Clientverwaltung

Auf der Seite RED-Verwaltung > Clientverwaltung können Sie die Verbindung von entfernten UTMs mit Ihrer UTM über einen Remote Ethernet Device (RED)-Tunnel aktivieren. Die entfernten UTMs fungieren dann einfach als RED-Appliances. Darüber hinaus können Sie RED-Appliances manuell konfigurieren (Expertenmodus), anstatt die Einrichtungshilfe zu verwenden. Die Einrichtungshilfe ist ein bequemerer Weg, RED-Appliances zu konfigurieren, und befindet sich auf der nächsten WebAdmin-Seite.

Jede RED-Appliance oder jede UTM, die hier konfiguriert ist, kann eine Verbindung zu Ihrer UTM herstellen.

Die Markierung [Server] vor dem Seitennamen gibt an, dass diese Seite nur konfiguriert werden muss, wenn die UTM als Server (RED-Hub) fungieren soll.

Hinweis – Damit sich RED-Appliances verbinden können, müssen Sie zunächst die RED-Unterstützung auf der Seite Allgemeine Einstellungen aktivieren.

Einrichten eines RED-Tunnels zwischen zwei UTMs.

Damit eine weitere UTM über einen RED-Tunnel eine Verbindung mit Ihrer lokalen UTM herstellen kann, gehen Sie folgendermaßen vor:

1. Klicken Sie auf der Registerkarte Clientverwaltung auf RED hinzufügen.

   Das Dialogfenster RED hinzufügen wird geöffnet.

2. Nehmen Sie die folgenden Einstellungen vor:

   Zweigstellenname: Geben Sie einen Namen für die Zweigstelle ein, in der sich die Client-UTM befindet, z.B. „Büro München“.

   Client-Typ: Wählen Sie UTM aus der Auswahlliste aus.

   Tunnel-ID: Standardmäßig ist Automatisch ausgewählt. Tunnel werden durchnummeriert. Sie müssen sicherstellen, dass die Tunnel-ID beider UTMs eindeutig ist. In diesem Fall kann es erforderlich sein, eine andere ID aus der Auswahlliste auszuwählen.

   Kommentar (optional): Fügen Sie eine Beschreibung oder sonstige Informationen hinzu.

3. Klicken Sie auf Speichern.

   Das UTM-Objekt wird erstellt.

4. Laden Sie die Bereitstellungsdatei herunter.

   Um der entfernten (Client-) UTM die Konfigurationsdaten bereitzustellen, laden Sie die Bereitstellungsdatei mit Hilfe der Schaltfläche Download herunter und übertragen Sie die Datei auf sichere Weise zur entfernten UTM.

Konfiguration einer RED-Appliance

Um eine RED-Appliance mit Ihrer lokalen UTM zu verbinden, gehen Sie folgendermaßen vor:

1. Klicken Sie auf der Registerkarte Clientverwaltung auf RED hinzufügen.

   Das Dialogfenster RED hinzufügen wird geöffnet.

2. Nehmen Sie die folgenden Einstellungen vor:

   Zweigstellenname: Geben Sie einen Namen für die Zweigstelle ein, in der sich die RED-Appliance befindet, z.B. „Büro München“.

   Client-Typ: Wählen Sie RED 10 oder RED 50 aus der Auswahlliste, je nachdem, mit welchem RED-Typ Sie eine Verbindung herstellen möchten.

   Hinweis – Die RED 50-Appliance verfügt über ein LCD-Display. Sie können sie verwenden, um wichtige Informationen zum Gerät anzuzeigen. Mit der Schaltfläche „Nach links“ können Sie das Menü aufrufen. Navigieren Sie mit den Schaltflächen „Nach oben“ bzw. „Nach unten“ und verwenden Sie die Schaltfläche „Nach rechts“ als Eingabetaste. Weitere Informationen finden Sie in den Hinweisen zum Betrieb.

   RED-ID: Geben Sie die ID des RED-Geräts ein, das Sie gerade konfigurieren. Diese ID finden Sie auf der Rückseite der RED-Appliance und auf deren Verpackung.

