Eine Firewall, eine Internetverbindung – aber für Ihre Mitarbeiter, Ihre Schüler und Ihre Gäste sollten nicht alle die gleichen Regeln gelten. Policy Manager ist die App, die eine Arista-Firewall (Untangle) in separate Regelwerke aufteilt, eines pro Gruppe.
Standardmäßig folgt jedes Gerät hinter Ihrer Firewall der dieselben Richtlinie: demselben Webfilter, denselben blockierten Kategorien, denselben Apps. Für ein Heimnetzwerk ist das in Ordnung, aber in einem Büro oder einer Schule geht es schnell kaputt – die Personalabteilung benötigt Websites, die von Studenten niemals geöffnet werden dürfen, und Gäste sollten eine kurze, strenge Liste erhalten. Der Policy Manager löst dieses Problem, indem er zusätzliche Richtlinien erstellt (Arista nennt sie Racks). Jede Richtlinie verfügt über einen eigenen Satz von Apps mit eigenen Einstellungen, und eine einfache Regel entscheidet, welche Gruppe zu welcher Richtlinie gehört. Diese Anleitung folgt dem genauen Ablauf des Videos: Anmelden, HR-Richtlinie erstellen, Module darin installieren, Personen anhand der IP- oder MAC-Adresse zuweisen und die Standardrichtlinie verstehen, die alle anderen erfasst.
| Policy (Rack) | Who Lands Here | Typical Web Filter Behaviour |
|---|---|---|
| HR Policy | HR team PCs, matched by IP or MAC | Job portals and social media allowed, rest standard |
| Student Policy | Lab and classroom devices | Strict — social media, games and proxies blocked |
| Default Policy | Everyone and everything else | Balanced office filtering — this one ships with the firewall |
Alles beginnt in der Admin-Oberfläche, genau wie im Video gezeigt:
Dort sehen Sie bereits eine Richtlinie: die Standard-Richtlinie. Es wird automatisch erstellt, kann nicht entfernt werden und verarbeitet derzeit den gesamten Ihres Datenverkehrs. Nichts, was Sie später erstellen, funktioniert, bis eine Regel den Datenverkehr davon wegleitet – denken Sie daran.
Klicken Sie, um eine neue Richtlinie hinzuzufügen und ihr einen Namen zu geben, den Ihr Team auf einen Blick verstehen wird – im Video wird HR-Richtlinie als Beispiel verwendet, da Abteilungen der häufigste Grund dafür sind. Hier sind zwei Einstellungen wichtig. Der Name ist nur eine Bezeichnung, also benennen Sie ihn nach der Gruppe, nicht nach der Technologie: HR, Studenten, Gäste, Server. Die Übergeordnete Richtlinie (übergeordnetes Rack) entscheidet über die Vererbung: Eine untergeordnete Richtlinie übernimmt zunächst die Apps und Einstellungen ihrer übergeordneten Richtlinie, und Sie ändern dann nur die Unterschiede. Die Auswahl der Standardrichtlinie als übergeordnete Richtlinie ist die übliche Wahl – die neue Richtlinie beginnt als Kopie Ihres Arbeits-Setups und nicht als leeres Feld ohne jegliche Filterung.
Eine Richtlinie allein bewirkt nichts – sie ist ein leeres Rack, bis Sie Apps darin installieren. Öffnen Sie die neue Richtlinie und installieren Sie die Module, die die Gruppe benötigt, zum Beispiel Webfilter. Dies ist das Herzstück der gesamten Funktion: Der Webfilter der HR-Richtlinie ist eine separate Instanz mit eigenen Kategorien, Sperrlisten und Passlisten. Wenn Sie ein Jobportal im Webfilter der HR-Richtlinie zulassen, ist dies nicht für Studenten möglich, da die Studentenrichtlinie über eine eigene Webfilterinstanz mit eigenen Einstellungen verfügt. Installieren Sie nur das, was diese Gruppe benötigt – jede zusätzliche App bedeutet zusätzliche Verarbeitung und eine weitere Sache, die gewartet werden muss.
Teilen Sie der Firewall nun mit, wer zu dieser Richtlinie gehört. Öffnen Sie im Richtlinienmanager die Registerkarte Regeln und fügen Sie eine Regel hinzu: Wenn der Datenverkehr die Bedingung erfüllt, senden Sie ihn an die Personalrichtlinie. Das Video ordnet Benutzer anhand der Quell-IP-Adresse oder Quell-MAC-Adresse zu – zum Beispiel dem PC des Personalmanagers unter einer festen Adresse wie 192.168.1.50 oder einer Liste der Adressen der Personalabteilung. Regeln werden von oben nach unten überprüft und die erste passende Regel gewinnt, daher ist die Reihenfolge dieser Liste keine Dekoration, sondern die Logik. Alles, was überhaupt keiner Regel entspricht, fällt einfach unter die Standardrichtlinie.
Geben Sie die neuen Regeln erst bekannt, wenn Sie gesehen haben, wie ein echtes Gerät sie befolgt:
Wenn der erste Test fehlschlägt, sind die häufigsten Ursachen eine geänderte DHCP-Adresse, eine Regel unterhalb einer umfassenderen Regel oder eine alte Sitzung, die gestartet wurde, bevor die Regel existierte. Auf der Diagnoseseite dieser Serie werden diese einzeln durchgegangen.
Policy Manager ist nicht Teil des kostenlosen Kerns der Firewall. Untangle wird jetzt als Arista Edge Threat Management (ETM) NG Firewall verkauft und Policy Manager ist – wie der vollständige Webfilter und der Directory Connector, der benutzernamenbasierte Regeln hinzufügt – eine Abonnement-App. Der Plattform-Download ist kostenlos und Sie können die Benutzeroberfläche während einer Testversion öffnen und sich umsehen. Für eine dauerhafte Einrichtung mit mehreren Richtlinien ist jedoch das entsprechende Abonnement erforderlich. Preise und Pakete ändern sich. Überprüfen Sie daher die aktuelle Arista-Lizenzierung auf Ihre Benutzerzahl, bevor Sie einen großen Rollout planen.
Erstellen der HR-Richtlinie, Festlegen der übergeordneten Richtlinie, Installieren des Webfilter-Moduls und Zuweisen von Benutzern nach IP und MAC – der gesamte Ablauf wird live im Video gezeigt.
▶️ Watch Full VideoNein. Die Firewall-Plattform (jetzt Arista Edge Threat Management NG Firewall) kann kostenlos heruntergeladen werden, Policy Manager ist jedoch eine Abonnement-App. Ohne das Abonnement haben Sie nur die einzige Standardrichtlinie. Mit Testlizenzen können Sie es testen, bevor Sie bezahlen.
Arista verwendet das Wort Rack für eine Richtlinie. Ein Rack ist ein vollständiges Regelwerk: ein eigener Satz installierter Apps, jede mit ihren eigenen Einstellungen. Die Richtlinien-Manager-Regeln entscheiden darüber, welches Rack jede neue Sitzung verarbeitet, und das Standard-Rack verarbeitet alles, was keiner Regel entspricht.
Nein. Wenn eine Sitzung beginnt, werden die Regeln von oben überprüft und die erste übereinstimmende Regel entscheidet über die Richtlinie für die gesamte Sitzung. Ein Gerät wird jeweils immer von genau einer Richtlinie verarbeitet, sodass Überschneidungen durch die Regelreihenfolge ausgeglichen werden.