Recensione Zyxel NSG50 Gateway Firewall

Zyxel NSG50 fa parte della serie di gateway di sicurezza gestiti ed è il pezzo finale verso una soluzione di rete Nebula completa, progettato per scopi di routing, quindi collega la rete interna composta da altri punti di accesso Zyxel o switch Ethernet (e non solo) alla rete esterna (quindi, essenzialmente, funzionerà come un router). Il gateway di sicurezza non è stato creato per il mercato di tipo consumer poiché la maggior parte delle sue funzionalità va oltre ciò di cui l’utente normale avrebbe bisogno per la sua rete domestica (sebbene, se si apprezza la sicurezza della propria rete, vale la pena provarlo). Tuttavia, le PMI (e forse il mercato aziendale) apprezzeranno le sue applicazioni avanzate che includono il Firewall, multi-WAN, VPN e altre funzionalità relative alla sicurezza (come Antivirus, IDP o il Filtro dei Contenuti).

Lo Zyxel NSG50 fa un passo avanti e, a differenza dei gateway di sicurezza normali, non richiede il provisioning sul posto, quindi può essere gestito e configurato in remoto dal Nebula Cloud, insieme ad altri gateway di sicurezza Zyxel o altri dispositivi compatibili. Ho già visto la piattaforma di gestione Nebula Cloud in azione quando ho testato l’access point wireless Zyxel NWA1123-AC HD e lo switch Ethernet Zyxel GS1920-8HP, quindi è il momento di vedere come sono integrati i gateway di sicurezza e se lo Zyxel NSG50 può surclassare i suoi concorrenti in termini di caratteristiche e prestazioni.
Info: Oltre all’NSG50, Zyxel offre anche soluzioni più potenti come l’NSG100, l’NSG200 e l’NSG300, nessuna con funzionalità WiFi integrate.

Il Design

Come la maggior parte dell’hardware di rete aziendale, il gateway di sicurezza è stato costruito per essere montato su un rack o per essere nascosto in qualche posto nel armadio, quindi il design accattivante non è stato l’obiettivo principale ed i produttori invece sono concentrati sulla funzionalità e all’ergonomia.

Lo Zyxel NGS50 abbraccia completamente l’aspetto industriale, quindi presenta una custodia metallica rettangolare con angoli acuti ed è coperta da una finitura opaca grigia che non trattiene le impronte digitali (se il gateway è mai stato destinato al mercato di tipo consumer, il design più unico del DrayTek Vigor2926 sarà probabilmente più accattivante, anche se è fatto completamente in plastica). Sul fronte, il dispositivo è molto simile ai gateway della serie USG, quindi ha un pezzo di plastica con due aree sporgenti, ma invece di essere rossi, l’NSG50 è andato con toni bianchi (e questo sarà uno degli elementi principali di design per differenziare le due serie Zyxel).

Lo Zyxel NSG50 è il gateway più compatto della seria e che misura 21.6 x 14.3 x 3.3 centimetri, quindi, in realtà, è più piccolo del router wireless normale e non occuperà troppo spazio dalla scrivania. Se vuoi montarlo su un rack, dovrai fare usare un vassoio poiché il gateway non ha fori dedicati sul lato sinistro e destro della custodia metallica, ma hai la possibilità di montarlo sul muro utilizzando le due aree nella parte inferiore del dispositivo. Sulla parte superiore dello Zyxel NSG50, ci sono sei file di aperture di ventilazione per garantire un flusso d’aria interno adeguato e il produttore ha anche aggiunto due set di griglie di ventilazione sul lato sinistro e destro. Mentre il dispositivo era in funzione, ho notato che si riscaldava nella parte inferiore, ma non mostrava alcun segno di surriscaldamento, anche quando era sotto stress.