   Tunnel-ID: Standardmäßig ist Automatisch ausgewählt. Tunnel werden durchnummeriert. Wenn Sie IDs haben, die miteinander in Konflikt stehen, wählen Sie eine andere ID aus der Auswahlliste aus.

   Entsperrcode (optional): Lassen Sie dieses Feld bei der ersten Einrichtung einer RED-Appliance leer. In dem Fall, dass die RED-Appliance, die Sie konfigurieren wollen, zuvor bereits einmal eingerichtet wurde, benötigen Sie deren Entsperrcode. Der Entsperrcode wird während der Einrichtung einer RED-Appliance erzeugt und sofort zu der Adresse gesendet, die auf der Registerkarte Allgemeine Einstellungen festgelegt ist. Dabei handelt es sich um eine Sicherheitsfunktion, die dafür sorgt, dass eine RED-Appliance nicht einfach entfernt und woanders installiert werden kann.

   Hinweis – Für die manuelle Einrichtung über USB-Stick und die automatische Einrichtung mittels RED Provisioning Service (siehe unten) werden zwei verschiedene Entsperrcodes erzeugt. Wenn Sie ein RED-Gerät von einer Bereitstellungsmethode zu einer anderen wechseln, müssen Sie den entsprechenden Entsperrcode verwenden: Für eine manuelle Bereitstellung, verwenden Sie den Entsperrcode der letzten manuellen Bereitstellung; für die automatische Bereitstellung, verwenden Sie den Entsperrcode der letzten automatischen Bereitstellung.

   Wenn Sie nicht im Besitz des Entsperrcodes sind, ist der einzige Weg, die RED-Appliance zu entsperren, den Sophos-Support zu kontaktieren. Der Support kann Ihnen jedoch nur dann helfen, wenn Sie die automatische RED-Einrichtung über den -RED-Provisioning-Service verwendet haben.Sophos

   Tipp – Der Entsperrcode ist auch in Backup-Dateien der UTM enthalten, mit der das RED verbunden war, wenn das Backup hostspezifische Daten enthält.

   UTM-Hostname: Sie müssen eine öffentliche IP-Adresse oder einen Hostnamen eingeben, über den der Zugriff auf Ihre UTM möglich ist.

   2. UTM-Hostname (nur mit RED 15, RED 15w und RED 50): Sie können eine weitere öffentliche IP-Adresse oder einen anderen Hostnamen derselben UTM eingeben. Beachten Sie, dass Sie keine IP-Adressen oder Hostnamen einer anderen UTM eingeben können.

   Verwende 2. Hostname für (nur mit RED 15, RED 15w und RED 50, siehe Bilder unten): Sie können einstellen, für was der zweite Hostname verwendet werden soll.

   • Failover: Wählen Sie diese Option, wenn Sie den zweiten Hostnamen nur für den Fall verwenden möchten, dass der erste Hostname ausfällt.
   • Lastverteilung: Wählen Sie diese Option, um aktive Lastverteilung zwischen den beiden Hostnamen zu aktivieren. Dies ist sinnvoll, wenn die beiden Uplinks, mit denen die Hostnamen korrelieren, in Latenz und Durchsatz gleichwertig sind.

   Uplink-Modus/2. Uplink-Modus: Sie können festlegen, wie das RED-Gerät eine IP-Adresse erhält, entweder über DHCP oder indem Sie ihm direkt eine statische IP-Adresse zuweisen. Für RED 50-Appliances legen Sie den Uplink-Modus jedes RED-Uplink-Ethernet-Anschlusses separat fest.

   • DHCP-Client: Die RED-Appliance bezieht eine IP-Adresse von einem DHCP-Server.
   • Statische Adresse: Geben Sie eine IPv4-Adresse, eine entsprechende Netzmaske, ein Standardgateway und einen DNS-Server ein.

   Hinweis – Es existiert keine eindeutige Zuordnung zwischen UTM-Hostnamen und RED-Uplink-Ethernet-Anschlüssen. Jeder RED-Anschluss versucht, eine Verbindung mit jedem definierten UTM-Hostnamen herzustellen.

