Які рэжым Sophos RED падыходзіць вашай сетцы філіяла?
RED — гэта роля для аддаленага аб'екта, а не пратакол. Выберыце Standard/Unified, Standard/Split або Transparent/Split у залежнасці ад таго, каму належыць шлюз філіяла і DHCP.
Sophos RED — гэта роля для аддаленага аб'екта, а не пратакол VPN, таму параўнанне з IPsec або OpenVPN адказвае на няправільнае пытанне. Прылада пашырае кантроль цэнтральнага фаервала на філіял, а выбраны рэжым вызначае, хто забяспечвае шлюз філіяла, хто выдае адрасы і які трафік ідзе праз тунель. Гэтыя тры адказы важнейшыя за назвы рэжымаў. Калі запісаць іх першымі, выбар прадукту ператвараецца ў рашэнне аб праекце.
RED — гэта роля, а не пратакол
Прылада RED далучае філіял да цэнтральнага Sophos Firewall, і менавіта канфігурацыя фаервала вызначае, чым стане філіял. Тунель — гэта дэталь рэалізацыі такога далучэння, а не універсальны канчатковы пункт VPN, які можна нацэліць на любога партнёра.
Гэтая пастаноўка важная, бо RED не ўзаемазамяняльны з адвольным партнёрам IPsec. Ён чакае, што цэнтральны фаервал будзе ім кіраваць, а падтрыманыя рэжымы апісваюць, якую частку філіяла ён бярэ на сябе. Стаўленне да яго як да звычайнага канчатковага пункта тунеля стварае чаканні, якіх прадукт ніколі не абяцаў. Стаўленне да яго як да ролі нараджае пытанні, якія і вызначаюць праект.
Тры ўмовы ніжэй змяняюць адказ, і ўсе яны пра ўласнасць, а не пра шыфраванне.
Тры ўмовы, якія выбіраюць рэжым
Спытайце, каму належыць шлюз філіяла, хто кіруе DHCP і DNS для кліентаў філіяла і ці павінен лакальны выхад у інтэрнэт перажыць аварыю тунеля.
Standard/Unified адказвае на ўсе тры аднолькава: цэнтральны фаервал валодае лакальнай сеткай філіяла, уключаючы абавязкі шлюза і DHCP, а трафік ідзе праз тунель. Standard/Split захоўвае цэнтральнае кіраванне і накіроўвае праз тунель толькі наладжаныя сеткі. Transparent/Split пакідае існуючай сетцы філіяла яе ўласны шлюз і адрасы і накіроўвае ў тунель толькі выбраны трафік. Тры рэжымы, тры розныя ўладальнікі.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Спачатку прачытайце сярэдні слупок, бо ён вызначае, якая частка філіяла яшчэ працуе, калі тунель знік.
Каму належыць шлюз філіяла і DHCP
У аб'яднанай схеме ў філіяла няма самастойнага шлюза, што спрашчае наладку і засяроджвае адмову. Такая засяроджанасць прымальная, калі філіял невялікі, а цэнтральны фаервал мае высокую даступнасць.
У празрыстай схеме філіял захоўвае свой маршрутызатар, а RED стаіць у разрыве, каб перанакіроўваць выбраны трафік. Гэта захоўвае лакальны кантроль і дадае прыладу, чыё месца ў шляху цяпер важнае для кожнага перанакіраванага патоку. Задакументуйце, дзе яна стаіць, бо пазнейшая змена маршрутызатара філіяла можа незаўважна яе абысці. Ні адна схема не перамагае ўвогуле; яны па-рознаму размеркуюць адказнасць.
Уласнасць на адрасы — гэта тое, што трэба запісаць, бо два серверы DHCP у адным сегменце ствараюць перарывістыя збоі, якія паведамляюць як праблемы VPN.
Што адбываецца, калі тунель падае
Працу Split часта чытаюць як абяцанне, што лакальны інтэрнэт працуе падчас аварыі тунеля, і такое чытанне нябёспечнае. Дакладныя паводзіны залежаць ад выбранага рэжыму, прашыўкі і прылады, таму ім месца ў крытэрыях прыёмкі, а не ў здагадках.
Вызначце, што філіял павінен рабіць без тунеля: дасягаць лакальных прынтараў, развязваць імёны, прымаць плацяжы або наогул нічога. Затым свядома праверце гэты стан, заблакаваўшы тунель і назіраючы за філіялам. Філіял, які ціха губляе DNS, горш за той, што гучна адмаўляе, бо званок у падтрымку прыходзіць праз гадзіны. Запішыце назіраны вынік у запіс аб праекце.
Цэнтральная залежнасць аднолькавая ва ўсіх рэжымах: хтосьці павінен валодаць шляхам аднаўлення самой прылады.
Запішыце дамову па філіяле перад разгортваннем
Дамова па філіяле змяшчаецца на адной старонцы: уладальнікі, крыніцы адрасоў, прэфіксы праз тунель, палітыка выхаду і прынятыя паводзіны пры аварыі.
Затым правярайце разгорнуты вынік, а не меркаваны. Праверце адрас кліента філіяла, яго шлюз па змаўчанні, якія прэфіксы развязваюцца праз тунель і што яшчэ адказвае, калі тунель заблакаваны. Сумяшчальнасць, дасяжнасць і ліцэнзаванне ўсё трэба звяраць з актуальнай дакументацыяй пастаўшчыка для дакладнай мадэлі, бо назва прадукту не гарантуе рэжым. Трымайце гэтую старонку разам з запісам аб прыладзе, каб наступны інжынер атрымаў у спадчыну рашэнні, а не схему.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleПаўтарыце гэты блок з заблакаваным тунелем, і розніца паміж двума запускамі — гэта паводзіны пры аварыі, якія вы насамрэч набылі.