Беспроводной ADSL-маршрутизатор ZyXEL Prestige 662HW EE с усиленными функциями безопасности – THG.RU

Введение

Не так давно появившаяся серия оборудования Р-660 компании ZyXEL включает в себя несколько устройств ADSL четвёртого поколения, в которых реализованы новейшие стандарты ADSL2 и ADSL2+. Новые стандарты позволяют довести скорость подключения к Интернету до 24 Мбит/с. К нам на тестирование попала модель P-662HW EE с усиленными функциями безопасности и встроенным четырёхпортовым коммутатором. В модели реализованы средства туннелирования и аппаратного шифрования данных, межсетевой экран, антивирусный фильтр и многое другое.

Естественно, маршрутизатор позволяет разделять одно широкополосное подключение к Интернету на несколько компьютеров. Причём, можно с одинаковым успехом говорить как о проводных, так и о беспроводных соединениях, а также о высоком уровне защиты от злоумышленников!

Основные функции

Комплект поставки устройства достаточно приятен, мы рады отметить, что компания решила не экономить на мелочах и укомплектовала маршрутизатор всеми необходимыми кабелями и переходниками, так что вам не придётся бегать по магазинам в поисках, например, кабеля для подключения к телефонной линии. Кстати, таких кабелей в комплекте два. Итак, комплект поставки: сам маршрутизатор со съёмной антенной, блок питания к нему, сетевой кабель Ethernet, разделитель линии AS 6EE, переходник для последовательного порта, кабель для консольного подключения, два упомянутых провода для подключения к телефонной линии, диск с программным обеспечением и документацией и бумажная версия документации. Всё это компактно упаковано в небольшую красивую коробку. Устройство предполагает как настольную, так и настенную установку – на нижней стороне есть не только ножки, но и две петли для крепления на стене.

Маршрутизатор P-662HW EE.

Сам корпус устройства выполнен в строгом классическом стиле. Индикаторы расположены в передней верхней части корпуса. Слева направо расположены следующие индикаторы: PWR/SYS – отвечает за подачу питания, четыре индикатора LAN, индикатор WLAN, индикатор DSL/ACT – сообщает о статусе соединения DSL и индикатор CON/AUX, отображающий статус соответствующего порта. Отметим, что все индикаторы являются двухцветными и позволяют наглядно отслеживать состояние устройства.

Задняя панель.

На задней панели находятся: кнопка сброса, которая немного утоплена вглубь корпуса, разъём RP-TNC для подключения антенны, кнопка включения питания, разъём питания, переключатель для порта CON/AUX, рядом с ним сам порт, за ним следуют четыре порта встроенного коммутатора, и завершает всё это порт для подключения линии DSL.

Внутренний дизайн маршрутизатора выполнен достаточно удачно, о чём можно косвенно судить по тепловому режиму работы устройства. На материнской плате установлены все компоненты, за исключением радиомодуля. Он установлен в слот miniPCI.

Плата маршрутизатора.

Настройка и администрирование

Для настройки устройства удобно использовать административный Web-интерфейс, для доступа к которому по умолчанию используется адрес 192.168.1.1, пароль “1234”. Настоятельно рекомендуем сменить пароль при первом же входе! Отметим, что если ваш компьютер настроен на автоматическое получение параметров IP, то он их сможет получить от встроенного сервера DHCP (нужно обновить соединение), который выдаёт адреса из диапазона 192.168.1.2 – 192.168.1.254, маска подсети 255.255.255.0. Соответственно, если вы желаете использовать статический адрес, то задать его следует таким образом, чтобы он был в той же подсети, что и адрес маршрутизатора.

Настройку внешнего подключения можно выполнить как автоматически, так и вручную. При автоматический установке маршрутизатор самостоятельно определит его тип. Для этого нужно включить маршрутизатор и подождать, пока он загрузится (индикатор DSL/ACT будет постоянно гореть), затем на компьютере нужно запустить браузер и попытаться перейти на любой адрес (например, www.thg.ru), после чего маршрутизатор выполнит все необходимые настройки. Естественно, если вы используете подключение PPPoE или PPPoA, то вам будет предложено ввести учётные данные. После некоторого ожидания маршрутизатор будет работать, и все пользователи получат доступ к Интернету.

