3. Configurazione di rete¶

L'appliance va raggiunta a un indirizzo stabile, deciso da te e non assegnato dal DHCP: i sistemi che la utilizzano puntano a quell'indirizzo, e se cambia smettono di funzionare.

Aprire la gestione delle interfacce¶

Dal menu laterale scegli Rete → Interfaccia di Rete. La pagina elenca le schede presenti sull'appliance con l'indirizzo assegnato e l'indirizzo MAC.

I due pulsanti in alto aprono due sezioni collegate:

Hosts: la tabella dei nomi host risolti localmente, utile quando i dispositivi con cui l'appliance dialoga non sono censiti nel DNS aziendale.
Rotte e Failover: le rotte statiche e l'eventuale seconda via di uscita.

Assegnare l'indirizzo¶

Fai clic sul nome dell'interfaccia, per esempio eth0, per aprirne i parametri. Compila indirizzo IP, maschera di rete e gateway predefinito concordati con l'amministratore di rete, poi salva.

Dopo il salvataggio l'indirizzo cambia

Se stai lavorando sull'interfaccia web attraverso il vecchio indirizzo, la pagina smette di rispondere non appena confermi. Riapri il browser sul nuovo indirizzo, sulla porta 8443: per esempio https://192.168.1.10:8443.

DNS e nome host¶

Sempre da Rete → Interfaccia di Rete, il pulsante Hosts apre la gestione del nome host dell'appliance e delle risoluzioni locali. Imposta un nome host significativo: comparirà nelle notifiche inviate dall'apparato.

Indica poi i server DNS che l'appliance deve interrogare. Servono per risolvere i nomi dei sistemi con cui dialoga e per raggiungere lo smart host della posta.

3.4 Le schede di un firewall Serie S¶

Un'appliance Serie S ha almeno due schede di rete, perché il suo compito è stare fra due mondi: la rete interna da proteggere e Internet. I ruoli delle prime due schede sono fissi:

eth0 è sempre la LAN — la rete interna, e l'interfaccia da cui si raggiunge la gestione dell'apparato;
eth1 è sempre la prima WAN — il collegamento a Internet.

Le schede successive (eth2, eth3…) si dedicano a compiti aggiuntivi: una seconda linea Internet, oppure una DMZ, la zona separata dove stanno i server che devono essere raggiungibili da fuori senza per questo esporre la LAN.

Non toccare la LAN da cui sei collegato senza una via di ritorno

eth0 è l'interfaccia da cui, quasi sempre, stai amministrando l'apparato. Cambiarne indirizzo o maschera senza un secondo modo per rientrare — una VPN, l'accesso da un'altra interfaccia — significa rischiare di perdere il collegamento a metà della modifica. Su un firewall in servizio, prima di intervenire sulla LAN assicurati una via di ritorno.

3.5 VLAN, bridge e indirizzi aggiuntivi¶

Oltre alle schede fisiche, la pagina permette di definire interfacce logiche costruite sopra di esse:

VLAN — più reti separate sulla stessa scheda fisica, ciascuna con il proprio indirizzo e una descrizione (Management, Ospiti, VoIP, DMZ…). È il modo per dividere la rete interna in segmenti isolati senza moltiplicare cavi e apparati.
Bridge — l'operazione opposta: unisce più schede in un unico segmento, come se fossero un solo cavo, quando serve che apparati su porte diverse si vedano sulla stessa rete.
IP virtuale — un secondo indirizzo sulla stessa interfaccia (per esempio eth0:11), utile quando l'apparato deve rispondere a più indirizzi sulla stessa rete.

Le VLAN separano senza sdoppiare l'hardware

Le reti degli ospiti, dei telefoni VoIP o dei server in DMZ non dovrebbero vedere la LAN degli uffici. Le VLAN ottengono questa separazione su una sola scheda fisica: ciascuna è una rete a sé, e il firewall decide che cosa può passare dall'una all'altra.

3.6 Più linee Internet (multiWAN)¶

Con almeno tre schede — la LAN e due o più WAN — l'apparato gestisce più collegamenti a Internet insieme. Due strumenti, raggiungibili dai pulsanti in cima alla pagina, governano come il traffico li usa:

Rotte e Failover — stabilisce quale linea usare e come comportarsi se una cade, spostando il traffico sull'altra;
Multi gateway — distribuisce il traffico fra le linee, per sommarne la banda o dedicarne una a certi usi.

Continuità e capacità sono due obiettivi diversi

Una seconda WAN serve a due scopi distinti: la continuità, perché se una linea cade il traffico passa sull'altra senza fermare il lavoro; e la capacità, perché finché funzionano entrambe si ripartisce il traffico fra le due. Rotte e Failover punta al primo scopo, Multi gateway al secondo.