La parte inferiore del gateway è priva di interruzioni di ventilazione, gli unici elementi sono le etichette informative e i fori di montaggio, quindi, se vuoi mantenere l’NSG50 sulla scrivania, è necessario aggiungere i quattro piedini in silicone (disponibili nel pacchetto) che farà un lavoro decente nel mantenere il dispositivo in posizione (il gateway è anche abbastanza leggero, pesa solo 1.04 kg). Sul pannello frontale, a sinistra, l’NGS50 ha un pulsante di ripristino incassato (per ripristinare le impostazioni predefinite di fabbrica del dispositivo, devi tenere premuto il pulsante per circa cinque secondi fino a quando il LED SYS inizia a lampeggiare), un LED PWR (se il Il LED è verde fisso, quindi il gateway è acceso e tutto funziona correttamente, ma un LED rosso fisso indica un guasto del componente hardware) e il LED SYS (verde fisso indica che il gateway è pronto e funzionante, ma se il LED lampeggia in verde, il gateway si sta avviando, non è ancora registrato sul controller Nebula o sta cercando l’NCC; un LED rosso fisso indica un errore).

Un po’ a destra, ci sono i LED da P1 a P6, ciascuno con lo stato della porta Ethernet rispettiva (il verde lampeggiante indica che i dati vengono trasmessi su quella porta e l’arancione fisso indica che la porta ha un collegamento riuscito) e, infine, c’è una porta USB 3.0 (per ora, è utile solo per il download di dati diagnostici, quindi non sarai in grado di usarlo per trasferire i dati tra i clienti e il dispositivo di archiviazione esterno, né collegare una stampante).

Sul lato posteriore dell’NSG50, c’è un connettore di alimentazione 12V / 2.0A, un pulsante Acceso / Spento, una porta SFP (per collegare un ricetrasmettitore – può essere utilizzato come la seconda porta WAN per abilitare la modalità FailOver), una porta Console (utile per eseguire applicazioni di comunicazione di emulazione terminale – Zyxel fornisce un cavo console all’interno del pacchetto), una porta WAN Gigabit Ethernet e quattro porte LAN Gigabit Ethernet. Zyxel ha anche aggiunto uno slot per il lucchetto Kensington sul lato sinistro della custodia, accanto alle griglie di ventilazione.

L’Hardware

All’interno, Zyxel ha dotato il gateway di sicurezza NGS50 di un processore single-core Cavium OCTEON III CN7010 incorporato (con il clock a 800 MHz), 4X 512 GB DDR3 NANYA 1826 NT5CC512M8EN-EK (2 GB di RAM), memoria flash MLC da 8 GB di KINGSTON (eMMC08G -M325) e uno switch Ethernet QCA8337-AL3C PK823C38.

Inoltre, c’è un CPLD Intel Altera 5M160Z, un chip Ethernet Qualcomm Atheros AR8033-AL1A NJ836227 (10/100/1000Mbps), un dispositivo CMOS PCA9555 NXP a 24 pini e cinque moduli magnetici base-T GST5009 LF.
Info: Come per la maggior parte dei gateway di sicurezza, Zyxel NGS50 non ha aggiunto i chipset WiFi, quindi l’unico modo per connettere i dispositivi wireless è utilizzare punti di accesso wireless.

Caratteristiche e Prestazioni

Tutti i gateway di sicurezza Zyxel della serie hanno praticamente lo stesso set di funzionalità (gli elementi di differenziazione sono principalmente la quantità di clienti che possono essere gestiti, il fattore di scalabilità e la profondità di alcune applicazioni), quindi l’NSG50 ti offrirà un’esperienza simile ai suoi fratelli più costosi. Tutte le piccole e medie imprese che necessitano di un accesso ininterrotto a Internet e che non possono permettersi un solo secondo di downtime apprezzeranno tutti i router con funzionalità dual-WAN e Zyxel NSG50 supporta infatti due connessioni Internet indipendenti allo stesso tempo, una tramite la porta WAN designata e l’altra utilizzando la porta SFP (per creare il secondo collegamento sarà necessario utilizzare un ricetrasmettitore di collegamento in fibra ottica).

