- Описание d-link dfl-210:
- Выполните настройку второй фазы.
- Выполните настройку первой фазы.
- Добавление ipsec.
- Добавление ключа pre-shared key.
- Доступность
- Изображение d-link dfl-210:
- Информация для заказа d-link dfl-210:
- Настройка ipsec между межсетевым экраном dfl-210/800 и di-804hv
- Настройка ipsec на di-804hv.
- Создание второго правила.
- Создание разрешающих правил для доступа из ipsec в lan и наоборот.
- Тестирование производительности
- Ярлыки
- Выводы
Описание d-link dfl-210:
По мере того, как бизнес-процессы становятся все более зависимыми от сетевой инфраструктуры, капиталовложения, сделанные в решения по безопасности становятся все более значимыми. D-Link представляет ряд мощных решений нового поколения для защиты сетей предприятий Серия NetDefend учитывает растущие требования, предъявляемые к сетевой безопасности, защите от атак хакеров, вирусным угрозам и повышению конфиденциальности информации.
Устройства серии NetDefend представляют собой законченное решение в области безопасности, включающее встроенную поддержку межсетевого экрана, балансировку нагрузки, функции отказоустойчивости, механизм Zone-Defense, фильтрацию содержимого, аутентификацию пользователей, блокировку «мгновенных» сообщений и приложений Р2Р, защиту от атак «отказ в обслуживании» DoS и поддержку виртуальных локальных сетей VPN.
Эти устройства соответствуют требованиям предприятий различного масштаба, от SOHO до Enterprise к безопасности и удаленному доступу, обеспечивая высокопроизводительное решение по разумной цене.В межсетевых экранах эффективно объединены расширенные функции, предоставляющие администраторам сетей решение безопасности business-класса «все в одном».
Для того, чтобы минимизировать влияние аварийной ситуации на всю сеть, межсетевые экраны поддерживают специальную функцию – Zone-Defense, представляющую собой механизм, позволяющий им работать совместно с управляемыми коммутаторами D-Link и обеспечивающий активную сетевую безопасность.
Аппаратная спецификация межсетевых экранов NetDefend включает высокоскоростные процессоры, базы данных и вычислительные мощности, позволяющие обрабатывать до миллиона параллельных сессий. Эти межсетевые экраны поставляются с несколькими сетевыми интерфейсами, настраиваемыми пользователями, включая порты Gigabit Ethernet, позволяя развертывать гибкие, масштабируемые и свободные от «узких» мест сети, объединяющие между собой различные рабочие группы и предприятия.
Все межсетевые экраны серии NetDefend поддерживают удаленное управление через Web-интерфейс, как из локальной подсети, так и через выделенное VPN-соединение. Устройства также включают в себя набор функций для мониторинга и поддержания состояния и безопасности сети, в том числе отправку уведомлений по электронной почте, ведение журнала системных событий и предоставление статистики в режиме реального времени.
Выполните настройку второй фазы.
Заполните поля окна PHASE 2 следующим образом:
Снимите галочку в поле PFS EnableВ IKE Proposal List укажите Chipher – 3DES, а Hash – MD5IPSec Lifetime: 3600
Нажмите кнопку Save Settings
Выполните настройку первой фазы.
Заполните поля окна PHASE 1, следующим образом:
Выберите режим: Main modeKeep Alive / DPD: noneDH Group: 2 – modp 1024-bitВ IKE Proposal List укажите Chipher 3DES, а Hash MD5IKE Lifetime: 28800
Добавление ipsec.
Нажмите на знак знак « » рядом с папкой Interfaces и выберите IPSec, затем нажмите Add, из меню выберите IPSec Tunnel.
Заполните поля следующим образом: Вкладка General – параметры General:
Name: TunnelLocal Network: lannetRemote Network: IPSec_remote_netRemote Endpoint: IPSec_remote_endpointEncapsulation Mode: Tunnel
Параметры Algorithms:
IKE Algorithms: MediumIKE Life Time: 28800IPsec Algorithms: MediumIPsec Life Time: 3600
Затем выберите вкладку Authentication.
