Quin mode de Sophos RED encaixa a la xarxa de la teva sucursal?
RED és un rol de seu remota, no un protocol. Trieu Standard/Unified, Standard/Split o Transparent/Split segons qui posseeix la passarel·la de la sucursal i el DHCP.
Sophos RED és un rol de seu remota i no un protocol VPN, i per això comparar-lo amb IPsec o OpenVPN respon a la pregunta equivocada. L'aparell estén el control d'un tallafoc central cap a una sucursal, i el mode que trieu decideix qui proporciona la passarel·la de la sucursal, qui reparteix adreces i quin trànsit creua el túnel. Aquestes tres respostes pesen més que els noms dels modes. Escriure-les primer converteix una tria de producte en una decisió de disseny.
RED és un rol, no un protocol
Un aparell RED uneix una sucursal a un Sophos Firewall central, i la configuració del tallafoc defineix què arriba a ser la sucursal. El túnel és un detall d'implementació d'aquesta unió, no un extrem de VPN de propòsit general que pugueu apuntar a qualsevol peer.
Aquest plantejament importa perquè un RED no és intercanviable amb un peer IPsec arbitrari. Espera que el tallafoc central el gestioni, i els modes suportats descriuen quina part de la sucursal assumeix. Tractar-lo com un extrem de túnel corrent crea expectatives que el producte mai no va prometre. Tractar-lo com un rol produeix les preguntes que de debò decideixen el disseny.
Les tres condicions següents canvien la resposta, i totes tracten de propietat, no de xifratge.
Tres condicions que trien el mode
Pregunteu qui posseeix la passarel·la de la sucursal, qui gestiona DHCP i DNS per als clients de la sucursal, i si la sortida local a internet ha de sobreviure a una caiguda del túnel.
Standard/Unified respon les tres igual: el tallafoc central posseeix la LAN de la sucursal, incloses les tasques de passarel·la i DHCP, i el trànsit creua el túnel. Standard/Split manté la gestió central i envia pel túnel només les xarxes configurades. Transparent/Split deixa la xarxa de sucursal existent a càrrec de la seva pròpia passarel·la i adreces, i redirigeix al túnel només el trànsit seleccionat. Tres modes, tres propietaris diferents.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Llegiu primer la columna central, perquè decideix quina part de la sucursal encara funciona quan el túnel no hi és.
Qui posseeix la passarel·la de la sucursal i el DHCP
En la disposició unificada la sucursal no té cap passarel·la independent, cosa que simplifica la configuració i concentra la fallada. Aquesta concentració va bé quan la sucursal és petita i el tallafoc central té alta disponibilitat.
En un desplegament transparent la sucursal conserva el seu encaminador i el RED se situa en línia per redirigir trànsit seleccionat. Això preserva el control local i afegeix un aparell la posició del qual al camí ara importa per a cada flux redirigit. Documenteu on és, perquè un canvi posterior a l'encaminador de la sucursal pot saltar-se'l sense avisar. Cap de les dues disposicions guanya en general; reparteixen la responsabilitat de manera diferent.
La propietat de les adreces és la part que cal escriure, perquè dos servidors DHCP en un mateix segment produeixen fallades intermitents que es reporten com a problemes de VPN.
Què passa quan cau el túnel
El funcionament en Split sovint es llegeix com una promesa que internet local continua funcionant durant una fallada del túnel, i aquesta lectura no és segura. El comportament exacte depèn del mode triat, del firmware i de l'aparell, així que pertany als criteris d'acceptació i no a una suposició.
Decidiu què ha de fer encara la sucursal sense túnel: arribar a impressores locals, resoldre noms, cobrar pagaments o res de res. Després proveu aquest estat deliberadament bloquejant el túnel i observant la sucursal. Una sucursal que perd DNS en silenci és pitjor que una que falla sorollosament, perquè la trucada al suport arriba hores més tard. Escriviu el resultat observat al registre de disseny.
La dependència central és la mateixa en tots els modes: algú ha de posseir el camí de recuperació de l'aparell mateix.
Escriviu el contracte de sucursal abans de desplegar
Un contracte de sucursal cap en una pàgina: propietaris, fonts d'adreces, prefixos túnel, política de sortida i el comportament en caiguda que heu acceptat.
Després verifiqueu el resultat desplegat i no el previst. Comproveu l'adreça del client de la sucursal, la seva passarel·la per defecte, quins prefixos es resolen pel túnel i què encara respon quan el túnel està bloquejat. Compatibilitat, abastabilitat i llicenciament cal contrastar-los amb la documentació actual del fabricant per al model exacte, perquè un nom de producte no garanteix cap mode. Guardeu aquella pàgina amb el registre de l'aparell perquè el següent enginyer hereti les decisions i no el diagrama.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleRepetiu aquell bloc amb el túnel bloquejat, i la diferència entre les dues execucions és el comportament en caiguda que heu comprat de debò.