   Verwende 2. Hostname für (nur mit RED 50, siehe Bilder unten): Sie können einstellen, für was der zweite Uplink verwendet werden soll.

   • Failover: Wählen Sie diese Option, wenn Sie den zweiten Uplink nur für den Fall verwenden möchten, dass der erste Uplink ausfällt.
   • Lastverteilung: Wählen Sie diese Option, um aktive Lastverteilung zwischen den beiden Uplinks zu aktivieren. Dies ist sinnvoll, wenn die beiden Uplinks der RED 50-Appliance in Latenz und Durchsatz gleichwertig sind.

   Betriebsmodus: Sie können festlegen, wie das entfernte Netzwerk in Ihr lokales Netzwerk integriert werden soll.

   Hinweis – Wenn Sie RED 15w als Access Point verwenden, wird empfohlen, dass Sie das Kapitel RED-Verwaltung > RED 15w lesen, insbesondere wenn Sie Probleme bei der Konfiguration haben.

   • Standard/Vereint: Die UTM kontrolliert den Netzwerkverkehr des entfernten Netzwerks vollständig. Darüber hinaus agiert sie als DHCP-Server und als Standardgateway. Das Routing des gesamten Netzwerkverkehrs des entfernten Netzwerks erfolgt über die UTM.
   • Standard/Getrennt: Die UTM kontrolliert den Netzwerkverkehr des entfernten Netzwerks vollständig. Darüber hinaus agiert sie als DHCP-Server und als Standardgateway. Im Gegensatz zum vereinten Modus wird nur bestimmter Verkehr über die UTM geroutet. Legen Sie unten im Feld Getrennte Netzwerke lokale Netzwerke fest, auf die entfernte Clients Zugriff haben sollen.

   Hinweis – VLAN-getaggte Datenframes können mit diesem Betriebsmodus nicht bearbeitet werden.

   • Transparent/Getrennt: Die UTM kontrolliert weder den Netzwerkverkehr des entfernten Netzwerks, noch fungiert sie als DHCP-Server oder als Standardgateway. Im Gegenteil, sie bezieht eine IP-Adresse vom DHCP-Server des entfernten Netzwerks, um Teil von jenem Netzwerk zu werden. Dennoch können Sie entfernten Clients Zugriff auf Ihr lokales Netzwerk geben. Dafür müssen Sie Getrennte Netzwerke festlegen, auf die vom entfernten Netzwerk aus zugegriffen werden darf. Darüber hinaus können Sie eine oder mehrere Getrennte Domänen festlegen, die zugänglich sein sollen. Falls Ihre lokalen Domänen nicht öffentlich auflösbar sind, müssen Sie einen Getrennten DNS-Server angeben, der Anfragen von den entfernten Clients entgegennimmt.

   Hinweis – VLAN-getaggte Datenframes können mit diesem Betriebsmodus nicht bearbeitet werden.

   Beispiele zu diesen Betriebsmodi finden Sie auf der Registerkarte Einrichtungshilfe.

3. Nehmen Sie für RED 50 optional folgende Switch-Port-Konfigurationseinstellungen vor:

   LAN-Port-Modus: RED 50 bietet vier LAN-Ports, die entweder als einfache Switches oder für eine intelligente VLAN-Nutzung konfiguriert werden können. Wenn Switch konfiguriert ist, wird sämtlicher Verkehr im Prinzip an alle Ports gesendet. Wenn VLAN konfiguriert ist, kann Verkehr gemäß den VLAN-Tags der Ethernet-Frames gefiltert werden. Dadurch kann mehr als ein Netzwerk durch den RED-Tunnel geführt werden.

   LAN-Modi: Wenn Sie Ports als VLAN-Switches konfigurieren, können Sie jeden LAN-Port separat konfigurieren. Für jeden LAN-Port sind die folgenden Optionen verfügbar:

   Ohne Tags: Ethernet-Frames mit den im Feld LAN VID(s) unten angegebenen VLAN-IDs werden an diesen Port gesendet. Die Frames werden ohne Tags gesendet. Daher müssen die Endgeräte VLAN nicht unbedingt unterstützen. Für diesen Port ist nur eine einzige VLAN-ID zulässig.

