Koji Sophos RED način rada odgovara vašoj mreži podružnice?

Sophos RED je uloga za udaljenu lokaciju, a ne VPN protokol, pa poređenje s IPsec ili OpenVPN odgovara na pogrešno pitanje. Uređaj proširuje kontrolu središnjeg firewall-a na podružnicu, a način rada koji odaberete određuje ko osigurava pristupnik podružnice, ko dodjeljuje adrese i koji promet prelazi tunel. Ta tri odgovora važnija su od naziva načina rada. Ako ih prvo zapišete, odabir proizvoda postaje projektna odluka.

RED je uloga, a ne protokol

Uređaj RED pridružuje podružnicu središnjem Sophos Firewall-u, a konfiguracija firewall-a određuje što podružnica postaje. Tunel je pojedinost provedbe tog pridruživanja, a ne univerzalna VPN završna točka koju možete usmjeriti prema bilo kojem partneru.

Taj je okvir važan jer RED nije zamjenjiv s proizvoljnim IPsec partnerom. Očekuje da njime upravlja središnji firewall, a podržani načini opisuju koliki dio podružnice preuzima. Tretiranje uređaja kao obične završne točke tunela stvara očekivanja koja proizvod nikada nije obećao. Tretiranje kao uloge daje pitanja koja doista određuju projekt.

Tri uvjeta u nastavku mijenjaju odgovor i svi se tiču vlasništva, a ne šifriranja.

Tri uvjeta koja biraju način rada

Pitajte kome pripada pristupnik podružnice, ko vodi DHCP i DNS za klijente podružnice i mora li lokalni internetski izlaz preživjeti prekid tunela.

Standard/Unified na sva tri pitanja odgovara jednako: središnji firewall posjeduje LAN podružnice, uključujući dužnosti pristupnika i DHCP-a, a promet prelazi tunel. Standard/Split zadržava središnje upravljanje i šalje kroz tunel samo konfigurirane mreže. Transparent/Split ostavlja postojeću mrežu podružnice da upravlja vlastitim pristupnikom i adresama te u tunel preusmjerava samo odabrani promet. Tri načina, tri različita vlasnika.

Prvo pročitajte srednji stupac jer on određuje koliko podružnice još radi kad tunela nema.

Kome pripadaju pristupnik podružnice i DHCP

U objedinjenom rasporedu podružnica nema samostalan pristupnik, što pojednostavljuje konfiguraciju i koncentrira kvar. Ta je koncentracija u redu kad je podružnica mala, a središnji firewall visoke dostupnosti.

U prozirnom rasporedu podružnica zadržava svoj usmjerivač, a RED stoji u putanji kako bi preusmjeravao odabrani promet. To čuva lokalnu kontrolu i dodaje uređaj čiji položaj u putanji sada postaje važan za svaki preusmjereni tok. Zabilježite gdje stoji jer ga kasnija promjena usmjerivača podružnice može tiho zaobići. Nijedan raspored nije općenito bolji; oni različito raspodjeljuju odgovornost.

Vlasništvo nad adresama dio je koji treba zapisati jer dva DHCP poslužitelja na istom segmentu stvaraju povremene kvarove koji se prijavljuju kao VPN problemi.

Što se događa kad tunel padne

Split rad često se čita kao obećanje da lokalni internet nastavlja raditi tijekom kvara tunela, a to čitanje nije sigurno. Točno ponašanje ovisi o odabranom načinu, firmware-u i uređaju, pa mu je mjesto u kriterijima prihvaćanja, a ne u pretpostavci.

Odredite što podružnica mora još raditi bez tunela: dosezati lokalne pisače, razrješavati imena, primati plaćanja ili ništa. Zatim to stanje namjerno provjerite blokiranjem tunela i promatranjem podružnice. Podružnica koja tiho izgubi DNS gora je od one koja glasno zataji, jer poziv podršci dolazi satima kasnije. Zapišite uočeni rezultat u projektni zapis.

Središnja ovisnost ista je u svakom načinu: netko mora posjedovati put oporavka samog uređaja.

Zapišite ugovor o podružnici prije postavljanja

Ugovor o podružnici stane na jednu stranicu: vlasnici, izvori adresa, prefiksi kroz tunel, politika izlaza i prihvaćeno ponašanje pri prekidu.

Zatim provjerite postavljeni rezultat, a ne namjeravani. Provjerite adresu klijenta podružnice, njegov zadani pristupnik, koji se prefiksi razrješavaju kroz tunel i što još odgovara kad je tunel blokiran. Kompatibilnost, dostupnost i licenciranje sve treba provjeriti prema aktualnoj dokumentaciji dobavljača za točan model, jer naziv proizvoda ne jamči način rada. Držite tu stranicu uz zapis o uređaju kako bi sljedeći inženjer naslijedio odluke, a ne dijagram.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Ponovite taj blok s blokiranim tunelom, a razlika između dva pokretanja je ponašanje pri prekidu koje ste doista kupili.