Který režim Sophos RED se hodí pro vaši pobočkovou síť?
RED je role pro vzdálené pracoviště, ne protokol. Zvolte Standard/Unified, Standard/Split nebo Transparent/Split podle toho, komu patří brána pobočky a DHCP.
Sophos RED je role pro vzdálené pracoviště, nikoli protokol VPN, a proto srovnání s IPsec nebo OpenVPN odpovídá na špatnou otázku. Zařízení rozšiřuje kontrolu centrálního firewallu na pobočku a zvolený režim určuje, kdo dodává bránu pobočky, kdo přiděluje adresy a který provoz prochází tunelem. Tyto tři odpovědi váží víc než názvy režimů. Když je nejprve zapíšete, změní se volba produktu na návrhové rozhodnutí.
RED je role, ne protokol
Zařízení RED připojuje pobočku k centrálnímu Sophos Firewallu a konfigurace firewallu určuje, čím se pobočka stane. Tunel je implementační detail tohoto připojení, nikoli univerzální koncový bod VPN, který můžete namířit na libovolný protějšek.
Toto pojetí je důležité, protože RED není zaměnitelný s libovolným protějškem IPsec. Očekává, že jej bude spravovat centrální firewall, a podporované režimy popisují, jak velkou část pobočky přebírá. Pojímat jej jako běžný koncový bod tunelu vytváří očekávání, která produkt nikdy neslíbil. Pojímat jej jako roli přináší otázky, které skutečně rozhodují návrh.
Následující tři podmínky mění odpověď a všechny se týkají vlastnictví, nikoli šifrování.
Tři podmínky, které určují režim
Zeptejte se, komu patří brána pobočky, kdo provozuje DHCP a DNS pro klienty pobočky a zda musí místní internetový výstup přežít výpadek tunelu.
Standard/Unified odpovídá na všechny tři stejně: centrální firewall vlastní LAN pobočky včetně povinností brány a DHCP a provoz prochází tunelem. Standard/Split zachovává centrální správu a posílá tunelem jen nakonfigurované sítě. Transparent/Split nechává stávající síť pobočky spravovat vlastní bránu i adresy a přesměrovává do tunelu jen vybraný provoz. Tři režimy, tři různí vlastníci.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Přečtěte nejprve prostřední sloupec, protože určuje, jak velká část pobočky ještě funguje, když tunel zmizí.
Komu patří brána pobočky a DHCP
V jednotném uspořádání nemá pobočka samostatnou bránu, což zjednodušuje konfiguraci a soustředí poruchu. Toto soustředění je v pořádku, když je pobočka malá a centrální firewall je vysoce dostupný.
V transparentním nasazení si pobočka ponechává svůj router a RED stojí v cestě, aby přesměrovával vybraný provoz. To zachovává místní kontrolu a přidává zařízení, jehož poloha v cestě nyní rozhoduje pro každý přesměrovaný tok. Zdokumentujte, kde stojí, protože pozdější změna routeru pobočky je může tiše obejít. Ani jedno uspořádání obecně nevítězí; rozdělují odpovědnost různě.
Vlastnictví adres je část, kterou je třeba zapsat, protože dva servery DHCP v jednom segmentu vytvářejí občasné závady, které se hlásí jako problémy s VPN.
Co se stane, když tunel spadne
Provoz v režimu Split se často čte jako slib, že místní internet funguje i při výpadku tunelu, a takové čtení není bezpečné. Přesné chování závisí na zvoleném režimu, firmwaru a zařízení, takže patří do akceptačních kritérií, nikoli do předpokladu.
Rozhodněte, co musí pobočka bez tunelu ještě dělat: dosáhnout na místní tiskárny, překládat jména, přijímat platby, nebo nic. Potom tento stav záměrně otestujte zablokováním tunelu a pozorováním pobočky. Pobočka, která tiše ztratí DNS, je horší než ta, která hlasitě selže, protože hovor na podporu přijde o hodiny později. Zapište pozorovaný výsledek do návrhového záznamu.
Centrální závislost je ve všech režimech stejná: někdo musí vlastnit cestu obnovy samotného zařízení.
Napište smlouvu o pobočce, než nasadíte
Smlouva o pobočce se vejde na jednu stránku: vlastníci, zdroje adres, prefixy přes tunel, politika výstupu a přijaté chování při výpadku.
Potom ověřte nasazený výsledek, ne zamýšlený. Zkontrolujte adresu klienta pobočky, jeho výchozí bránu, které prefixy se překládají tunelem a co ještě odpovídá, když je tunel zablokovaný. Kompatibilitu, dosažitelnost i licencování je třeba ověřit proti aktuální dokumentaci dodavatele pro přesný model, protože název produktu režim nezaručuje. Uchovejte tu stránku u záznamu zařízení, aby další inženýr zdědil rozhodnutí, a ne diagram.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleZopakujte ten blok se zablokovaným tunelem a rozdíl mezi oběma běhy je chování při výpadku, které jste skutečně koupili.