In questo modo, puoi visitare la sezione Gateway > Configura > Traffic shaping dal Nebula Control Center e regolare vari aspetti della configurazione di Uplink. L’interfaccia è molto intuitiva e ti consente di regolare la larghezza di banda di download e upload per ciascuna porta WAN (usando una diapositiva) e sotto, c’è l’algoritmo di bilanciamento del carico che verrà applicato. È possibile scegliere l’opzione Primo carico minimo (Least Load First) che spinge una nuova sessione verso l’interfaccia WAN più adatta utilizzando l’ultimo utilizzo della larghezza di banda in entrata e / o in uscita (la nuova sessione verrà assegnata alla connessione WAN con il minor carico), l’opzione Round Robin che distribuisce il traffico attraverso ciascuna delle due connessioni WAN a turno o l’opzione FailOver che consente di utilizzare la WAN primaria e, nel caso in cui la connessione fallisca, passerà automaticamente alla connessione WAN secondaria – nel frattempo, il gateway controlla se la connessione principale è tornata e passerà nuovamente da essa alla WAN secondaria.

Per ora, non avevo i mezzi per testare la latenza quando si passa alla seconda connessione WAN e viceversa (aggiornerò l’articolo non appena testerò questa funzionalità). Mentre l’implementazione della doppia WAN sarà sufficiente per la maggior parte degli utenti, nel caso in cui sia necessaria una configurazione più approfondita e più opzioni, c’è la serie Zyxel USG (inoltre, la serie USG, proprio come DrayTek Vigor2926, consente aggiungere modem 3G / 4G / LTE al pool di bilanciamento del carico).

La porta USB sull’NGS50 non può essere utilizzata per collegare modem esterni, ma può essere utilizzata per la connessione di dispositivi di archiviazione esterni e, per testare le prestazioni di archiviazione del gateway, ho usato un SSD SanDisk Extreme (250 GB) formattato nel formato FAT32 per spostare alcuni dati da e verso NGS50 (è anche possibile utilizzare unità FAT16, ma NTFS non è supportato). In questo modo, sono andato al Nebula Control Center e ho controllato felicemente le opzioni di archiviazione e … non ce n’erano. Sì, sembra che questa funzione non sia ancora stata implementata, quindi ho dovuto tornare alla modalità stand-alone per vedere l’unità. Ma nemmeno in questo caso potrei davvero testare le prestazioni di archiviazione perché l’unità deve essere utilizzata solo per i dati di diagnostica – tuttavia, sotto le Informazioni di archiviazione, ho potuto vedere che la velocità era ridotta a 12 Mbps e l’unità USB era impostata su USB 1.1.

In termini di funzionalità di sicurezza, Zyxel NSG50 offre VPN da sito a sito che possono essere applicate ad ognuna delle due interfacce in uscita disponibili (WAN 1 o 2) e consente di configurare la topologia VPN Nebula (può essere da sito a sito, hub-e-spoke o server-e-cliente) – è anche possibile aggiungere peer VPN che non fanno parte della Nebula: sono rimasto piuttosto sorpreso dalla semplicità del processo di configurazione, che può competere con alcuni router di livello consumer in questo senso. Inoltre, il gateway supporta anche il cliente L2TP su IPSec, utile per creare un tunnel sicuro dai dispositivi mobili alla rete LAN.

Oltre alla VPN, l’NGS50 supporta anche Firewall (che include le regole Inbound e Outbound, l’Application Patrol e il Mapping NAT o del Server Virtuale), l’Antivirus e il Sistema di Rilevamento e di Prevenzione delle Intrusioni (IDP) che supporta l’analisi del comportamento e, in base alle regole sensibili al contesto di livello 7, protegge da vulnerabilità sia il lato server che il lato cliente, inclusi i malware, le applicazioni backdoor, gli attacchi DDOS e altro (il database delle firme viene aggiornato regolarmente per mantenere la rete protetta da eventuali nuove minacce).

Considerando che tutte queste applicazioni possono avere un impatto negativo sulle prestazioni di throughput, ho deciso di collegare due computer al gateway utilizzando cavi CAT6 e di testare le prestazioni da LAN a LAN, prima, senza avere abilitate funzionalità di sicurezza: in questo modo, dal cliente al server, ho misurato in media 948 Mbps e, dal server al cliente, ho misurato in media 901 Mbps.Successivamente, ho attivato l’Application Patrol, il Filtro dei Contenuti (che sì, a quanto pare può bloccare alcuni annunci e pop-up!) e, con tutte queste funzionalità abilitate, ho eseguito di nuovo il test e, sorprendentemente, non c’era quasi nessuna differenza (solo una degradazione inferiore al 5%).