Рассмотрев основные возможности устройства, мы приступили к его непосредственной настройке, используя web-интерфейс. Маршрутизатор достаточно интересен и тем, что позволяет настраивать резервное подключение к Интернету, и если что-то произошло с DSL-соединением, то вы можете воспользоваться старым добрым коммутируемым соединением. Скорость, конечно, будет не та, но возможность оставаться на связи сохранится.

Настройка и администрирование – Мастер настройки

Первый экран административного интерфейса.

Вообще, весь интерфейс управления разделён на три части: Мастер настройки (Wizard Setup), параметры (Advanced Setup) и состояние (Maintenance). Как видно из названия, первая часть отвечает за настройку внешнего соединения, Мастер предлагает последовательно указать параметры подключения, заносит их в конфигурацию устройства и, когда все параметры будут указаны, предлагает убедиться в их правильности – и завершает настройку. Устройство также весьма интересно с точки зрения эффективного использования общего интернет-канала благодаря полезной функции задания приоритетов для различных видов трафика. Так, можно задать высокий приоритет для трафика VoIP, средний для WWW и низкий для электронной почты.

Настройка приоритетов.

Вторая часть интерфейса управления гораздо интереснее первой! Она предназначена для изменения практически всех параметров системы. Первое, что нужно сделать с устройством, – сменить пароль доступа к интерфейсу управления, именно для этого и предназначен первый пункт меню “Password”.

Второй пункт “LAN” разбит на два подпункта, один из которых предназначен для настройки встроенного сервера DHCP. Кроме того, можно включить перенаправление запросов на отдельный сервер, либо вообще отключить DHCP. Там же задаются параметры локального интерфейса сети. Другой подпункт позволяет выполнить статическое присвоение логических IP-адресов к физическим.

Настройка интерфейса LAN и сервера DHCP.

Настройка статического присвоения адресов DHCP-сервером.

Третьим пунктом в разделе дополнительных настроек значится “DMZ” – демилитаризованная зона. Здесь задаются параметры порта для логического вынесения локального компьютера за пределы LAN. Здесь же можно настроить передачу NetBIOS over TCP/IP, как между DMZ и локальным сегментом, так и между DMZ и сегментом WAN.

Настройка демилитаризованной зоны.

Настройка беспроводной сети

Настройка беспроводной сети.

Следующий пункт “Wireless LAN” разбит на пять подпунктов. Первый из них посвящён базовым настройкам беспроводной сети, здесь можно включить/отключить беспроводной сегмент, задать идентификатор сети SSID, показывать или прятать его, здесь же выбирается канал, на котором будет работать устройство, параметры кадров и настройка шифрования WEP. Если говорить о шифровании, то поддерживается WEP с длиной ключа 64, 128 и 256 бит. Ключи задаются здесь же, можно задать четыре различных варианта.

Настройка беспроводной сети: основные параметры.

Дополнительная безопасность обеспечивается ограничением доступа на основе МАС-адресов. Можно создать список адресов и разрешить или запретить доступ с них.

Настройка беспроводной сети: фильтрация по МАС-адресам.

Далее располагается пункт, в котором проводится настройка параметров 802.1x/WPA. На самом деле, здесь можно выбрать лишь одно из трёх значений: требуется аутентификация, не требуется и запрет доступа.

Настройка беспроводной сети: 802.1х/WPA.

Поскольку маршрутизатор нацелен на использование в небольших офисах в качестве центрального устройства сети, то ZyXEL позаботилась о потребителях и встроила свой небольшой сервер аутентификации. Можно задать 32 учётные записи, что, согласитесь, очень неплохо!

Настройка беспроводной сети: локальная база пользователей.

