Обзор ZyXEL ZyWALL P1

Игорь Федюкин

Хакер, номер #099, стр. 020

Огненная стена в кармане!

Редакция выражает благодарность за предоставленное на тестирование оборудование российскому представительству компании ZyXEL.

Технические характеристики

Интерфейсы: 1xWAN (RJ-45), 1xLAN (RJ-45) 10/100 Мбит/сек

Функции роутера: NAT/NAPT, DynDNS, Static Routing (12 маршрутов), DHCP, IGMP, PPPoE, PPTP, IPSec

Функции файрвола: SPI, Packet Filter, Anti-virus/IDP, RADIUS

Дополнительно: разъем mini-USB для питания

Цена: $190

В последнее время на рынке сетевого оборудования стало появляться немало устройств, интересных не только с точки зрения функциональности и производительности, но и за счет нестандартного дизайна. Действительно, иногда внешний вид играет не последнюю роль при выборе девайса. Но актуально ли это для телекоммуникационного оборудования? Компания ZyXEL, скорее всего, дала бы утвердительный ответ на этот вопрос. Ведь именно она в прошлом году представила общественности первый в мире «карманный» файрвол. С одной стороны, файрвол не та вещь, которую станешь носить с собой везде и всюду. Однако компактные размеры все же дают ему некоторые бонусы. Итак, этот уникальный аппарат, имя которому ZyXEL ZyWALL P1, оказался в нашей тестовой лаборатории.

Внешний вид

По своим размерам этот файрвол наиболее близок к КПК вроде HP iPAQ hx4700. То есть при желании его действительно можно носить в кармане. Для этого в комплекте имеется нечто вроде кожаного портмоне. Внешне файрвол выглядит довольно солидно. На лицевой части находятся светодиоды: питания, активности WAN- и LAN-сегментов, а также VPN-соединения и статуса управления. С тыльной стороны располагаются порты WAN и LAN, разъем mini-USB, гнездо питания и кнопка «Reset».

Аппаратная начинка

Файрвол построен на базе центрального процессора Intel FWIXP422BB, работающего на частоте 266 МГц. Используются две микросхемы SDRAM памяти Winbond W981216DH-75 объемом 16 Мб каждая и с частотой 133 МГц (Cas latency = 3). Также на плате распаяна микросхема flash-памяти Intel TE28F640J3C120 объемом 8 Мб и временем выборки 120 нс. Порты LAN и WAN подключаются к трансиверам Ethernet физического уровня Altima AC101LKQT с автоматическим определением типа подключаемого кабеля Auto-MDIX.

Функциональные возможности

Для начала - о том, что можно поднять на WAN-интерфейсе. Доступно три режима работы: Ethernet (с автоматическим или ручным присвоением IP, маски и шлюза), PPPoE и PPTP. Последний режим, однако, не позволяет получать настройки с DHCP-сервера. Нет отдельного поля для задания IP-адреса шлюза (то есть считается, что шлюз и PPTP-сервер находятся за одним и тем же IP-адресом). Из приятного - есть возможность работы с протоколом IGMP, что позволяет получать мультикастовые потоки, находясь за файрволом. Кроме того, тут можно назначить две дополнительные IP-подсети (алиасы) для LAN-сегмента.

Очень богатыми оказались и настройки безопасности. Пакетный фильтр тут, по сути, такой же, как и у серии роутеров Prestige. Единственный недостаток – нет возможности фильтрации по доменным именам и/или ключевым словам в них. Зато реализована технология IDP (Intrusion Detection & Prevention), которая позволяет предотвращать некоторые виды атак и попыток вторжения. Система распознавания работает так же, как и встроенный антивирус, на основании сигнатур, которые файрвол может автоматически обновлять с сайта ZyXEL в течение трехмесячного ознакомительного периода, а затем – по платной подписке.

Есть тут и поддержка протокола аутентификации пользователей 802.1x. В файрволе можно настроить внутреннюю базу пользователей или воспользоваться возможностью совместной работы с внешним RADIUS-сервером.

Настраивать файрвол можно как посредством веб-интерфейса, так и через командную строку с помощью telnet и ssh. Также девайс поддерживает функции управления SNMP и централизованное управление средствами системы ZyXEL Vantage CNM.

Методика тестирования

Для тестирования проводного сегмента использовался программный продукт NetIQ Chariot и скрипт Throughput с передачей пакетов максимального размера. На двух станциях устанавливались так называемые endpoint-программы, затем в консоли NetIQ Chariot запускался скрипт генерации трафика.

1. При тестировании пропускной способности WAN -> LAN, одна из станций подключалась к одному из портов свитча (интерфейс LAN), вторая - к WAN-порту. Таким образом мы получали пиковую пропускную способность для WAN-интерфейса (также ее можно называть скоростью NAT). Скорость тестировалась как в режиме однонаправленной передачи (направления LAN -> WAN и WAN -> LAN), так и в режиме полного дуплекса (fdx). Также мы исследовали влияние включения опций фильтрации трафика и обнаружения атак на пропускную способность WAN-интерфейса. Для этого было произведено три замера: без фильтрации, с включенным пакетным фильтром и системой IDP.