Quando si abilita il rilevamento e la prevenzione delle intrusioni (il sistema ha mostrato un utilizzo della CPU del 37% e un utilizzo della memoria del 20%), il throughput sarebbe sceso a circa 100 Mbps (che è in linea con quanto è stato pubblicizzato) – solo il più potente NSG300 può mantenere prestazioni vicine al Gigabit. Se non abilitassi l’IDP, ma avessi eseguito il firewall SPI, avrei misurato in media 286 Mbps e il throughput VPN sarebbe stato limitato a non più di 70 Mbps.

La Configurazione e Il Software

Quando ho testato lo Zyxel NWA1123-AC HD e lo Zyxel GS1920-8HP, ho notato che alcune aree del Nebula Cloud Center non erano attive e, poiché ho aggiunto NGS50 alla rete, ora possiamo esplorare completamente quelle aree. Prima di accedere a Nebula Cloud, è necessario eseguire l’installazione dell’hardware del dispositivo: devi collegare il cavo di alimentazione sul retro dello switch e in una presa di corrente e accendere il dispositivo utilizzando l’interruttore acceso/spento; successivamente, prendi due cavi Ethernet e utilizzane uno per collegare il gateway al tuo modem (il cavo deve essere collegato alla porta WAN) e il secondo cavo Ethernet deve essere collegato a una delle quattro porte LAN disponibili e a un computer – se hai una connessione Internet secondaria disponibile, è necessario utilizzare la porta SFP.

Dopo aver collegato tutti i cavi e acceso l’NSG50, è necessario aprire un browser Web e accedere all’indirizzo IP del gateway (dovrebbe essere 192.168.1.1); a questo punto, ti verrà chiesto di inserire il nome utente e la password e, per impostazione predefinita, sono admin e 1234. Immediatamente dopo, dovrai cambiare la password dell’amministratore e, successivamente, avrai accesso alla interfaccia utente indipendente.

Poiché potresti voler navigare sul Web o registrare il gateway Zyxel sul Cloud, dovrai accedere a Internet, quindi devi andare sulla Configurazione, fare doppio clic sulla prima WAN (sarà DHCP> Wan1) e, nel tipo di configurazione, selezionare PPPoE; in tal modo, verranno richiamate ulteriori aree da riempire con il nome utente e la password del fornitore di Internet (è possibile abilitare la funzionalità Nailed-Up se si eseguono i server). Dopo aver seguito questi passaggi, il gateway deve avere accesso a Internet e, se non ti interessa il software di gestione Nebula Cloud, puoi continuare a esplorare l’interfaccia utente autonoma, ma devi sapere che mancano alcune funzionalità importanti.

La Dashboard ti mostrerà le informazioni sul dispositivo (alcune statistiche generali sul dispositivo), lo Stato del Sistema e lo Slot di Estensione (USB) e la sezione principale successiva a cui puoi accedere dal menu a sinistra è il Monitor, dove c’è l’area di Archiviazione USB (Informazioni di archiviazione), mentre più in basso, c’è la sezione Configurazione. Qui, è possibile modificare la Configurazione Ethernet (puoi configurare le due porte WAN – abbiamo già visitato questa sezione per impostare la connessione Internet), l’SSH (qui, è possibile abilitare l’Accesso WAN al dispositivo – inserire l’indirizzo IP del cliente), modificare la password dell’utente o Attivare il servizio di archiviazione USB (ti informerà quando il disco è quasi pieno).

Infine, c’è la sezione Manutenzione in cui è possibile accedere alla Diagnostica per copiare i file di diagnostica su un dispositivo USB, eseguire l’utilità Acquisizione di Pacchetti o gli Strumenti di Rete (include Ping IPv4 e Traceroute IPv4). E questo è tutto quello che l’interfaccia utente autonoma può offrire, quindi registriamo l’NGS50 su Nebula Cloud per usarlo come previsto. Per accedere a Nebula Cloud, devi inserire http://nebula.zyxel.com su un browser web e accedere al tuo account o creane uno nuovo (il wizard ti guiderà attraverso la creazione di una nuova organizzazione e sito).