И, наконец, настройка подключений к внешним серверам RADIUS! В этом пункте предлагается задать адрес сервера аутентификации и сервера учёта.

Настройка беспроводной сети: RADIUS.

Ниже, в разделе дополнительных настроек маршрутизатора находится пункт “WAN”, который также разделён на два подраздела. Первый нужен в том случае, если требуется что-то изменить в конфигурации соединения DSL – всё банально. Интересное начинается при переходе во второй пункт. Как мы уже упоминали, устройство позволяет создавать резервное соединение, а его настройки выполняются именно здесь. Задаются типичные для модемного соединения параметры: номер набора, учётные данные, тип аутентификации и другие.

Настройка внешнего подключения ADSL.

Настройка внешнего подключения: резервный канал.

Настройка внешнего подключения: резервный канал.

Настройка NAT, DDNS, времени и даты

Трансляция сетевых адресов (Network Address Translation) используется для подмены IP-адресов. Скажем, если провайдер выдал вам один реальный IP-адрес (что бывает в большинстве случаев), а вам нужно обеспечить выход нескольких локальных компьютеров в Интернет, то без NAT никак не обойтись. Эта технология будет подменять “левые” адреса LAN при выходе в Интернет на реальный IP-адрес. И наоборот. Маршрутизатор позволяет использовать как вариант с одним внешним адресом – SUA (Single User Account), так и вариант с несколькими внешними адресами.

Поддерживаются следующие типы преобразования адресов:

• один к одному – один локальный адрес транслируется в один глобальный, номера портов при этом не затрагиваются;
• много к одному – несколько локальных адресов транслируются в один глобальный;
• много к много с превышением – несколько локальных адресов транслируются в общие глобальные;
• много к много без превышения – каждый локальный адрес сопоставляется с одним глобальным;
• сервер – позволяет установить внутри сети серверы, которые будут доступны снаружи.

Настройка NAT.

NAT один ко многим: такой режим используется чаще всего.

Динамическая DNS

Напомним: поддержка DDNS, позволяет обращаться к сервисам LAN по имени, а не по IP-адресу (например ftp.bigfileserver.com) даже в том случае, если реальный IP-адрес назначается динамически – то есть каждый раз меняется. DDNS поддерживается маршрутизатором, хотя выбор сильно ограничен – предлагается только провайдер DynDNS.ORG. По умолчанию, поддержка DDNS неактивна.

За DDNS следует пункт “Time and Date”, где задаются все параметры, отвечающие за время на устройстве, – используемый для синхронизации протокол, адрес сервера, часовой пояс, текущая дата и время и ещё некоторые параметры.

Параметры синхронизации времени.

Настройка межсетевого экрана

Несомненно, одним из самых важных компонентов такого маршрутизатора можно считать встроенный межсетевой экран. В P-662HW EE реализован межсетевой экран SPI, имеющий средства защиты от атак типа отказа в обслуживании (DOS), подмены адресов и т.д. Настройки по умолчанию разрешают устанавливать соединения из внутреннего сегмента сети во внешний, и запрещают из внешнего во внутренний. Для настройки межсетевого экрана выделено четыре подраздела, отвечающие за различные параметры. Так, первый подраздел предназначен для включения брандмауэра, а также для задания политики, действующей по умолчанию. В нём определяется, откуда и куда пакеты могут проходить, и откуда куда не могут. Например, из WAN в DMZ могут, а в LAN – нет.

Политика по умолчанию.

Второй раздел отображает и позволяет задать правила, которые будут обрабатываться брандмауэром. При этом следует указать направление пакетов, на которое это правило будет распространяться, а также адреса источника и приёмника, протокол, действие и время, когда правило будет применяться. Мы рады отметить, что можно задать не только время, но и день недели, что бывает нужно на практике достаточно часто. К сожалению, нет возможности задавать время на каждый день недели отдельно, но не слишком ли много мы требуем от такого устройства? Здесь же можно включить журналирование событий.

Правила брандмауэра.

