Bir filial alt şəbəkəsini mərkəzi ofisin SonicWall internet çıxışından yönləndirin

Filial telefonları mərkəzi ofisdən çıxmalı, filial noutbukları isə yerli WAN-dan istifadə etməyə davam etməlidir və yalnız marşrut siyasəti bunu təmin etməyəcək. Filial marşrutu tuneli seçə bilər, lakin tunel siyasəti trafiki qəbul etməlidir, mərkəzi ofis onu yönləndirməli və tərcümə etməli, cavab isə eyni yolla qayıtmalıdır. Bu üçündən hər hansı birini buraxsanız, simptom tunel işləyərkən interneti itirən klientlərin bir alt çoxluğu olacaq.

Seçicidən başlayın, marşrutdan deyil

Marşrut siyasəti mənbə üzrə uyğunlaşır, ona görə mənbə hər şeydən əvvəl sabit olmalıdır. Seçilmiş cihazları administratorun saxladığı ünvan qrupuna, daha yaxşısı, üzvlüyü cihaz rolunu izləyən ayrılmış seqmentə yerləşdirin. Adi DHCP dövriyyəsi uyğun ünvanı başqa maşına köçürə bildikdə, siyasət səssizcə yanlış klienti seçir və ilk şikayət adətən əslində dolama olan yavaş gəzinti haqqında olur.

Qrupu xidmət etdiyi siyasətin adı ilə adlandırın, mərtəbə və ya şöbənin adı ilə deyil, çünki marşrut qaydası hər ikisindən uzun yaşayacaq. Hansı cihazların içində olduğunu və kimin birini əlavə edə biləcəyini qeyd edin.

Filial siyasətini əlavə edin, sonra onun sırasını qoruyun

Filial SonicWall-da marşrut siyasəti mənbə qrupunu seçir, nəzərdə tutulan təyinatları adlandırır və tunel interfeysini şlüz kimi təyin edir; dəstəklənən tunel interfeysi dizaynı məhz bunun üçündür. Yerli və özəl təyinat qaydalarını geniş internet qaydasının üstündə saxlayın, çünki ilk uyğunluq qazanır və tunelə itələnmiş özəl prefiks mərkəzi ofisə yalnız atılmaq üçün çatır. Firewall-un öz VPN həmkarına marşrutunu da qoruyun, əks halda tunel nəqliyyatı asılı olduğu siyasətə tabe olacaq. Bütün bunlar mövcud siyasət əsaslı tunellərin hamısını çevirməyə məcbur etmir; tunel interfeysi bir neçə dəstəklənən seçimdən biridir.

Sıra təsadüfən dəyişən hissədir. İstisna əlavə edən hər kəs onu geniş qaydanın üstünə qoymalı, geniş qaydanı redaktə edən hər kəs isə bütün dizaynı bir yaddaşla tərsinə çevirə bilər. Nəzərdə tutulan sıranı siyasətin yanına yazın və proqram yeniləmələrindən sonra yenidən yoxlayın, çünki interfeys adlandırması və siyasət göstərimi buraxılışlar arasında dəyişir.

Yolu mərkəzi ofisdə tamamlayın

Mərkəzi ofisdəki tunel siyasəti filial marşrutunun indi seçdiyi trafiki qəbul etməlidir. Mərkəzi ofisin özəl LAN-na həddlənmiş ofislərarası seçici ixtiyari ictimai təyinatları daşımaq icazəsi deyil, ona görə siyasətə filial mənbəyi və həqiqətən nəzərdə tutduğunuz təyinat aralığı lazımdır. Sonra mərkəzi ofis gələn trafiki öz giriş qaydaları ilə internet uplinkinə yönləndirir və SonicWall-un mərkəzi çıxış nümunəsi mərkəzi WAN-da uzaq şəbəkə üçün mənbə tərcüməsini ehtiva edir. Bu tərcümə olmadan uzaq tərəf özəl filial ünvanı görür və ona geri marşrutu olmur.

Cavablar müqavilənin digər yarısıdır. Onlar tuneldən və ya onlar üçün yaradılmış vəziyyətli tərcümədən keçməklə qayıtmalı, özəl sayt trafiki isə ictimai çıxışdan fərqli NAT rəftarına ehtiyac duya bilər. Bu qaydaları fərqləndirilə bilən saxlayın, çünki hər daxili mənbəyi gizlədən bir geniş tərcümə qaydası sonrakı jurnal və nasazlıq aradan qaldırmasını oxumağı xeyli çətinləşdirir.

Tunel düşəndə qrupun nə edəcəyinə qərar verin

Əgər mərkəzi çıxış üstünlük deyil, tələbdirsə, yerli WAN-a geri dönmək istifadəçilər onlayn qalsa da uyğunluq pozuntusudur. SonicOS seçilmiş trafikin nəzərdə tutulmayan alternativ yola çıxmasının qarşısını almaq üçün tunel interfeysini düşürən marşrutu dəstəklənən üsul kimi sənədləşdirir.

Bu marşrutun əhatəsini və prioritetini quraşdırılmış buraxılışa uyğunlaşdırın və etiketə güvənmək əvəzinə tuneli düşürərək sınayın. Yerli olaraq heç vaxt çıxmamalı olan qrup bağlı şəkildə uğursuz olmalı, mövcudluğun daha vacib olduğu qrup isə qanuni olaraq geri dönə bilər; hər ikisi qərardır və heç biri standart olaraq baş verməməlidir.

Üç klientdən yoxlayın, sonra təmiz geri qaytarın

Mərkəzi şlüzə ping yanlış şeyi yoxlayır, çünki o, seçilmiş klientdən deyil, firewall-dan qaynaqlanır. Bunun əvəzinə cihazlardan sınayın və onlardan üçünü sınayın: seçilmiş cihaz, yerli qalması lazım olan adi cihaz və yerli xidmətlərdən asılı olan biri.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

İctimai sorğunun həqiqətən harada üzə çıxdığını müqayisə edin. Seçilmiş klient internetə mərkəzi ofisin çıxışı ilə çatmalı, adi klient isə uzaq tərəfdə hələ də filialın öz ünvanını göstərməlidir; 203.0.113.10 sizin üçün vacib olan təyinatın əvəzedicisi kimi istifadə edilən sənədləşmə ünvanıdır. DNS-i də eyni mərhələyə daxil edin, çünki filial həlledicisinə sorğu göndərən klient fərqli mənbəli və buna görə fərqli marşrutlu marşrutlaşdırıcı mənşəli axtarış yarada bilər.

Geri qaytarma yadda saxlanmış siyasət sırası üstəgəl ünvan qrupudur. Əvvəlki sıranı bərpa edin, qrupu siyasətdən çıxarın və hər iki cihaz sinfini yenidən sınayın. İxrac edilmiş konfiqurasiyanı dəyişiklik qeydi ilə birlikdə saxlayın, çünki növbəti mühəndis kimsə onu redaktə etməzdən əvvəl hansı qaydanın geniş olduğunu bilməlidir.