Маршрутизатор с точкой доступа и VPN: Watchguard Firebox SOHO 6tc Wireless – THG.RU

Введение

WatchGuard выпустила свою приставку Firebox SOHO 6tc Wireless (6tcw) через несколько месяцев после того, как конкурент, компания Sonicwall, анонсировала свой SOHO TZW. Хотя оба устройства могут улучшить безопасность беспроводной сети 802.11b с помощью организации соединения IPsec между клиентом и точкой доступа, мы обнаружили, что 6tcw ведёт себя совершенно иначе, чем конкурирующий продукт Sonicwall.

Базовые функции и информация о дизайне

6tcw построен на базе RISC-процессора (MIPS) Brecis MSP 2000. Он имеет тактовую частоту 150 МГц, включает встроенный аппаратный сопроцессор шифрования DES, 3DES, MD5 и SHA-1 и по спецификациям способен давать 40 Мбит/с производительность 3DES.

Рис. 1. Внутреннее строение.

На Рис. 1 показано внутреннее строение включая радиочасть PC Card, которая похожа на ZCom XI-325, базирующуюся на чипсете PRISM 2.5. Радиочасть содержит два разъёма RP-SMA, к которым подсоединены две съёмные поворотные антенны-диполи.

Настройка и администрирование

6tcw по умолчанию имеет IP-адрес 192.168.111.1, а встроенные серверы DHCP (их два – для сегментов LAN и WLAN) включены. По умолчанию мост между проводной (“Доверяемой”) и беспроводной (“Опциональной”) сетями выключен. Так что любые клиенты 802.11b могут ассоциироваться и получать доступ в Интернет через 6tcw сразу же, как вы достали устройство из коробки, но они не могут получить доступ к машинам проводной локальной сети (и наоборот).

В отличие от продукта Sonicwall, здесь нет каких-либо мастеров настройки. Это вполне нормально, учитывая целевую аудиторию – опытных сетевых пользователей и администраторов – и простую функциональность 6tcw. Но, как мы обнаружили, помощь при организации VPN-туннелей IPsec явно не помешала бы (об этом позже).

Если обратиться по IP-адресу устройства, то вы получите экран Статус/Status, показанный на Рис. 2, который даёт хорошее общее представление о настройке.

Рис. 2. Экран “Статус/Status”.

6tcw поддерживает статическое/static, DHCP и PPPoE подключения WAN, но мы не нашли обеспечения аутентификации по имени узла или домена. Сначала мы посчитали, что устройство не предоставляет возможности изменить MAC-адрес WAN для тех провайдеров, которые используют подобную проверку, но позже мы обнаружили эту возможность на странице Опции брандмауэра/Firewall Options.

Интерфейс администрирования довольно логично расположен, он имеет хорошую отзывчивость и простую навигацию, а для изменения настроек перезагрузки не требуется. Однако мы всё же принудительно осуществили перезагрузку из этого экрана, когда маршрутизатор повис несколько раз во время изменения настроек. Имейте в виду, что удалённое управление со стороны WAN или беспроводной сети возможно только через туннель IPsec.

Мы нашли некоторые настройки администрирования по умолчанию загадочными, учитывая, что WatchGuard позиционируется на максимальную безопасность. К примеру, продукт по умолчанию не имеет защиты паролем для сервера администрирования, и вас не заставляют установить пароль. Подключение администратора осуществляется через обычный протокол HTTP, а не через более безопасный HTTPS, к тому же ответ на ping со стороны WAN не запрещён.

Функции брандмауэра

6tcw использует модель брандмауэра на основе правил и служб, то есть предоставляет восемнадцать уже заданных служб, для которых вы можете выбирать входящие и исходящие правила фильтрации. Исходящие/Outgoing правила (Рис. 3) действуют на всех клиентов LAN и WLAN по умолчанию, но вы можете также указывать службу вручную (Рис. 4), если желаете ограничить источник или IP-адрес назначения для службы.

Рис. 3. Брандмауэр исходящих соединений.

WatchGuard не имеет ограничения числа пользовательских служб, которые вы можете определить (хотя, если вы будете экспериментировать, то, рано или поздно, столкнётесь с ограничением памяти), однако было бы неплохо, если бы компания добавила информацию о портах и протоколах для заданных служб – это облегчило бы конфигурацию.

