Was ist eine Zone?

Eine Zone – oder Sicherheitszone – ist ein „ Versa “-Konstrukt, das Netzwerkschnittstellen und Netzwerke, für die dieselben Sicherheitsanforderungen gelten, zu einem einzigen benannten Objekt zusammenfasst. Zonen dienen als Kriterien für die Übereinstimmung von Quelle und Ziel in SD-WAN-, Zugriffskontroll- und TLS-Entschlüsselungsrichtlinien und können ein optionales Zonenschutzprofil enthalten, das den eingehenden Datenverkehr auf Floods, Scans und bösartige Pakete überprüft.

Die wichtigsten Erkenntnisse

• Eine Zone fasst Schnittstellen und Netzwerke zusammen, für die dieselben Sicherheitsanforderungen gelten.
• Zonen werden mit Datenverkehr in SD-WAN-, Zugriffskontroll- und TLS-Entschlüsselungsregeln abgeglichen.
• Ein einzelner Mandant kann bis zu 1024 Zonen für seine Richtlinien konfigurieren.
• Ein optionales Zonenschutzprofil schützt vor Überschwemmungen und Scans.
• Der Datenverkehr zwischen Zonen ist standardmäßig gesperrt; der Datenverkehr innerhalb einer Zone ist zulässig.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Zonen & Versa · Häufig gestellte Fragen

Warum sind Zonen wichtig?

Ohne Zonen müsste jede Richtlinienregel einzelne Schnittstellen aufzählen, und jeder neue Standort oder WLAN-Hotspot würde bedeuten, dass die Regeln pauschal neu geschrieben werden müssten. Durch die Gruppierung von Schnittstellen, die denselben Sicherheitsstatus aufweisen, in einer Zone bleibt die Richtlinie unverändert – eine Etage mit Zugangspunkten oder eine Reihe von WAN-Verbindungen kann wachsen oder schrumpfen, ohne dass eine einzige Regel geändert werden muss, die die Zone namentlich referenziert.

Zonen sind zudem die Grenz Versa, auf deren Grundlage die Next-Generation-Firewall standardmäßig arbeitet. Wenn NGFW-Regeln ohne explizite Konfiguration aktiviert sind, wird der Datenverkehr zwischen zwei verschiedenen Zonen blockiert und der Datenverkehr innerhalb derselben Zone zugelassen – eine „Implicit-Deny“-Strategie, die Administratoren dazu zwingt, Verbindungen zwischen Zonen bewusst freizugeben, anstatt sie ungeschützt zu lassen. Diese Standardeinstellung, gepaart mit zonenbezogenen Schutzprofilen, ermöglicht es, vertrauenswürdige interne Segmente von nicht vertrauenswürdigen zu trennen – und zwar mit einer überschaubaren Anzahl von Regeln statt einer Regel pro Schnittstellenpaar.

Was ist eine Zone?

Eine Zone ist eine benannte Gruppierung aus einer oder mehreren Schnittstellen, Netzwerken, Routing-Instanzen oder Organisationen, für die identische Sicherheitsanforderungen gelten. Zonen werden pro Mandant konfiguriert, und ein Mandant kann bis zu 1.024 davon definieren; da Mandanten voneinander isoliert sind, können zwei verschiedene Mandanten denselben Zonennamen ohne Konflikte wiederverwenden. Jede Zone kann optional auf ein einzelnes Zonenschutzprofil und ein Protokollierungsprofil für den Export von Alarmen verweisen.

Eine Zone unterscheidet sich von einem Netzwerk – dem VOS-Objekt, das ähnliche Schnittstellen auf ähnlichen Routing-Instanzen gruppiert, damit sie gemeinsam verwaltet werden können. Eine Zone ist eine auf Netzwerken und Schnittstellen aufbauende Gruppierung von Sicherheitsrichtlinien und kein Routing-Konstrukt. Zonen werden in Director unter „Konfiguration > Netzwerk > Zonen“ konfiguriert; das Handbuch „Konfiguration von Zonen und Zonenschutzprofilen“ beschreibt den Arbeitsablauf Feld für Feld.

Arten von Zonen

Jedes VOS-Gerät wird mit mehreren vom System generierten Zonen ausgeliefert – „host“, „ptvi“, „remote-client“, „ versa-fileexport“ und „ versa-speedtest“ –, die niemals direkt bearbeitet werden sollten, da sie interne Systemfunktionen unterstützen und keine vom Administrator definierten Segmente darstellen.