Укажите в поле Pre-shared Key: IPSec_Key.
После заполнения всех полей нажмите ОК.
Добавление ключа pre-shared key.
Нажмите на знак « » рядом с папкой Objects и выберите Authentication Objects, затем нажмите Add, и из меню выберите Pre-Shared Key.
Заполните поля следующим образом:Name: IPSec_Key
Passphrase Shared Secret: Введите ключ ключ, например 1029384756Confirm Secret: Введите ключ повторно.
После заполнения всех полей нажмите ОК.
Доступность
Средняя розничная цена на рассматриваемое в статье устройство на последний момент: Н/Д(0)
Изображение d-link dfl-210:
Рис.1. D-Link DFL-210 – Вид спереди
Рис.2. D-Link DFL-210 – Изображение
Информация для заказа d-link dfl-210:
NetDefend межсетевой экран для малого бизнесаD-Link DFL-210DFL-210 D-Link DFL-210 1 порт 10/100Base-TX WAN, 1 порт 10/100Base-TX DMZ, 4 порта 10/100Base-TX LAN
DFL-210-IPS-12 D-Link DFL-210 Лицензия на обновление сигнатур IDS/IDP (подписка на 12 месяцев) для DFL-210DFL-210-AV-12 D-Link DFL-210 Лицензия на обновление сигнатур антивируса (подписка на 12 месяцев)DFL-210-WCF-12 D-Link DFL-210 Лицензия на обновление сигнатур фильтрации web-контента (подписка на 12 месяцев)
Настройка ipsec между межсетевым экраном dfl-210/800 и di-804hv
IPSec строим исходя из данных: DFL:Внутренняя сеть (lannet): 192.168.1.0/24 IP на WAN (wan_ip): 192.168.110.10
DI-804HV: Внутренняя сеть: 192.168.0.0IP на WAN: 192.168.110.100
Настройка ipsec на di-804hv.
Откройте Web-браузер и введите IP-адрес DI-824HV в адресную строку (по умолчанию 192.168.0.1) и нажмите Enter. Авторизуйтесь.
Кликните с верху на вкладке Home, выберите внизу слева VPN. 
VPN на Enable, в поле Max number of tunnels поставьте 2, далее занесите в поле Tunnel Name с ID 1 tunnel и нажмите apply, дождитесь применения настроек и нажмите continue.
VPN на Enable, в поле Max number of tunnels поставьте 2, далее занесите в поле Tunnel Name с ID 1 tunnel и нажмите apply, дождитесь применения настроек и нажмите continue.
Нажмите на кнопку More напротив заполненного поля tunnel и заполните поля следующим образом:
Tunnel Name: TunnelLocal Subnet: 192.168.0.0 Local Mask: 255.255.255.0 Remote Subnet: 192.168.1.0 Remote Mask: 255.255.255.0 Remote Gateway: 192.168.110.10Preshare Key: Введите ключ такой же как ввели при настройки DFL например 1029384756
Нажмите Аpply, дождитесь применения настроек и нажмите continue.
Настраиваем IKE Proposal.
Нажмите кнопку Select IKE Proposal и заполните поля как показано на рисунке: 
Шаг 1: В поле Proposal Name укажите Tunnel. Шаг 2: В поле DH Group из выпадающего меню выберите Group 2. Шаг 3: В поле Auth algorithm из выпадающего меню выберите MD5. Шаг 4:
После заполнения всех полей нажмите Аpply, дождитесь применения настроек и нажмите continue. Далее нажмите кнопку Back.
Настраиваем IPSec Proposal.
Нажмите на кнопку Select IPSec Proposal и заполните поля как показано на рисунке: 
Шаг 1: В поле Proposal Name укажите Tunnel. Шаг 2: В поле DH Group из выпадающего меню выберите None. Шаг 3: В поле Auth algorithm из выпадающего меню выберите MD5. Шаг 4:
После заполнения всех полей нажмите Аpply, дождитесь применения настроек и нажмите continue.
