Watter Sophos RED-modus pas by jou taknetwerk?

Sophos RED is 'n rol vir 'n afgeleë terrein, nie 'n VPN-protokol nie, en daarom beantwoord 'n vergelyking met IPsec of OpenVPN die verkeerde vraag. Die toestel brei die beheer van 'n sentrale firewall uit na 'n tak, en die modus wat jy kies bepaal wie die takpoort verskaf, wie adresse uitdeel en watter verkeer deur die tonnel gaan. Daardie drie antwoorde saak meer as die modusname. Om hulle eers neer te skryf maak van 'n produkkeuse 'n ontwerpbesluit.

RED is 'n rol, nie 'n protokol nie

'n RED-toestel koppel 'n tak aan 'n sentrale Sophos Firewall, en die firewall se konfigurasie bepaal wat die tak word. Die tonnel is 'n implementeringsdetail van daardie koppeling, nie 'n algemene VPN-eindpunt wat jy op enige eweknie kan rig nie.

Daardie raamwerk saak, want 'n RED is nie met 'n willekeurige IPsec-eweknie uitruilbaar nie. Dit verwag dat die sentrale firewall dit bestuur, en die ondersteunde modusse beskryf hoeveel van die tak dit oorneem. Om dit as 'n gewone tonnel-eindpunt te behandel skep verwagtings wat die produk nooit belowe het nie. Om dit as 'n rol te behandel lewer die vrae op wat die ontwerp werklik bepaal.

Die drie voorwaardes hieronder verander die antwoord, en almal gaan oor eienaarskap, nie oor enkripsie nie.

Drie voorwaardes wat die modus kies

Vra wie die takpoort besit, wie DHCP en DNS vir takkliënte bedryf, en of plaaslike internet-uitbreek 'n tonnelonderbreking moet oorleef.

Standard/Unified beantwoord al drie op dieselfde manier: die sentrale firewall besit die tak-LAN, insluitend poort- en DHCP-take, en verkeer gaan deur die tonnel. Standard/Split behou sentrale bestuur en stuur net die gekonfigureerde netwerke deur die tonnel. Transparent/Split laat die bestaande taknetwerk sy eie poort en adresse beheer, en herlei net geselekteerde verkeer in die tonnel in. Drie modusse, drie verskillende eienaars.

Lees eers die middelste kolom, want dit bepaal hoeveel van die tak nog werk wanneer die tonnel weg is.

Wie besit die takpoort en DHCP

In die verenigde reëling het die tak geen onafhanklike poort om van te praat nie, wat konfigurasie vereenvoudig en die faling konsentreer. Daardie konsentrasie is goed wanneer die tak klein is en die sentrale firewall hoogs beskikbaar is.

In 'n deursigtige ontplooiing behou die tak sy roeteerder en sit die RED inlyn om geselekteerde verkeer te herlei. Dit behou plaaslike beheer en voeg 'n toestel by wie se posisie in die pad nou saak maak vir elke herleide vloei. Dokumenteer waar dit sit, want 'n latere verandering aan die takroeteerder kan dit stilweg omseil. Nie een van die reëlings wen in die algemeen nie; hulle verdeel verantwoordelikheid verskillend.

Adreseienaarskap is die deel om neer te skryf, want twee DHCP-bedienerrs op een segment veroorsaak ongereelde foute wat as VPN-probleme gerapporteer word.

Wat gebeur wanneer die tonnel val

Split-werking word dikwels gelees as 'n belofte dat plaaslike internet tydens 'n tonnelfout bly werk, en daardie lesing is nie veilig nie. Die presiese gedrag hang af van die gekose modus, die firmware en die toestel, so dit hoort in die aanvaardingskriteria, nie in 'n aanname nie.

Bepaal wat die tak nog moet doen sonder 'n tonnel: plaaslike drukkers bereik, name oplos, betalings neem, of glad niks. Toets dan daardie toestand doelbewus deur die tonnel te blokkeer en die tak dop te hou. 'n Tak wat stilweg DNS verloor is erger as een wat hardop faal, want die hulpsentrumoproep kom ure later. Skryf die waargeneemde resultaat in die ontwerpverslag.

Die sentrale afhanklikheid is in elke modus dieselfde: iemand moet die herstelpad vir die toestel self besit.

Skryf die takkontrak voor jy ontplooi

'n Takkontrak pas op een bladsy: eienaars, adresbronne, tonnelvoorvoegsels, uitbreekbeleid en die onderbrekingsgedrag wat jy aanvaar het.

Verifieer dan die ontplooide resultaat eerder as die beoogde een. Kontroleer die takkliënt se adres, sy verstekpoort, watter voorvoegsels deur die tonnel oplos, en wat nog antwoord wanneer die tonnel geblokkeer is. Versoenbaarheid, bereikbaarheid en lisensiëring moet almal teen die huidige verskafferdokumentasie vir die presiese model nagegaan word, want 'n produknaam waarborg nie 'n modus nie. Hou daardie bladsy by die toestelrekord sodat die volgende ingenieur die besluite erf, nie die diagram nie.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Herhaal daardie blok met die tonnel geblokkeer, en die verskil tussen die twee lopies is die onderbrekingsgedrag wat jy werklik gekoop het.