Рис. 4. Пример ручной настройки службы.

Ни входящие, ни исходящие правила нельзя настроить по расписанию, при этом вы не можете управлять журналированием при соответствии правил. Также не поддерживаются перенаправление исходящих портов по событию (triggering) и UPnP.

Нас несколько смутила функция DMZ/Pass-Through. Мы полагали, что она работает как обычно, помещая один IP-адрес LAN на сторону WAN брандмауэра. Но как только мы её активировали, то обнаружили, что доступ в Интернет с этой машины блокируется. После просмотра документации мы выяснили, что можно использовать только публичный IP-адрес. В общем, эта функция работает не так, как мы привыкли.

Продукт также поддерживает список блокирования сайтов на основе IP-адресов без жёсткого ограничения числа блокированных сайтов, причём вы можете изменять или дополнять список, докупив пакет WatchGuard WebBlocker ($49), который охватывает 10 лицензированных клиентских мест 6tcw. WatchGuard также предоставляет лицензию (только для одного клиента) на антивирусную службу McAfee VirusScan ASaP сроком на один год. Если служба вам понравится, то лицензия на 10 мест обойдётся в $325.

VPN

6tcw поддерживает два типа туннелей IPsec. Первый, который WatchGuard называет “Филиал/Branch Office”, позволяет устанавливать туннель между двумя устройствами WatchGuard линейки SOHO или между устройством SOHO к одному из шлюзов VPN линейки Firebox. Подключение Firebox упрощается возможностью “Управляемое VPN/Managed VPN”, которая просто требует ввода IP-адреса удалённого маршрутизатора Firebox и некоторой информации об аутентификации.

Второй метод – подключение VPN мобильного пользователя/Mobile User VPN (MUVPN). MUVPN использует клиента IPsec SafeNet SoftRemote на машинах Windows для создания туннеля до маршрутизатора. WatchGuard использует лицензию на 10 мест MUVPN (первоначально она предоставлялась только на одно место), но вам нужно скачать приложение, как со встроенным персональным брандмауэром ZoneAlarm, так и без него.

Мы поработали с MUVPN и, честно говоря, убили массу времени на установку туннеля. Клиент MUVPN не поставляется с заранее заданной конфигурацией, соответствующей параметрам 6tcw, в документации содержатся ошибки, да и её полнота оставляет желать лучшего. После того, как мы постарались выполнить все уловки, мы связались с WatchGuard. Компания принесла извинения и выслала обновлённое руководство, которое всё ещё содержало неправильную информацию и не помогло установить соединение.

Затем мы связались со службой поддержки, которая сообщила, что проблема была связана с ошибочной настройкой, связанной с возможностью разделения туннелей/split-tunneling. WatchGuard сообщила, что компания работает над улучшением документации и мастеров настройки для следующего обновления прошивки.

Две важные особенности MUVPN заключаются в том, что туннель работает только в Агрессивном/Aggressive режиме и требует использования статических IP-адресов на обоих концах туннеля. Хотя для организации VPN по беспроводной сети это приемлемо, ограничение по статическим IP не позволит вам подключаться со стороны Интернета.

Мы были удивлены, что настройки IPsec были не особо богаче в режиме Ручного/Manual туннеля VPN, который следует использовать для организации туннеля с устройством, отличным от WatchGuard Firebox (Рис. 5).

Рис. 5. Ручная настройка VPN.

Устройство не поддерживает аутентификацию на базе сертификации, так что вам придётся выбирать для Фазы 1 IP-адрес и домен, хотя Фаза 2 позволяет указывать подсети для локальных и удалённых концов соединения.

Производительность VPN

Мы провели тесты пропускной способности VPN с помощью нашего ноутбука Dell Inspiron 4100 с клиентом WatchGuard MUVPN. Порт ноутбука 10/100 Ethernet работал на 100 Мбит/с в дуплексе, он был подключён к одному из коммутируемых портов 10/100 на основном маршрутизаторе. WAN-порт 6tcw WAN был подключён к другому порту маршрутизатора. В Таблице 1 показаны результаты тестирования.

