switch-Management-VR“-Routing-Instanz – zum Controller-Knoten, ohne mit dem Produktionsdatenverkehr zu konkurrieren. Mit denselben Workflow-Vorlagen können globale Server wie NTP, Syslog, RADIUS und DNS über die Controller oder über die Verwaltungsschnittstelle erreicht werden.

Häufig gestellte Fragen

Was ist der Unterschied zwischen In-Band- und Out-of-Band-Management?

Beim In-Band-Management werden die regulären Datenports des Geräts für den Verwaltungsdatenverkehr genutzt, der in der Regel durch ACLs oder ein VLAN isoliert ist. Beim Out-of-Band-Management kommen ein physisch separater Port und eine eigene Adresse zum Einsatz, sodass Administratoren das Gerät auch bei einem Ausfall der Datenebene zur Fehlerbehebung weiterhin erreichen können.

Warum benötigen Verwaltungsschnittstellen eine eigene IP-Adresse?

Eine eigene IP-Adresse ermöglicht es Administratoren, den Verwaltungsdatenverkehr über einen separaten Pfad – häufig ein anderes VLAN – zu leiten und Firewall-Regeln anzuwenden, die Protokolle wie SSH und SNMP nur aus vertrauenswürdigen Verwaltungsnetzwerken zulassen, anstatt von überall dort, wo die Adressierung auf der Datenebene gerade erreichbar ist.

Welche Protokolle laufen über eine Verwaltungsschnittstelle?

Am häufigsten werden SSH und Telnet für den CLI-Zugriff, HTTPS für Webkonsolen und SNMP für die Überwachung und Konfiguration verwendet. Die Geräte nutzen die Schnittstelle zudem häufig, um NTP-, DNS-, Syslog-, RADIUS-, TACACS+- und LDAP-Server zu erreichen, wodurch der unterstützende Datenverkehr von den Produktionsverbindungen ferngehalten wird.

Ist eine Loopback-Schnittstelle dasselbe wie eine Verwaltungsschnittstelle?

Nein. Eine Loopback-Schnittstelle ist virtuell, unabhängig vom Status der physischen Verbindung stets betriebsbereit und wird üblicherweise als stabile Adresse für Routing-Protokolle verwendet. Eine Verwaltungsschnittstelle wird durch ihren Zweck – den administrativen Zugriff – definiert und kann physisch, VLAN-basiert oder im Loopback-Stil sein.

Verwendet „ Versa “ eine eigene Verwaltungsschnittstelle auf seinen Geräten?

Ja. VOS-Geräte stellen eine Verwaltungsschnittstelle mit dem Präfix „eth“ für die SSH-Anmeldung und SNMP bereit, die von den VNI-Schnittstellen, über die WAN- und LAN-Daten übertragen werden, getrennt ist. SD-LAN-Switches verfügen über einen entsprechenden Pfad – eine Switch-Verwaltungsschnittstelle – zum Controller-Knoten, unabhängig vom Produktionsdatenverkehr.

Mehr zum Thema Verwaltungsschnittstellen

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit Verwaltungsschnittstellen beschäftigen, sollten Sie sich diese als Nächstes einmal ansehen.