LAN-Modus: Ohne Tags

Ohne Tags, mit Tags verwerfen: Ethernet-Frames mit den im Feld LAN VID(s) unten angegebenen VLAN-IDs werden nicht an diesen Port gesendet. Die Frames werden ohne Tags gesendet. Daher müssen die Endgeräte VLAN nicht unbedingt unterstützen.

LAN-Modus: Ohne Tags, mit Tags verwerfen

Mit Tags: Ethernet-Frames mit den im Feld LAN VID(s) unten angegebenen VLAN-IDs werden an diesen Port gesendet. Die Frames werden mit Tags gesendet. Daher müssen die Endgeräte VLAN unterstützen. Frames ohne VLAN-IDs werden nicht an diesen Port gesendet. Für diesen Port sind bis zu 64 verschiedene, durch Komma getrennte VLAN-IDs zulässig.

LAN-Modus: Mit Tags

Nicht verwendet: Dieser Port ist geschlossen. Keine Frames mit den oder ohne die im Feld LAN VID(s) angegebenen VLAN-IDs werden an diesen Port gesendet.

LAN-Modus: Nicht verwendet

Hinweis – Die LAN-Modi haben in der Cisco/HP Dokumentation andere Namen. Ohne Tags wird „Hybrid Port“ genannt, ohne Tags, mit Tags verwerfen wird „Access Port“ genannt, mit Tags wird „Trunk Port“ genannt.

Kommentar (optional): Fügen Sie eine Beschreibung oder sonstige Informationen hinzu.

Querverweis – Weitere Informationen zum VLAN-Tagging für RED 50 finden Sie in der Sophos Knowledgebase und weitere Informationen zu Tunnel-Kompression finden Sie ebenfalls in der Sophos Knowledgebase.

4. Optional können Sie folgende erweiterte Einstellungen vornehmen:

   MAC-Filter-Typ: Um die MAC-Adressen einzuschränken, die sich mit dieser RED-Appliance verbinden dürfen, wählen Sie Blacklist oder Whitelist. Mit Blacklist sind alle MAC-Adressen erlaubt, außer denen, die auf der unten ausgewählten MAC-Adressliste stehen. Mit Whitelist sind alle MAC-Adressen verboten, außer denen, die auf der unten ausgewählten MAC-Adressliste stehen.

   MAC-Adressen: Liste der MAC-Adressen, die dazu verwendet wird, den Zugang zur RED-Appliance einzuschränken. MAC-Adresslisten können auf der Seite Definitionen & Benutzer > Netzwerkdefinitionen > MAC-Adressdefinitionen erstellt werden. Beachten Sie, dass für RED 10 maximal 200 MAC-Adressen zulässig sind, wohingegen die Liste für RED 15 und RED 15w bis zu 300 und für RED 50 bis zu 400 MAC-Adressen enthalten kann.

   Hinweis – MAC-Filterung wird nur für RED Rev. 2 oder neuer unterstützt.

   RED einrichten: Wählen Sie aus, wie Sie die nötigen Konfigurationseinstellungen für die RED-Appliance vornehmen möchten. Standardmäßig stellt die UTM die Konfigurationsdaten des RED automatisch über den Sophos RED Provisioning Service zur Verfügung. In diesem Fall erhält das RED seine Konfiguration über das Internet. Die RED-Appliance verbindet sich mit einem Sophos NTP-Server und empfängt die Systemzeit. Wenn Ihr RED beispielsweise über keine Internetverbindung verfügt, können Sie die Konfiguration manuell, über USB-Stick, vornehmen. Um ein RED-Gerät manuell bereitszustellen müssen Sie sicherstellen, dass UTM als NTP-Server agiert. Aktivieren Sie hierzu NTP auf der UTM und lassen Sie das richtige Netzwerk zu oder zumindest die IP-Adresse des RED.

