Das Bridging ist eine Methode zur Weiterleitung von Datenpaketen und wird hauptsächlich in Ethernet-Netzwerken eingesetzt. Im Gegensatz zum Routing trifft Bridging keine Annahmen darüber, wo sich in einem Netzwerk eine bestimmte Adresse befindet. Stattdessen benutzt es Broadcasting, um unbekannte Geräte zu lokalisieren.
Durch Bridging können zwei oder auch mehrere gleichartige Netzwerke oder Netzwerksegmente miteinander verbunden werden. Dabei werden die Datenpakete mittels Bridging-Tabellen, die MAC-Adressen einem Bridge-Port zuordnen, weitergeleitet. Die entstehende Bridge übermittelt den Verkehr dann transparent durch die Bridging-Schnittstellen.
Hinweis – Diese Art von Verkehr muss explizit durch entsprechende Firewallregeln erlaubt werden. Die meisten virtuellen Hosts lassen standardmäßig keine Änderungen von MAC-Adressen oder den Promiscuous Mode auf ihren virtuellen Schnittstellen zu. Damit Bridging auf virtuellen Hosts ausgeführt werden kann, stellen Sie sicher, dass die Validierung auf den MAC-Adressen des virtuellen Hosts deaktiviert und der Promiscuous Mode zugelassen ist.
Hinweis – Falls sie in der UTM Version 9.2 eine konfigurierte Bridge unter Schnittstellen & Routing > Bridging > Status hatten, wird diese Konfiguration mit einem Hinweis auf die vorherige Version in der Schnittstellenübersicht angezeigt.
Um eine Ethernet Bridge zu konfigurieren, gehen Sie folgendermaßen vor:
-
Klicken Sie auf der Seite Schnittstellen auf Neue Schnittstelle.
Das Dialogfeld Schnittstelle hinzufügen öffnet sich.
-
Nehmen Sie die folgenden Einstellungen vor:
Name: Geben Sie einen aussagekräftigen Namen für die Schnittstelle ein.
Art: Wählen Sie Ethernet Bridge aus der Auswahlliste aus.
Hinweis – Wenn Sie eine bestehende Schnittstelle bearbeiten können Sie den Typ ändern und die Schnittstelle in eine Ethernet Bridge konvertieren. Nach der Konvertierung, erscheint ein Hinweis unter der geänderten Schnittstelle in der Schnittstellenübersicht. Eine konvertierte Ethernet Bridge kann auch wieder in eine Ethernet Schnittstelle zurück konvertiert werden.
Bridge über ausgewählte NICs: In diesem Modus können die NIC
s für die Bridge individuell zusammengestellt werden. Hierfür werden mindestens zwei unkonfigurierte Netzwerkkarten benötigt. Wählen Sie eine oder mehrere Netzwerkkarten aus, die Teil der Bridge werden sollen. Außerdem besteht die Möglichkeit, eine Konvertierungsschnittstelle zu bestimmen, die auf die neue Bridge übertragen wird.Dynamische IP Aktivieren Sie diese Option, um dynamische IP-Adressen zu verwenden.
IPv4-Adresse: Geben Sie die IP-Adresse für die Schnittstelle ein.
Hinweis – Die IP-Adresse 0.0.0.0 in einer Ethernet Bridge ist möglich. In diesem Fall haben Sie eine Bridge ohne Adresse.
Netzmaske: Wählen Sie eine Netzmaske (IPv4) und/oder geben Sie eine IPv6-Netzmaske ein.
IPv4-/IPv6-Standard-GW (optional): Wählen Sie diese Option, wenn Sie ein statisches Standardgateway verwenden wollen.
Standard-GW-IP (optional): Geben Sie hier die IP-Adresse des Standardgateways ein.
Hinweis – Eine Schnittstelle kann gleichzeitig eine IPv4- und eine IPv6-Adresse besitzen.
Kommentar (optional): Fügen Sie eine Beschreibung oder sonstige Informationen hinzu.
-
Optional können Sie die folgende erweiterte Einstellung vornehmen:
MTU: Geben Sie die maximale Größe der Datenpakete (engl. Maximum Transmission Unit) für die Schnittstelle in Byte an. Sie müssen einen Wert eingeben, der zur Art der Schnittstelle passt, wenn Sie Verkehrsverwaltung betreiben wollen. Der voreingestellte Wert ist ein sinnvoller Wert und sollte nur von technisch erfahrenen Benutzern geändert werden, da ein falscher Wert die Schnittstelle funktionsunfähig machen kann. Ein MTU-Wert, der größer als 1500 Byte ist, muss vom Netzwerkbetreiber und der Netzwerkkarte (z.B. Gigabit-Netzwerkkarte) unterstützt werden.Der MTU
-Wert ist für die Schnittstellenart Ethernet auf 1500 Byte voreingestellt.Standard Routen-Metrik: Geben Sie die Standard Routen-Metrik für die Schnittstelle ein. Der Metrik-Wert wird verwendet um zwischen Routen mit demselben Ziel zu unterscheiden und zu priorisieren. Der Wert gilt für alle Schnittstellen.