Таблица 1. Результаты тестирования производительности IPsec VPN

[С детальным описанием тестирования можно ознакомиться здесь.]

Вполне приличная производительность, которой будет более чем достаточно, чтобы не стать “узким местом” для большинства туннельных применений SOHO. Более подробную картину производительности IPsec даёт график Chariot на Рис. 6.

Рис. 6. Пропускная способность с локального на удалённый.

Этот график был получен при условиях, когда через маршрутизатор не проходило какого-либо дополнительного трафика, так что вариации связаны с кодированием. График с удалённого на локальный аналогичен.

Мы также провели потоковый тест Chariot UDP (не показан), который не дал похожих вариаций. Тесты Qcheck при высоких скоростях потока показали потерю данных чуть ниже отметки 800 кбит/с.

Журналирование и мониторинг

Журналирование можно осуществлять через web-сервер администрирования, или отсылать в виде сообщений syslog. Также поддерживается журналирование WatchGuard Security Event Processor (для пользователей Firebox).

Рис. 7. Журнал.

Журнал хорошо отформатирован и может содержать весь разрешённый исходящий трафик. Хотя вы можете очищать журнал через интерфейс администрирования, он не может быть отправлен по электронной почте или записан, также никаких оповещений по электронной почте не отсылается.

Мы были удивлены (и расстроены), когда обнаружили, что информация о работе туннеля не включена в журнал или какое-либо другое место интерфейса администрирования. Нам пришлось использовать Просмотр журнала/Log Viewer на клиенте MUVPN, чтобы понять, в чём причина неудач наших попыток построения туннеля.

Наконец, может мы и пропустили, но мы не обнаружили возможности просмотра подключённых клиентов, как к проводному, так и к беспроводному сегменту беспроводной сети.

Прочие функции

У 6tcw множество дополнительных возможностей, включая добавление десяти статических маршрутов и поддержку динамического DNS (только для dyndns.org). Устройство не поддерживает динамическую маршрутизацию, а также не обеспечивает возможность блокирования доступа к web-прокси, cookies, и апплетам Java b ActiveX.

Возможности серверов DHCP также очень примитивны, без предоставления возможности резервирования IP-адресов по MAC-адресам или управления временем аренды. Что интересно, маршрутизатор поддерживает перенаправление запросов DHCP (relaying) – полезная функция в больших сетях.

Производительность маршрутизации

Результаты тестирования маршрутизации представлены в следующей таблице:

[С детальным описанием тестирования можно ознакомиться здесь.]

Примечания по тестированию: Все тесты проводились при открытых портах Qcheck/Chariot TCP и UDP для клиентов с WAN на LAN при работе консоли Qcheck.

Производительность маршрутизации оказалась довольно любопытной, Учитывая низкую скорость WAN-LAN, мы повторно провели дополнительные тесты Chariot, которые прояснили ситуацию.

Рис. 8. Пропускная способность маршрутизации с WAN на LAN.

Рис. 8 вновь демонстрирует существенную вариацию пропускной способности, которая также наблюдалась и в направлении с LAN на WAN. Хотя средняя пропускная способность будет достаточна для использования в SOHO, мы встречали маршрутизаторы с лучшей скоростью и стабильностью, которые стоили дешевле 6tcw.

Беспроводные функции

Если 6tcw и поддерживает прорекламированные туннели IPsec для беспроводных клиентов, как вы видите на Рис. 9, других уникальных возможностей WLAN немного.

Рис. 9. Беспроводная конфигурация.

Скажем, здесь отсутствует функция “Гостевые службы/Guest Services”, которая присутствовала в Sonicwall TZW – она перехватывает весь беспроводный трафик неавторизованных клиентов и требует их авторизации через web-браузер. К тому же устройство не блокирует связь между беспроводными клиентами.

Поскольку 6tcw акцентируется вокруг VPN, то, подобно Sonicwall, здесь не поддерживаются ни аутентификация 802.1x, ни улучшенное шифрование WPA. Впрочем, вы можете использовать 64- или 128-битное шифрование WEP.