Darüber hinaus erstellen Administratoren benutzerdefinierte Zonen für beliebige Gruppierungen, die ihre Richtlinien erfordern: eine Zone für LAN-Schnittstellen, eine für internetseitige WAN-Schnittstellen oder eine pro Etage eines Gebäudes. Ein gängiges Muster besteht darin, diesen Zonen eine „vertrauenswürdig/nicht vertrauenswürdig “-Rolle zuzuweisen – indem ein Zonenschutzprofil zwischen einer nicht vertrauenswürdigen Zone (mit Internetanbindung) und einer vertrauenswürdigen Zone (intern) platziert wird und anschließend eine Firewall-Regel hinzugefügt wird, bei der die nicht vertrauenswürdige Zone als Quelle und die vertrauenswürdige Zone als Ziel angegeben wird. Diese Aufteilung ist eine Designkonvention, die auf gewöhnlichen Zonen und Profilen basiert, und stellt keinen separaten Zonentyp dar.

Zonen & Versa

Zonen sind Abgleichkriterien, die sich über drei Richtlinienebenen erstrecken: SD-WAN-Richtlinienregeln können anhand der Quell- und Zielzone (neben Adressen, Standorten und Kriterien der Schichten 4 und 7) abgeglichen werden, NGFW-Zugriffskontrollregeln nutzen den Abgleich zwischen und innerhalb von Zonen, um zu entscheiden, was implizit verweigert wird, und auch die TLS-Entschlüsselungsrichtlinie kann sich auf die Zone stützen.

Ein Zonenschutzprofil, das unter „Netzwerk > Zonenschutzprofile“ konfiguriert wird, gilt nur für das erste Paket eines neuen Datenflusses und umfasst vier Bereiche: Flood (protokollspezifische pps-Schwellenwerte für TCP, UDP, ICMP und andere, mit den Stufen „Alarm“, „Aktiv“ und „Maximale Rate“), Scan (Erkennung von Host-Sweeps sowie TCP- und UDP-Erkundungsversuchen), Schutz vor paketbasierten Angriffen (Verwerfungsoptionen wie IP-Spoofing und Fragmentbehandlung) sowie ICMP-spezifische Prüfungen. Eine Zone kann jeweils nur ein Profil aufnehmen; das Handbuch „Konfigurieren von Zonen und Zonenschutzprofilen (NGFW)“ führt Sie durch alle Registerkarten. Entsprechende Ereignisse werden in „ Versa -Analytics“ unter „Protokolle > Bedrohungserkennung > DoS-Bedrohungsprotokolle“ angezeigt.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einer Zone und einem Netzwerk in „ Versa “?

Ein Netzwerk fasst ähnliche Schnittstellen auf ähnlichen Routing-Instanzen zu Verwaltungszwecken zusammen; eine Schnittstelle gehört genau zu einem Netzwerk. Eine Zone ist eine Gruppierung von Sicherheitsrichtlinien – Schnittstellen, Netzwerke, Routing-Instanzen oder Organisationen –, die als Übereinstimmungskriterien in Richtlinienregeln verwendet wird.

Wie viele Zonen können pro Mandant konfiguriert werden?

Bis zu 1024 Zonen pro Mandant. Da die Mandanten auf einem gemeinsam genutzten VOS-Gerät voneinander isoliert sind, müssen die Zonennamen nur innerhalb eines Mandanten eindeutig sein, nicht systemweit.

Wie wird der Datenverkehr zwischen Zonen standardmäßig behandelt?

Wenn die NGFW ohne explizite Regeln aktiviert ist, wird der Datenverkehr zwischen Zonen durch eine implizite Ablehnungsregel blockiert, während der Datenverkehr innerhalb einer Zone (innerhalb derselben Zone) zugelassen wird. Um den Datenverkehr innerhalb einer Zone zu blockieren, ist eine explizite Regel erforderlich, die diese Zone sowohl als Quelle als auch als Ziel angibt.

Was ist ein Zonenschutzprofil?

Ein optionales Profil, das einer Zone zugeordnet ist und das erste Paket jedes neuen Datenflusses auf Datenflut, Port-Scans und Host-Sweeps sowie auf fehlerhafte oder gefälschte Pakete überprüft, wobei konfigurierbare Schwellenwerte und Verwerfungsmaßnahmen angewendet werden, bevor der Datenverkehr das Netzwerk erreicht.

Können die vom System generierten Zonen bearbeitet werden?

Nein. Zonen wie „host“, „ptvi“, „remote-client“, „ versa-fileexport“ und „ versa-speedtest“ dienen der Unterstützung interner Systemfunktionen und sollten nicht zur Bearbeitung ausgewählt werden; vom Administrator definierte Zonen werden separat für die Verwendung in Richtlinien angelegt.

Mehr zu Zonen und Netzwerksegmentierung

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit Zonen beschäftigen, sollten Sie sich als Nächstes diese hier einmal ansehen.