Третий подраздел позволяет сделать вашу сеть невидимой снаружи, то есть маршрутизатор не будет отвечать на поступающие эхо-запросы. Причём, можно задать интерфейс, для которого этот режим будет работать.

И, наконец, последний подраздел посвящён защите от DOS-атак. Здесь задаётся максимальное количество открытых сеансов. Причём, можно определить как скорость нарастания сеансов, то есть их число в минуту, так и общее количество. На тот случай, когда лимит достигнут, есть возможность определить действие, которое будет автоматически выполняться маршрутизатором. Например, отключить старые или подождать какое-то время.

Межсетевой экран – блокирование содержания

Настройка блокирования адресов сайтов показалась нам достаточно простой. Всё что нужно, чтобы запретить доступ, – указать в списке URL сайт, или часть, после чего на все страницы, которые будут попадать под установленное ограничение, доступ будет закрыт.

Приятно, что ограничение может быть не постоянным, а действующим по расписанию. Можно задать день недели и время, когда правило будет работать.

Если вы желаете, чтобы доступ в Интернет с некоторых компьютеров не подвергался контролю содержания, можете задать диапазон адресов, с которых пользователи получат неограниченный доступ в Интернет.

Конечно, функцию блокирования нельзя назвать надёжной, её можно обойти, используя IP-адрес сайта вместо имени. Вряд ли многие об этом знают, но, всё же, опасаться есть чего.

Фильтрация контента.

Ещё один пункт со схожим названием – “Контроль доступа” (“Content Access Control”) – предназначен для разграничения прав доступа на группы пользователей. Так, предусмотрено четыре стандартных группы, для каждой из которых можно задать доступ как при помощи категорий, так и при помощи ключевых слов. Ограничения по службам или портам также присутствуют в списке возможностей. Кроме того, можно задавать ограничения по времени суток, но что нам особенно понравилось – по продолжительности времени в сети, то есть можно разрешить пользоваться Интернетом только два часа в сутки и ни минутой больше. И маршрутизатор непременно проконтролирует и исполнит это. Причём, для каждого из дней недели настройки могут отличаться!

Контроль доступа.

Во втором разделе задаются учётные записи пользователей. Изначально отображается всего десять полей, но при необходимости список пользователей можно расширить до 32. Всё до предела просто – нужно указать имя пользователя, его пароль и выбрать группу, которой он принадлежит.

Профили пользователей.

Последний пункт здесь отображает статус пользователей, в том числе, пользуются ли они Интернетом, и сколько времени им осталось.

Антивирус

Мы не можем не отметить ещё одну функцию, относящуюся непосредственно к безопасности, – антивирусную защиту. Можно включить проверку различного трафика: почтового, FTP и HTTP. Настройки позволяют автоматически проверять наличие обновлений антивирусных баз каждый час, 12 часов или 24 часа, так что защиту от вирусов можно считать выполненной успешно. Отметим, что обновление антивирусных баз является платным и осуществляется через подписку на сервере http://www.myzyxel.com/. Можно, конечно, обойтись и без подписки, но в таком случае обновления баз будут происходить лишь при обновлении микропрограммы.

Настройка антивируса.

VPN

Маршрутизатор позволяет создавать виртуальные частные соединения по протоколу IPSec, поддерживается как туннельный, так и транспортный режимы. Соединения можно устанавливать и между одиночными узлами, и между подсетями. В качестве алгоритмов шифрования реализованы DES, 3DES и AES, аутентификации – SHA1 и MD5. Вообще, при настройке VPN-соединения пользователю есть из чего выбрать – набор параметров чрезвычайно широк! Приятно, что в электронной версии руководства рассмотрены примеры настройки VPN-соединения не только с другими аппаратными решениями, но и со встроенным клиентом Win2k. Отметим, что на наших страницах уже появлялся материал, посвящённый настройке клиента IPSec в Windows 2000/XP, поэтому подробно на нём останавливаться не будем. Из интересного отметим, что поддерживается (и по умолчанию включено) широковещание NetBIOS.

