Watchguard Multi-WAN und Policy Based Routing

An einer WatchGuard Firewall können bis zu vier Schnittstellen als "External Interface" konfiguriert werden, wenn "Fireware Pro" lizenziert ist. Daran können Internet-Zugänge von verschiedenen Providern angeschlossen werden.

Haben Sie eine teure Standleitung mit wenig Bandbreite, die bisweilen stark belastet oder gar überlastet ist, weil viel HTTP/HTTPS-Traffic die Leitung benutzt und nur wenig Bandbreite für ERP, VPN, Datenbanken und andere unternehmenskritische Anwendungen übrig bleibt, kann ein asynchrones ADSL, VDSL oder ein Kabel-TV-Anschluss als zweiter Internet-Zugang an die WatchGuard angeschlossen werden. Über die Firewall-Regeln wird dann mit "Policy Based Routing" festgelegt, dass der ausgehende HTTP und HTTPS Verkehr über die zweite, kostengünstigere Leitung geführt wird.

Wenn ein zusätzlicher Port als "External Interface" konfiguriert wird, sind auch Einstellungen für die Führung des Verkehrs über die verschiedenen Schnittstellen vorzunehmen. Dazu wird im Policy Manager unter "Network" > "Configuration" die Registerkarte "Multi-WAN" geöffnet. Hier wählt man als Default-Verhalten anstelle des voreingestellten Verfahrens "Routing Table" das Verfahren "Failover" aus und aktiviert hinter dem Button "Configure" die am Multi-WAN beteiligten externen Interfaces hier (0)=eth0, (1)=eth1.

Die angezeigte Reihenfolge der Interfaces entspricht auch dem tatsächlichen Verhalten der WatchGuard Firebox für ausgehende Verbindungen. Sofern kein Regel-basiertes Routing ein anderes Verhalten vorschreibt, werden die Interfaces gemäß dieser Liste von oben nach unten abgearbeitet. Wenn das weiter oben aufgeführte Interface "active" ist, dann wird auch dieses benutzt, sonst wird das nächste aktive Interface in der Liste verwendet.

Die Erkennung, ob ein Interface "active" ist wird in der Watchguard ebenfalls über die Registerkarte "Multi-WAN" gesteuert.

Für jedes Multi-WAN-Interfaces wird definiert, wie die WatchGuard die Verbindung prüfen soll. Im Standard pingt die Watchguard alle 15 Sekunden das jeweilige Default Gateway. Wenn die angepingte IP-Adresse 60 Sekunden lang nicht antwortet, wird das Interface auf "inactive" gesetzt. Kommen drei aufeinanderfolgende Antworten zurück, wird das Interface wieder auf "active" gesetzt.

Da der Default Gateway einer Standleitung der Übergaberouter des Providers ist, der sich meist direkt vor der Watchguard befindet, lässt sich keine Aussage über die Funktion der Internet-Anbindung treffen. Bei einer PPPoE-Einwahl wird das Default Gateway vom Provider zugewiesen. Genau diese antwortet aber in vielen Fällen nicht auf einen Ping. In diesen Fällen sollten also hochverfügbare IP-Adressen im Internet als Ping-Ziel definiert werden.

Wird der selbe PPPoE Provider mehrmals auf verschiedenen Schnittstellen benutzt, kann es bei älterem Softwarestand zu Problemen mit dem doppelt definierten Default-Gateway des Providers, mit Leitungsabbrüchen und sporadischem Failover kommen. Bitte spielen Sie in diesem Fall mindestens das Fireware-Update 11.3.4 CSP6 ein. Eventuell kann hier die Watchguard auch hinter einem PPPoE-Router betrieben werden.

Bei einem Betrieb hinter einem PPPoE-Router oder einer Fritzbox wird das entsprechende externe Interface der Watchguard auf "DHCP Client" gestellt, die Fritzbox / PPPoE-Router normal mit DHCP Server betrieben und mit Port-Forwarding/ NAT wird der komplette Traffic auf die Watchguard durch geschoben. Den Rest regelt dann wieder die Watchguard.

Sie können eine Richtlinie mit einer bestimmten externen Schnittstelle für den ausgehenden Datenverkehrkonfigurieren, für den diese Regel passt. Diese Technik wird als Policy-based Routing bezeichnet. Policy-based Routing hat Vorrang vor anderen Multi-WAN-Einstellungen. Das Erscheinungsbild der Firewall-Policy Einstellungen verändert sich durch die Verwendung von "Multi-WAN". Über die jetzt sichtbaren erweiterten Einstellungen lässt sich das regelbasierende Routing-Verhalten im Multi-WAN-Umfeld festlegen. Man wählt für ausgehende HTTP und HTTPS Regeln das vom Standard-Multi-WAN abweichende externe Interface aus. Dadurch wird der ausgehende HTTP/HTTPS Traffic inklusive der Downloads über das zweite Interface geführt und somit die Standleitung von diesem Traffic entlastet. So kann diese Bandbreite für die unternehmenskritischeren Anwendungen genutzt werden.

Zur Konfiguration von Policy-based Routing mit Failover wählen Sie "Failover" aus.
Wenn Sie "Failover" nicht wählen und die Schnittstelle, für die Sie diese Regel setzen nicht aktiv ist, wird der Verkehr ausgesetzt, bis die Link-Überwachung feststellt, dass die Schnittstelle wieder verfügbar ist.
Klicken Sie auf "Configure", um Backup-Schnittstellen für diese Regel anzugeben. Wenn die primäre Schnittstelle, die Sie für diese Regel setzen nicht aktiv ist, wird der Verkehr auf die Schnittstelle gesendet, die Sie hier angeben.

_{Gepanet >>
Services >>
Tipps und Tricks >> Watchguard Multi WAN}