Вы также можете включить управление ассоциацией по MAC-адресам, но вы не можете загрузить или сохранить список адресов, к тому же вы не можете указать для создания списка ассоциированных клиентов или компьютеры в зоне действия сети, что облегчило бы его составление. Наконец, вы можете полностью отключить точку доступа (на странице конфигурации Опциональная сеть/Optional Network).

Беспроводная производительность

В следующей таблице представлены результаты тестов беспроводной производительности 802.11b:

[С детальным описанием тестирования можно ознакомиться здесь.]

Примечания:

• Значения “Качество сигнала/Signal Quality” мы не смогли получить
• VPN и WEP были отключены, если не указано иное
• Тестирование проводилось с клиентской картой ORiNOCO 802.11b Gold под WinXP Home на ноутбуке Dell Inspiron 4100

Для тестирования мы использовали карту ORiNOCO 802.11g Gold card, в основном из-за того, что её же мы использовали и при тестировании Sonicwall SOHO TZW. Мы также попробовали новую карту NETGEARWG511T 802.11g, которая использует последнюю технологию Atheros “Super-G”, чтобы посмотреть, как маршрутизатор работает с клиентами 802.11g. Тестирование прошло успешно, а производительность оказалась та же, что и для клиентов 802.11b (в самом близком местоположении “Условие 1”).

С выбранным тестовым партнёром мы провели стандартные тесты пропускной способности в четырёх местоположениях, результаты которых сведены на Рис. 10.

Рис. 10. Тесты пропускной способности в четырёх местоположениях.

Чтобы упростить ситуацию, мы провели тесты без шифрования и VPN. Как вы можете заметить, TZW даёт стабильную пропускную способность во всех тестовых местоположениях, но она примерно на 3,8 Мбит/с ниже, чем пропускная способность в лучших условиях последних продуктов 802.11b.

К сожалению, включение WEP или VPN ещё сильнее снижает пропускную способность, как показано на Рис. 11.

Рис. 11. Сравнение пропускной способности при включении режимов безопасности.

На Рис. 11 показаны четыре прохода Chariot в “Условии 1” (близкое расстояние) с:

• отключёнными VPN и WEP
• только включённым туннелем VPN
• только включённым шифрованием WEP 128
• с включёнными туннелем VPN и шифрованием WEP 128

Как видим, включение WEP снижает пропускную способность с 3,8 Мбит/с при лучших условиях примерно на 20% до 3,1 Мбит/с. Впрочем, использование более безопасного туннеля IPsec понижает пропускную способность всего на 10% до 3,5 Мбит/с. Если по какой-то причине вы выберите и шифрование WEP, и туннель IPsec, то получите примерно 25% падение производительности.

Мы были удивлены, что туннель влияет на пропускную способность беспроводной сети, поскольку тесты проводных туннелей VPN показывают среднюю пропускную способность туннеля 5,5 Мбит/с. Но, к сожалению, похоже, что вам придётся расплачиваться снижением пропускной способности за безопасность VPN у беспроводных клиентов.

Хорошей новостью будет то, что беспроводная производительность VPN WatchGuard в 3,5 Мбит/с лучше, чем 3 Мбит/с у Sonicwall SOHO TZW (примерно на 15%). Минусом будет то, что оба устройства не слишком хорошо справятся с нагруженной беспроводной сетью.

Заключение

Пока что беспроводные маршрутизаторы с поддержкой подключения клиентов по VPN не слишком интересуют крупных производителей сетевого оборудования. Так что выбор невелик, причём при покупке придётся доплачивать более $100 на один маршрутизатор в год за сервис/поддержку даже для скачивания новых версий прошивки.

Не знаем, как вы, но когда мы платим дополнительные деньги за сервис, мы предполагаем лучшие в своём классе производительность и функциональность, надёжную работу и продуманную документацию. К сожалению, WatchGuard Firebox SOHO 6tcw не даёт указанных преимуществ.

Хотя устройство стоит примерно на $200 меньше и имеетчуть лучшую пропускную способность беспроводной сети, чем конкурирующий продукт Sonicwall TZW, различие между ними двумя примерно такое же, как между эконом-классом (6tcw) и бизнес-классом (TZW). В общем, любой продукт даст вам то, что вам нужно, но более высокая цена даёт более комфортную работу.