   Hinweis – Sophos UTM Version 9.2 oder älter: Nachdem Sie RED manuell bereitgestellt haben, müssen Sie es einmalig mit Hilfe des RED Provisioning Service (automatisch) bereitstellen, bevor Sie es erneut manuell bereitstellen können. Die manuelle Einrichtung funktioniert nur bei RED-Appliances mit Firmware-Version 9.1 oder höher.

   Warnung – Wenn Sie die manuelle Einrichtung wählen, ist es extrem wichtig, den Entsperrcode aufzubewahren, der per E-Mail zugesendet wird. Wenn Sie den Entsperrcode verlieren, können Sie die RED-Appliance nie mehr mit einer anderen UTM verbinden.

   Tunnel-Komprimierung: Das Aktivieren der Tunnel-Komprimierung komprimiert den gesamten Verkehr, der durch den RED-Tunnel gesendet wird. Tunnel-Komprimierung könnte den Durchsatz der RED-Appliance in Bereichen mit sehr langsamer Internetverbindung wie 1-2 Mbit/s erhöhen. Leistungsverbesserungen hängen jedoch hauptsächlich von der Entropie der gesendeten Daten ab (z. B. können bereits komprimierte Daten wie HTTPS oder SSH nicht noch weiter komprimiert werden). Unter gewissen Umständen ist es daher möglich, dass sich bei der Aktivierung der Tunnel-Komprimierung der Durchsatz durch die RED-Appliance tatsächlich reduziert. Deaktivieren Sie die Tunnel-Kompression in diesem Fall.

   Hinweis – Tunnel-Komprimierung ist nicht für RED 10 rev.1 verfügbar.

   3G/UMTS-Failover: Seit RED Rev. 2 besitzt die RED-Appliance einen USB-Port, in den Sie einen 3G/UMTS-USB-Stick stecken können. Wenn diese Option ausgewählt ist, kann dieser Stick bei einem Ausfall der WAN-Schnittstelle als Internet-Uplink-Failover verwendet werden. Die nötigen Einstellungen entnehmen Sie bitte dem Datenblatt Ihres Internetproviders.

   • Benutzername/Kennwort (optional): Geben Sie, sofern erforderlich, einen Benutzernamen und ein Kennwort für das Mobilfunknetz ein.

   • PIN (optional): Geben Sie die PIN der SIM-Karte ein, falls eine PIN konfiguriert ist.

     Hinweis – Wenn Sie eine falsche PIN eingeben, kann bei einem Ausfall der WAN-Schnittstelle die Verbindung über 3G/UMTS nicht aufgebaut werden. Stattdessen wird die Auswahl der Option 3G/UMTS-Failover der RED-Appliance automatisch aufgehoben. Auf diese Weise wird die falsche PIN nur einmal verwendet. Wenn die WAN-Schnittstelle wieder funktioniert, wird für die RED-Appliance eine Warnung angezeigt: Eine falsche PIN wurde für den 3G/UMTS-Failover-Uplink eingegeben. Bitte ändern Sie Ihre Anmeldedaten. Wenn Sie das Dialogfeld RED bearbeiten öffnen, wird eine Meldung angezeigt, die Ihnen mitteilt, dass die Auswahl von 3G/UMTS-Failover automatisch aufgehoben wurde. Korrigieren Sie die PIN, bevor Sie die Option wieder aktivieren. Beachten Sie bitte, dass nach drei Verbindungsversuchen mit einer falschen PIN die SIM-Karte gesperrt wird. Das Entsperren der SIM-Karte ist über die RED-Appliance oder die UTM nicht möglich. Die Signalstärke für die meisten unterstützen 3G/UMTS-USB-Sticks wird im Live-Protokoll und auf der LCD-Anzeige des RED 50 angezeigt.

   • Mobilfunknetz: Wählen Sie den Typ des Mobilfunknetzes aus (entweder GSM oder CDMA).
   • APN: Geben Sie den Access-Point-Name Ihres Providers ein.
   • Einwahlkennung (optional): Sollte Ihr Dienstanbieter eine spezifische Einwahlkennung verwenden, müssen Sie diese hier eingeben. Der Standard ist *99#.