Dopo aver ottenuto l’accesso al Centro di Controllo Nebula, devi andare sezione Organizzazione e, in Configura, devi selezionare Inventario: qui potrai vedere un elenco di tutti i dispositivi già registrati e, facendo clic sul pulsante “+Registrati”, evoca una piccola finestra, in cui devi inserire l’indirizzo MAC e il numero di serie dell’NSG50 (queste informazioni sono disponibili nella parte inferiore del dispositivo). Dopo aver aggiunto il gateway, dovrai aggiungerlo al tuo sito (premi il pulsante a sinistra chiamato “Aggiungi a” – Add to). Quando ritorni alla Dashboard, sarai in grado di vedere tutte quelle aree appena popolate: sotto Gateway, c’è la quantità totale di dispositivi gateway online, mentre sotto il WAN Throughput, puoi vedere il throughput di upload / download per ogni WAN e, verso a destra, ci sono altre due aree dedicate, una per il Riepilogo del Traffico (Utilizzo di Internet e Applicazioni Principali) e l’altra per i Migliori Clienti del Gateway.

Usando il menu principale (che è posizionato orizzontalmente), possiamo navigare alla sezione Gateway che, quando cliccata, evocherà una piccola finestra divisa per Monitor e Configura. Sotto Monitor, puoi visualizzare i dettagli sul tuo gateway di Sicurezza, inclusa la posizione sulla Mappa, una rappresentazione grafica di tutte le porte, nonché grafici in tempo reale per il traffico Internet, l’utilizzo della rete e la connettività: ci sono anche alcuni strumenti come il Ping, Traceroute e DNS (oltre alla possibilità di riavviare il gateway da remoto).

Sempre sotto Monitor, puoi visualizzare l’attività del Cliente e un elenco di tutti i clienti connessi (ognuno dei quali mostra una serie di tag) – se fai clic su qualsiasi cliente, verranno visualizzate informazioni più dettagliate sul dispositivo e un grafico con il caricamento e statistiche di download (visualizzate in periodi di tempo specifici). Sotto la sezione Cliente, c’è il Registro degli Eventi, la connessione VPN (lo stato, il sito e l’account di accesso L2TP), la Analisi della Nebula Security Service NSS (mostra un rapporto di analisi dettagliato sul’Antivirus, il Filtro di contenuti e l’Applicazione) e il Rapporto di Riepilogo (mostra l’utilizzo di WAN1, WAN2 e VPN, nonché altre statistiche come le Migliori app in base all’utilizzo o i migliori Clienti del giorno).

Oltre all’area Monitor, nella sezione Gateway, è presente anche il gruppo di opzioni sotto Configura che include l’Indirizzamento dell’interfaccia, in cui è possibile selezionare tra NAT o Router come Modalità di rete, è anche possibile creare due gruppi separati di porte per isolarli da possibili minacce e che può essere successivamente assegnato a un’interfaccia VLAN: è inoltre possibile aggiungere route statiche o abilitare il DDNS.

Inoltre, è anche possibile configurare il Firewall, in cui è possibile aggiungere regole in Uscita, abilitare l’Application Patrol, creare profili di Pianificazione (che verranno utilizzati dalle regole in uscita) e configurare i mapping NAT 1: 1 nonché i mapping del Server Virtuale per moduli Web, ma tieni presente che l’Application Patrol e i servizi IDP hanno una licenza di un anno. Sotto il Firewall, c’è la sezione Policy Routing, il Filtro dei Contenuti (dove è possibile impostare un messaggio nel caso di accesso negato, nonché un URL di reindirizzamento, aggiungere un elenco in bianco e nero e bloccare alcune categorie – include Controllo Genitori, Produttività, Sicurezza o Modelli personalizzati), la VPN da sito a sito, il cliente L2TP su IPSec e il metodo di accesso alla Rete (accesso diretto, imposta un portale vincolato prima dell’accesso o accedi utilizzando l’autenticazione Nebula Cloud – include l’abilitazione del Giardino Murato, consentendo agli utenti di creare account con l’autorizzazione manuale o automatica, quanti dispositivi possono avere accesso simultaneamente e impostare cosa succede quando il server di autenticazione Nebula Cloud diventa irraggiungibile).