Настройка IPSec.

Настройка IPSec.

Журналирование и предупреждения

К реализации журналирования на маршрутизаторе подошли серьёзно. Есть два варианта отправки журналов: по электронной почте и на сервер syslog. В первом случае нужно задать адрес или имя сервера, указать тему письма, и адрес, на который посылать (отметим, что журналы можно отправлять на один адрес, а срочные сообщения – на другой). Во втором случае указывается адрес сервера. Для отправки журналов можно также задать различные параметры: отправлять по мере заполнения, ежечасно, ежедневно, еженедельно или не отправлять никогда, здесь же можно задать и время отправки журналов. Что касается информации, заносимой в журнал, то на этом же экране, только чуть ниже, вы можете выбрать все те события, которые вам интересны.

Настройка журналирования.

Настройка журналирования.

Другие возможности

Маршрутизатор поддерживает удалённое управление, причём можно ограничить доступ как только для внутреннего, так и только для внешнего интерфейса. Если нужно более жёсткое ограничение, то можно указать IP-адрес узла, с которого разрешено управление. Также можно выбрать и порт.

Как и большинство сегодняшних устройств, герой нашего тестирования поддерживает UPnP. Отметим, что по умолчанию эта функция отключена.

Последний раздел позволяет просматривать параметры устройства и выполнять различные сервисные функции. Здесь можно не только посмотреть версию прошивки и локальные адреса, но и таблицу адресов сети.

Тестирование производительности беспроводной сети

Приступим к живому тестированию производительности.

Мы протестировали маршрутизатор в режиме 802.11g как без использования шифрования, так и с использованием шифрования WPA. Скорость в обоих случаях оказалось на должном уровне. Все тесты проводились средствами IXIA Chariot 5.0, build 3547.

Результаты тестирования производительности беспроводной сети 802.11g представлены в следующей таблице:

Вполне очевидно, что различия в скорости соединения с использованием шифрования и без его использования не наблюдается. Сегодня, с приходом аппаратных решений, этой проблемы не стало!

Графики тестовых замеров показаны ниже.

Пропускная способность: условие 1.

Пропускная способность: условие 1.

Пропускная способность: условие 2.

Пропускная способность: условие 3.

Пропускная способность: условие 4.

Тестирование подключения ADSL

Для тестирования соединения мы воспользовались телефонной линией и ADSL-каналом компании “МТУ Интел”, известной торговой маркой “СТРИМ”.

Для аутентификации абонентов по выделенным каналам “МТУ Интел” использует протокол PPPoE. Он позволяет подключиться к линии, потратив минимальное количество времени на настройку соединения, так как пользователю нужно знать только имя учётной записи и пароль. Все остальные параметры присваиваются автоматически.

ZyXEL Prestige 662HW EE позволяет провести авторизацию двумя способами. Первый – через встроенного PPPoE-клиента, то есть авторизоваться будет сам модем. Второй – когда модем стоит в режиме BRIDGE, что позволяет авторизоваться через учётную запись в системе (типа режима pass-through).

Первый вариант идеально подходит, если вам необходимо подключить через модем целый офис. Модем сам авторизуется как клиент на сервере провайдера, а далее будет раздавать Интернет по офису через NAT, причём трафиком можно будет легко управлять. Кстати, российские энтузиасты создали программу, которая позволяет контролировать модем и управлять им по Telnet и SNMP. Через эту утилиту можно легко видеть, что происходит на линии, отслеживать уровень сигнала, скорость подключения, размер скаченного и отправленного трафика и многое другое. Мы уверены, что данная программа просто необходима всем владельцем этого модема, скачать же её можно по адресу http://zyxmon.nm.ru/. Кстати, утилита работает и с другими устройствами ZyXEL, к примеру, с линейкой OMNI ADSL.