2. Поскольку при активации интернет-соединения по протоколу PPTP создается дополнительная нагрузка на центральный процессор роутера, мы также измеряли пропускную способность PPTP. Для этого за WAN-интерфейсом маршрутизатора был поднят VPN-сервер. Как и в случае тестирования производительности NAT, мы произвели три замера скорости, для того чтобы показать, насколько сильно снижается производительность девайса при включенных функциях фильтрации трафика.

3. Так как маршрутизатор обеспечивает возможность работы с VPN-туннелями по протоколу IPSec, мы решили измерить его пропускную способность при активации данного режима работы. Для этого мы подняли IPSec-туннель между двумя ZyXEL ZyWALL P1, а к LAN-портам каждого из них подсоединили рабочие станции. Использовался алгоритм шифрования трафика 3DES/MD5 с ключами DH2. Все измерения по-прежнему проводились с помощью NetIQ Chariot. Использование двух одинаковых роутеров для теста обусловлено минимизацией возможного влияния внешних факторов.

4. В качестве дополнительного исследования была проведена проверка на уязвимости со стороны WAN-интерфейса с помощью программного продукта Tenable Nessus.

Результаты тестов

Скорость маршрутизации NAT у файрвола находится на среднем уровне. В направлении WAN -> LAN она составила 46,95 Мбит/сек, в обратную сторону (LAN -> WAN) – 52,22 Мбит/сек, а в полном дуплексе – 50,94 Мбит/сек. Но это без использования функций файрвола и IDP. Для теста скорости файрвола было создано глобальное правило фильтрации всего входящего трафика в направлении WAN -> LAN и правило, разрешающее трафик с указанного IP (непосредственно на котором работал Chariot). Разница получилась довольно существенная. С использованием файрвола пропускная способность составила 30,27 Мбит/сек, что в 1,5 раза меньше скорости «чистого» NAT. Дальнейшая «надстройка» – включение IDP (версия сигнатур – 1.334). Производительность ZyWALL P1 снизилась до 4,39 Мбит/сек, что более чем в 10 раз меньше первоначальной скорости. Это говорит о том, что функции фильтрации нежелательного трафика в купе с системой предотвращения вторжений потребляют много вычислительных ресурсов центрального процессора роутера, сильно ограничивая полосу пропускания.

Скорость PPTP у девайса сравнительно неплохая. В направлении WAN -> LAN она составляет 25,64 Мбит/сек, в обратную сторону – 30,58 Мбит/сек, а в режиме полного дуплекса – 26,37 Мбит/сек. Включение файрвола снижает полосу пропускания до 19,82 Мбит/сек, а активация IDP и вовсе - до 4,1 Мбит/сек.

Пропускная способность IPSec VPN-туннеля достаточно высока. В сторону WAN -> LAN скорость находится на уровне 23,77 Мбит/сек, в направлении LAN -> WAN - 25,17 Мбит/сек, а в полном дуплексе – 24,93 Мбит/сек. Причем скорость не сильно меняется при использовании других протоколов шифрования (DES/AES) или ключей меньшей длины (DH1). Активация правил фильтрации снижает производительность примерно так же, как и в случае PPTP. С файрволом получаем ~20 Мбит/сек, а при включении IDP – чуть более 4 Мбит/сек.

Сканирование Tenable Nessus также проводилось в трех режимах работы: без фильтрации, только с файрволом и с одновременным включением файрвола и IDP. В первом случае, как и следовало ожидать, было обнаружено множество открытых портов, доступных со стороны WAN-интерфейса по умолчанию. Включение файрвола и IDP позволяет ликвидировать все эти уязвимости. Полный отчет о сканировании ты можешь найти на нашем диске.

Выводы

Несмотря на свой игрушечный вид, ZyXEL ZyWALL P1 оказался довольно интересным решением с претензией на серьезный продукт для обеспечения безопасности локальной сети. При средней скорости NAT он показал хороший результат при использовании протокола PPTP, высокую скорость IPSec для такого класса оборудования и довольно широкие возможности по обеспечению фильтрации нежелательного трафика. Однако, как выяснилось, «безопасность» эта не бесплатная и довольно серьезно снижает производительность девайса, особенно в режиме с использованием IDP. Также к недостаткам следует отнести невозможность работы с PPTP-сервером, находящимся вне пользовательского сегмента. В целом же ZyXEL ZyWALL P1, как решение начального уровня, неплохо справляется со своими задачами и может стать хорошим выбором для организации безопасного выхода в интернет и предоставления удаленного доступа в корпоративную сеть для мобильных пользователей.