Più in basso, c’è la politica di configurazione del Giardino Murato, il Captive Portal (la splash page che può apparire quando si accede a Internet – può essere assegnata a uno dei due gruppi LAN), il Modellamento del traffico (la funzione dual-WAN, il limite di larghezza di banda globale e il controllo della sessione), il filtro di Sicurezza (include la configurazione IDP e Antivirus) e i Server di Rete (DNS e il Server di Autenticazione – possono essere Server AD o Server RADIUS). Per rinnovare le licenze, è necessario accedere alla sezione Organizzazione (dal menu principale) e selezionare la Gestione licenze che visualizzerà tutte le licenze attive correnti.

Se torni alla sezione Site-Wide e scegli il rapporto di Riepilogo (Summary report), puoi visualizzare ulteriori informazioni relative al gateway, ad esempio grafici con traffico in tempo reale su entrambe le porte WAN, la Mappa e la planimetria che ti consentiranno di vedere facilmente tutti i dispositivi distribuiti anche se si trovano su siti diversi e la Topologia che visualizza il “circuito” della rete. Per aggiornare il firmware dell’NGS50, è necessario accedere al gruppo Configura di opzioni e selezionare Impostazioni generali > Aggiornamenti firmware: è possibile pianificare l’aggiornamento o aggiornare il firmware immediatamente. Sempre nel gruppo Configura, è possibile impostare vari Avvisi (quando il pool di lease DHCP è esaurito, quando una connessione VPN viene avviata o interrotta o quando lo stato della connessione WAN è cambiato) o visualizzare lo stato del firmware nella sezione Gestione firmware.

La rete Zyxel può anche essere gestita utilizzando l’app Nebula che, in modo simile all’interfaccia utente basata sul web, ti mostrerà l’Organizzazione e il Sito che hai configurato e, dopo aver aggiunto il gateway di sicurezza NGS50, mostrerà varie statistiche sul Dashboard (i migliori clienti e le migliori applicazioni) e ti consentirà anche di configurare i clienti connessi (inclusa l’applicazione dei criteri di accesso), quindi è significativamente più limitato dell’interfaccia basata sul web, ma sarà sufficiente per la sorveglianza del sito da remoto. Questo è il primo gateway gestito dal cloud che ho testato in modo approfondito, quindi non posso ancora confrontarlo con altri dispositivi specifici di altri controller (come i gateway UniFi), ma sono rimasto sorpreso da come è facile configurare vari aspetti della rete, ovvero dopo aver acquisito maggiore familiarità con l’interfaccia (un aspetto negativo è che non c’è abbastanza documentazione per ogni possibile applicazione).

La Conclusione

Grazie alla loro versatilità, i controller Cloud sono diventati molto popolari nel mercato delle PMI e Zyxel offre un caso interessante su come deve essere implementata tale soluzione. Il Nebula Cloud è chiaramente più maturo del controller Linksys, del Cloudtrax o del controller Omada TP-Link e, sebbene sia ancora un po’ dietro l’UniFi, gli sviluppatori aggiungono costantemente nuove funzionalità e il produttore ha reso il Nebula Cloud Center quasi completamente gratuito.

L’NGS50 è un gateway di sicurezza ottimale per le piccole imprese in grado di offrire prestazioni decenti mantenendo al contempo la rete sicura da qualsiasi tipo di minaccia, ma, proprio come con gli altri dispositivi Zyxel, è necessario un po’ di tempo per familiarizzati con tutte le opzioni sul Cloud Center (c’è una curva di apprendimento) e sto ancora aspettando l’implementazione di alcune opzioni relative all’archiviazione. Tuttavia, è un’ottima soluzione gateway, che prende molte opzioni dall’eccellente serie USG, quindi non puoi sbagliare con l’NSG50 se hai intenzione di provare l’ambiente Zyxel.