Proxy-ARP: Wählen Sie diese Option aus, um die Proxy-ARP-Funktion zu aktivieren. Standardmäßig ist die Funktion Proxy-ARP deaktiviert.Diese Funktion ist für Schnittstellen vom Typ Broadcast verfügbar. Wenn diese Funktion aktiviert ist, wird die UTM über diese Schnittstelle Datenverkehr stellvertretend für andere Hosts annehmen und diesen entsprechend weiterleiten. Diese Aufgabe übernimmt die Firewall für alle Hosts, zu denen sie eine direkte Schnittstellenroute besitzt. Das ermöglicht Ihnen, ein „transparentes“ Netzwerk-Bridging einzurichten ohne auf die Firewall-Eigenschaften zu verzichten. Ein anderer Anwendungsfall für diese Funktion ist, wenn der Router Ihres Anbieters (ISP
) Ihr „offizielles“ Netzwerk einfach auf seine Ethernetschnittstelle setzt (anstelle eine Host-Route zu verwenden). -
Optional können Sie die folgenden erweiterten Bridge Einstellungen vornehmen:
ARP-Broadcasts zulassen: Mit dieser Funktion können Sie bestimmen, ob eingehende ARP-Broadcasts von der Bridge weitergeleitet werden sollen. Im eingeschalteten Zustand erlaubt die Bridge Anfragen an die MAC-Zieladresse FF:FF:FF:FF:FF:FF. Dies kann eventuell von mutmaßlichen Angreifern genutzt werden, um Informationen über die Netzwerkkarten im entsprechenden Netzwerksegment oder sogar auf dem Gerät selbst zu sammeln. Daher ist die Standardeinstellung, solche Broadcasts nicht durch die Bridge zu lassen.
Spanning Tree Protocol: Wenn diese Option aktiviert ist, wird das Spanning Tree Protocol (STP) aktiviert. Dieses Netzwerkprotokoll erkennt und verhindert Bridge-Loops.
Achtung – Beachten Sie, dass das Spanning Tree Protocol keinen Schutz bietet. Daher können Angreifer möglicherweise die Bridge-Topologie ändern.
Ablaufzeit: In diesem Eingabefeld stellen Sie ein, nach welcher Zeitspanne eine inaktive MAC-Adresse gelöscht wird. Standardmäßig ist als Zeitraum 300 Sekunden voreingestellt.
IPv6-Durchleitung zulassen: Aktivieren Sie diese Option, um die Durchleitung von IPv6-Verkehr über die Bridge ohne Kontrolle zuzulassen.
Virtuelle MAC-Adresse: Hier können Sie eine statische MAC-Adresse für die Bridge eingeben. Standardmäßig (und solange der Eintrag 00:00:00:00:00:00 lautet) verwendet die Bridge die niedrigste MAC-Adresse aller zugehörigen Schnittstellen.
Weitergeleitete EtherTypes: Standardmäßig leitet eine Bridge, die auf Sophos UTM konfiguriert ist, nur IP-Pakete weiter. Wenn Sie möchten, dass weitere Protokolle weitergeleitet werden, müssen Sie deren EtherType in dieses Feld eingeben. Die Typen müssen als 4-stellige hexadezimale Zahlen angegeben werden. Beliebte Beispiele sind AppleTalk (Typ 809B), Novell (Typ 8138) oder PPPoE (Typen 8863 und 8864). Ein typischer Fall wäre eine Bridge zwischen Ihren RED
-Schnittstellen, die zusätzliche Protokolle zwischen den verbundenen Netzwerken weiterleiten sollen. -
Klicken Sie auf Speichern.
Das System prüft die Einstellungen nun auf ihre Gültigkeit. Nach der erfolgreichen Prüfung wird die neue Schnittstelle in der Schnittstellen-Liste angezeigt. Die Schnittstelle ist noch nicht aktiv (Schieberegler ist grau).
-
Aktivieren Sie die Schnittstelle.
Klicken Sie auf den Schieberegler, um die Schnittstelle zu aktivieren.
Die Schnittstelle ist jetzt aktiv (Schieberegler ist grün). Die Schnittstelle wird zunächst möglicherweise noch als Aus (nicht verbunden) angezeigt. Das System benötigt kurze Zeit, um die Einstellungen zu konfigurieren und zu laden. Die neue Schnittstelle ist betriebsbereit, wenn die Statusmeldung An angezeigt wird.
Um nur Schnittstellen einer bestimmten Art angezeigt zu bekommen, wählen Sie im Filtermenü die entsprechende Art. Um eine Schnittstelle zu bearbeiten oder zu löschen, klicken Sie auf die entsprechenden Schaltflächen.
Siehe auch