   Hinweis – Die folgenden Konfigurationen müssen Sie immer manuell vornehmen: 1) Das Anlegen der notwendigen Firewall-Regeln (Network Protection > Firewall > Regeln). 2) Das Anlegen der notwendigen Maskierungsregeln (Network Protection > NAT > Maskierung).

5. Klicken Sie auf Speichern.

   Die RED-Appliance wird angelegt und in der Liste RED angezeigt.

Mit der automatischen RED-Einrichtung ruft das RED direkt nach dem Booten seine Koniguration vom Sophos RED Provisioning Service (RPSRED Provisioning Service) ab. Danach wird die Verbindung zwischen Ihrer UTM und der RED-Appliance aufgebaut.

Wenn Sie die manuelle RED-Einrichtung nutzen, verfügt der neue Eintrag in der Liste RED über eine Download-Schaltfläche. Laden Sie die Konfigurationsdatei herunter und speichern Sie sie im Wurzelverzeichnis eines USB-Sticks. Stecken Sie den USB-Stick dann in die RED-Appliance, bevor Sie sie einschalten. Das RED ruft seine Konfiguration vom USB-Stick ab. Danach wird die Verbindung zwischen Ihrer UTM und der RED-Appliance aufgebaut.

Warnung – Es ist äußerst wichtig, dass Sie sich den Entsperrcode aufschreiben, der, nachdem die RED-Appliance ihre Konfiguration erhalten hat, sofort an die E-Mail-Adresse gesendet wird, die auf der Registerkarte Allgemeine Einstellungen angegeben ist. (Falls Sie zwischen manueller und automatischer RED-Einrichtung wechseln, müssen Sie sicherstellen, dass Sie sich beide Entsperrcodes merken.) Sie benötigen den Entsperrcode, wenn Sie die RED-Appliance mit einer anderen UTM verwenden wollen. Wenn Sie dann den Entsperrcode nicht parat haben, ist der einzige Weg, die RED-Appliance zu entsperren, den Sophos-Support zu kontaktieren. Der Support kann Ihnen jedoch nur dann helfen, wenn Sie die automatische RED-Einrichtung über den Sophos-RED-Provisioning-Service verwendet haben.

Um eine RED-Appliance zu bearbeiten, klicken Sie auf die entsprechende Schaltfläche. Sie können den Gerätestatus aller konfigurierten RED-Appliances auf der RED-Übersichtsseite des WebAdmin verfolgen.

Die folgenden Abbildungen geben einen Überblick über die vier möglichen Kombinationen von Lastverteilung und Failover, die RED50 bietet. Durchgezogene Linien repräsentieren Lastverteilung, gepunktete Linien Failover-Verhalten:

RED 50: Hostnamen- und Uplink-Lastverteilung (türkis) und Hostnamen- und Uplink-Failover (rot)

RED 50: Hostnamen-Lastverteilung und Uplink-Failover (grün) sowie Hostnamen-Failover und Uplink-Lastverteilung (blau)

Löschen einer RED-Appliance

Um eine RED-Appliance zu löschen, klicken Sie auf die Schaltfläche Löschen neben dem Namen der Appliance.

Sie werden einen Warnhinweis sehen, dass das RED-Objekt Abhängigkeiten hat. Beachten Sie, dass beim Löschen einer RED-Appliance dazugehörige Schnittstellen und deren Abhängigkeiten nicht gelöscht werden. Dieses Verhalten ist bewusst so gewählt, da es Ihnen ermöglicht, eine Schnittstelle von einer RED-Appliance zu einer anderen zu verschieben.

Wenn Sie eine RED-Konfiguration vollständig entfernen wollen, müssen Sie eventuelle Schnittstellen und andere Definitionen manuell löschen.

Verwandte Themen

• RED-Verwaltung
• Firewall > Regeln
• MAC-Adressdefinitionen
• Maskierung
• RED-Verwaltung > Tunnelverwaltung
• RED-Verwaltung > Übersicht
• Schnittstellen > Uplink-Ausgleich