Hansı Sophos RED rejimi filial şəbəkənizə uyğundur?

Sophos RED VPN protokolu deyil, uzaq sahə roludur, buna görə onu IPsec və ya OpenVPN ilə müqayisə etmək yanlış suala cavab verir. Cihaz mərkəzi firewall-un nəzarətini filiala uzadır və seçdiyiniz rejim filial şlüzünü kimin təmin etdiyini, adresləri kimin payladığını və hansı trafikin tuneldən keçdiyini müəyyən edir. Bu üç cavab rejim adlarından daha vacibdir. Onları əvvəlcə yazmaq məhsul seçimini dizayn qərarına çevirir.

RED protokol deyil, roldur

RED cihazı filialı mərkəzi Sophos Firewall-a birləşdirir və filialın nəyə çevrildiyini firewall-un konfiqurasiyası müəyyən edir. Tunel bu birləşmənin tətbiq detalıdır, istənilən peer-ə yönəldə biləcəyiniz ümumi təyinatlı VPN son nöqtəsi deyil.

Bu çərçivə vacibdir, çünki RED ixtiyari IPsec peer-i ilə dəyişdirilə bilməz. O, mərkəzi firewall-un onu idarə etməsini gözləyir və dəstəklənən rejimlər onun filialdan nə qədərini ələ keçirdiyini təsvir edir. Ona adi tunel son nöqtəsi kimi baxmaq məhsulun heç vaxt vəd etmədiyi gözləntilər yaradır. Ona rol kimi baxmaq isə dizaynı həqiqətən müəyyən edən sualları doğurur.

Aşağıdakı üç şərt cavabı dəyişir və hamısı şifrələmə deyil, sahiblik barədədir.

Rejimi seçən üç şərt

Filial şlüzünün kimə aid olduğunu, filial müştəriləri üçün DHCP və DNS-i kimin idarə etdiyini və yerli internet çıxışının tunel kəsilməsinə tab gətirməli olub-olmadığını soruşun.

Standard/Unified hər üçünə eyni cür cavab verir: filial LAN-ı, o cümlədən şlüz və DHCP vəzifələri mərkəzi firewall-a aiddir və trafik tuneldən keçir. Standard/Split mərkəzi idarəetməni saxlayır və yalnız konfiqurasiya edilmiş şəbəkələri tuneldən göndərir. Transparent/Split mövcud filial şəbəkəsini öz şlüzü və adreslərinə nəzarət etməyə buraxır və yalnız seçilmiş trafiki tunelə yönləndirir. Üç rejim, üç fərqli sahib.

Əvvəlcə orta sütunu oxuyun, çünki tunel getdikdə filialın nə qədərinin hələ işlədiyini o müəyyən edir.

Filial şlüzü və DHCP kimə aiddir

Birləşmiş düzülüşdə filialın ayrıca şlüzü demək olar ki, yoxdur, bu konfiqurasiyanı sadələşdirir və nasazlığı bir yerə yığır. Bu yığılma filial kiçik və mərkəzi firewall yüksək əlçatan olduqda qəbul ediləndir.

Şəffaf yerləşdirmədə filial öz marşrutlaşdırıcısını saxlayır və RED seçilmiş trafiki yönləndirmək üçün zəncirə qoşulur. Bu, yerli nəzarəti qoruyur və yol üzərindəki mövqeyi hər yönləndirilən axın üçün vacib olan bir cihaz əlavə edir. Onun harada durduğunu sənədləşdirin, çünki filial marşrutlaşdırıcısındakı sonrakı dəyişiklik onu səssizcə yan keçə bilər. Heç bir düzülüş ümumilikdə qalib gəlmir; onlar məsuliyyəti fərqli bölüşdürür.

Adres sahibliyi yazılmalı olan hissədir, çünki bir seqmentdə iki DHCP serveri VPN problemi kimi bildirilən aralıq nasazlıqlar yaradır.

Tunel düşəndə nə olur

Split rejimi çox vaxt tunel nasazlığı zamanı yerli internetin işləməyə davam etməsi vədi kimi oxunur və bu oxunuş təhlükəsiz deyil. Dəqiq davranış seçilmiş rejimdən, proqram təminatından və cihazdan asılıdır, ona görə də fərziyyəyə deyil, qəbul meyarlarına aiddir.

Tunel olmadan filialın hələ nə etməli olduğunu qərarlaşdırın: yerli printerlərə çatmaq, adları həll etmək, ödəniş qəbul etmək və ya heç nə. Sonra tuneli bloklayaraq və filialı müşahidə edərək həmin vəziyyəti bilərəkdən sınaqdan keçirin. DNS-i səssizcə itirən filial uca səslə sıradan çıxandan pisdir, çünki dəstək zəngi saatlar sonra gəlir. Müşahidə olunan nəticəni dizayn qeydinə yazın.

Mərkəzi asılılıq hər rejimdə eynidir: cihazın özü üçün bərpa yoluna kimsə sahib olmalıdır.

Yerləşdirmədən əvvəl filial müqaviləsini yazın

Filial müqaviləsi bir səhifəyə sığır: sahiblər, adres mənbələri, tuneldən keçən prefikslər, çıxış siyasəti və qəbul etdiyiniz kəsinti davranışı.

Sonra nəzərdə tutulanı deyil, yerləşdirilmiş nəticəni yoxlayın. Filial müştərisinin adresini, defolt şlüzünü, hansı prefikslərin tuneldən həll olunduğunu və tunel bloklananda nəyin hələ cavab verdiyini yoxlayın. Uyğunluq, əlçatanlıq və lisenziyalaşdırma hamısı dəqiq model üçün cari təchizatçı sənədləri ilə yoxlanmalıdır, çünki məhsul adı rejimə zəmanət vermir. Həmin səhifəni cihaz qeydi ilə saxlayın ki, növbəti mühəndis diaqramı deyil, qərarları miras alsın.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Tunel bloklanmış halda həmin bloku təkrarlayın və iki işə salma arasındakı fərq həqiqətən aldığınız kəsinti davranışıdır.