Проверяем тоннель IPSec.
Кликните сверху на вкладке Status, выберите внизу слева VPN Status, нажмите кнопку reconnect, затем нажмите кнопку refresh. 
Type и State, если они соответствуют тому, что приведено на рисунке ниже, то тоннель установлен. 
Type и State, если они соответствуют тому, что приведено на рисунке ниже, то тоннель установлен.
Создание второго правила.
Нажмите кнопку Add, выберите IP Rule.
Заполните поля следующим образом:
Вкладка General – параметры General:
Name: lan_to_IPSecAction: AllowService: all_services
Параметры Address Filter:
Source: Interface: lanNetwork: lannet
Destination:Interface: tunnelNetwork: IPSec_remote_net
Нажмите ОК.
Для того, чтобы настройки вступили в силу – необходимо в верхнем меню выбрать Configuration, затем Save and Activate, нажмите ОК и дождитесь сохранения настроек.
Создание разрешающих правил для доступа из ipsec в lan и наоборот.
Нажмите на знак « » рядом с папкой Rules, далее на знак « » рядом с папкой IP Rules и выберите эту папку, нажмите кнопку Add, укажите IP Rule Folder, в поле Name укажите IPSec и нажмите ОK.
Нажмите кнопку Add, выберите IP Rule.
Заполните поля следующим образом:
Вкладка General – параметры General:
Name: IPSec_to_lanAction: AllowService: all_services
Параметры Address Filter:
Source:Interface: tunnelNetwork: IPSec_remote_net
Destination: Interface: lanNetwork: lannet
Нажмите ОК.
Тестирование производительности
Тестирование проводного сегмента
Тестирование проводилось по этой методике
Максимальная скорость: 67,90 Мбит/с — достаточно высокий показатель. В полнодуплексном режиме скорость трафика несколько снижается, а скорость в направлении WAN->LAN становится существенно ниже скорости в направлении LAN->WAN.
Посмотрим, как ведет себя трафик при уменьшении размера пакетов:
Тестирование NetPIPE
Максимальная скорость: 76,45 Мбит/с. При увеличении размера передаваемого блока данных, скорость сначала возрастает, некоторое время держится максимума, а затем заметно падает (с
40 Мбит/с) — аномальное поведение.
Ярлыки
Выводы
Рассмотренное устройство имеет достаточно широкие функциональные возможности, часть которых (VPN-сервер, шейпинг трафика и др.) будет рассмотрена в следующих обзорах.
Устройство является достаточно новым — на сайте D-Link его описание пока отсутствует.
По своей функциональности устройство является маршрутизатором с более широкими возможностями настройки (если сравнивать его с «обычными» NAT-маршрутизаторами). Настройка устройства может осуществляться только через WEB-интерфейс, который позволяет производить достаточно гибкую настройку устройства, но за счет этого достаточно сложен — на то, чтобы привыкнуть к работе с ним может потребоваться немало времени.
При проверке работы WEB-интерфейса в различных браузерах, было обнаружено, что в Opera браузер работает некорректно. В InternetExplorer и Mozilla FireFox проблем с интерфейсом настройки не возникало.
Консольный интерфейс устройства не позволяет производить настройку устройства — через него возможен только сбор информации и сброс настроек.
При увеличении блока передаваемых данных, скорость трафика заметно снижается, что является аномальным поведением.
Плюсы:
- Гибкость интерфейса настройки
- Широкие возможности настройки файрвола
- Возможность работы с политиками маршрутизации
- Наличие в устройстве 3-х VPN-серверов (IPSec, PPTP, L2TP)
- Возможность обнаружения и предотвращения вторжений
- Возможность шейпинга трафика
Минусы:
- Невозможность отключения аппаратного MAC-адреса на интерфейсах устройства
- Сложность WEB-интерфейса
- Невозможность настройки через консольный интерфейс
- Заметное снижение производительности при увеличении блоков передаваемых данных
- Отсутствие описания расширенных настроек («Advanced Settings») в документации
источник