Этот же вариант подключения подходит и для дома, если у вас есть несколько компьютеров (скажем, пара ПК и ноутбук). Если же вы пользуетесь одним компьютером (к примеру, ноутбуком), то намного проще будет использовать PPPoE-клиент, встроенный в систему, и режим pass-through. Так, правильно настроив точку доступа и прописав ноутбук в списке допустимых устройств, вы сможете из любой комнаты (если позволяет зона покрытия) выходить в Интернет. Но будьте осторожны и используйте только защищённое подключение по беспроводной сети, лучше с WPA. Немаловажным фактором является то, что модем сам настраивается на линию и поддерживает максимально возможное качество соединения. Также в модеме есть поддержка ADSL 2+ – этот стандарт очень скоро появится на магистральном оборудовании компании “MTУ Интел”, точнее, уже появился, но технология находится пока на тестовом испытании и будет введена в строй в 2005 году.

“МТУ Интел” предоставляет несколько тарифных планов, которые отличаются не только размером предоплаченного трафика, но и скоростью канала. Мы проверили модем на всех возможных каналах и на разных АТС – от самых древних до современных. Понятно, что на скорости от 160 килобит до 2 мегабит в секунду будут работать практически все модемы, за редким исключением, а вот со скоростями 4 мегабита и выше уже редкие экземпляры покажут хорошие результаты. Наш модем относится именно к таким. При максимально возможном соединении в 7,5 Мбит/с Prestige 662 показывал скорость передачи данных на уровне 6 мегабит в секунду. Причем тут стоит пояснить, что это не огрехи модема – некоторую потерю вносит магистраль и магистральное оборудование, а также телефонная линия. На новой цифровой АТС соединение оказалось на уровне 7,5 Мбит/с, а скорость скачивания была, приблизительно, 800-900 кбайт/с, что, согласитесь, просто идеальный результат. Естественно, скорость скачивания во многом зависит от сервера, с которого производилось скачивание, но в нашем случае мы обращались к российским серверам. На старой аналоговой АТС скорость оказалась порядка 700-800 кбайт/с, но здесь дело, скорее, не в самой телефонной станции, так как ADSL-коммутатор включается ещё до неё, а в старых абонентских линиях. В центре Москвы имеется масса АТС, у которых отходящие телефонные линии пролегают в затопленных коллекторах. На таких АТС и 1 Мбит/с можно назвать хорошим результатом.

Заключение

Без сомнения, P-662HW EE – одно из наиболее интересных устройств, побывавших в нашей лаборатории. Сбалансированное соотношение всех основных параметров и при этом достаточно демократичная цена, несомненно, помогут устройству завоевать свою нишу. Наличие IPSec позволяет создавать защищённые соединения между сетями нескольких офисов, разделёнными потенциально опасной средой Интернета.

Обеспечив своё детище прекрасной функциональностью, ZyXEL не забыла создать для него и подробное руководство пользователя на 456 страниц, в котором подробно рассмотрены не только базовые моменты, но и такие сценарии, как настройка VPN-соединения между маршрутизатором и Windows 2000/XP.

Если говорить о беспроводной сети, то и здесь устройство показало себя прекрасно как с точки зрения функциональности и безопасности, так и с точки зрения производительности.

Отметим, что настройка устройства отличается от настройки множества других моделей, которые мы рассматривали ранее, однако никакого серьёзного неудобства это не создаёт.

Условия тестирования беспроводной производительности

Все тесты проводились средствами IXIA Chariot 5.0, build 3547.

Условие 1: в одной комнате.

Расстояние между маршрутизатором и беспроводным клиентом около 3 метров.

Условие 2: среднее расстояние

Беспроводной клиент находился примерно в 12 метрах от точки доступа, кроме этого, между ними было две тонких стены.

Условие 3: среднее расстояние.

Беспроводной клиент находился примерно в 20 метрах от точки доступа, кроме этого, между ними было две каменных стены.

Условие 4: сильное затухание.

Беспроводной клиент находился примерно в 30 метрах от точки доступа. Точка доступа находилась за несколькими капитальными стенами от клиента.