Кой режим на Sophos RED пасва на мрежата на вашия клон?
RED е роля за отдалечен обект, а не протокол. Изберете Standard/Unified, Standard/Split или Transparent/Split според това кой притежава шлюза на клона и DHCP.
Sophos RED е роля за отдалечен обект, а не VPN протокол, затова сравняването му с IPsec или OpenVPN отговаря на грешния въпрос. Устройството разширява контрола на централна защитна стена към клона, а режимът, който изберете, решава кой осигурява шлюза на клона, кой раздава адреси и кой трафик минава през тунела. Тези три отговора тежат повече от имената на режимите. Записването им първо превръща избора на продукт в проектно решение.
RED е роля, а не протокол
Устройство RED присъединява клон към централна Sophos Firewall и конфигурацията на защитната стена определя какво става клонът. Тунелът е подробност от реализацията на това присъединяване, а не универсална крайна точка на VPN, която може да насочите към произволен партньор.
Тази рамка е важна, защото RED не е взаимозаменяем с произволен IPsec партньор. То очаква централната защитна стена да го управлява, а поддържаните режими описват каква част от клона поема. Отнасянето към него като към обикновена крайна точка на тунел създава очаквания, които продуктът никога не е обещавал. Отнасянето към него като към роля поражда въпросите, които наистина решават проекта.
Трите условия по-долу променят отговора и всички те са за собствеността, не за криптирането.
Три условия, които избират режима
Попитайте кой притежава шлюза на клона, кой управлява DHCP и DNS за клиентите на клона и дали локалният интернет изход трябва да оцелее при прекъсване на тунела.
Standard/Unified отговаря на трите еднакво: централната защитна стена притежава локалната мрежа на клона, включително задачите на шлюза и DHCP, а трафикът минава през тунела. Standard/Split запазва централното управление и изпраща през тунела само конфигурираните мрежи. Transparent/Split оставя съществуващата мрежа на клона да отговаря за собствения си шлюз и адреси и пренасочва в тунела само избран трафик. Три режима, трима различни собственици.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Прочетете първо средната колона, защото тя решава каква част от клона още работи, когато тунелът го няма.
Кой притежава шлюза на клона и DHCP
При обединеното устройство клонът няма самостоятелен шлюз, което опростява конфигурацията и концентрира отказа. Тази концентрация е приемлива, когато клонът е малък и централната защитна стена е с висока наличност.
При прозрачно внедряване клонът запазва своя маршрутизатор, а RED стои в пътя, за да пренасочва избран трафик. Това запазва локалния контрол и добавя устройство, чието място в пътя вече е важно за всеки пренасочен поток. Документирайте къде стои, защото по-късна промяна в маршрутизатора на клона може тихо да го заобиколи. Нито едно от двете устройства не печели по принцип; те разпределят отговорността по различен начин.
Собствеността върху адресите е частта, която трябва да се запише, защото два DHCP сървъра в един сегмент създават периодични повреди, докладвани като проблеми с VPN.
Какво става, когато тунелът падне
Работата в Split режим често се чете като обещание, че локалният интернет продължава да работи при повреда на тунела, и това четене не е безопасно. Точното поведение зависи от избрания режим, фърмуера и устройството, затова му е мястото в критериите за приемане, а не в предположение.
Решете какво трябва да прави клонът без тунел: да достига локални принтери, да решава имена, да приема плащания или нищо. После проверете това състояние нарочно, като блокирате тунела и наблюдавате клона. Клон, който тихо губи DNS, е по-лош от такъв, който се проваля шумно, защото обаждането до поддръжката идва часове по-късно. Запишете наблюдавания резултат в проекта.
Централната зависимост е една и съща във всеки режим: някой трябва да притежава пътя за възстановяване на самото устройство.
Запишете договора за клона преди внедряване
Договорът за клона се побира на една страница: собственици, източници на адреси, префикси през тунела, политика за изход и поведението при прекъсване, което сте приели.
После проверете внедрения резултат, а не намерения. Проверете адреса на клиента в клона, шлюза му по подразбиране, кои префикси се решават през тунела и какво още отговаря, когато тунелът е блокиран. Съвместимостта, достъпността и лицензирането всички трябва да се сверят с текущата документация на доставчика за точния модел, защото името на продукта не гарантира режим. Пазете тази страница с документа за устройството, за да наследи следващият инженер решенията, а не схемата.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleПовторете този блок с блокиран тунел и разликата между двата пуска е поведението при прекъсване, което наистина сте купили.