Llwybrwch is-rwydwaith cangen drwy allanfa rhyngrwyd SonicWall y prif swyddfa

Dylai ffonau'r gangen adael drwy'r prif swyddfa tra bod gliniaduron y gangen yn dal i ddefnyddio'r WAN lleol, ac ni fydd y polisi llwybro ar ei ben ei hun yn cyflawni hynny. Gall llwybr cangen ddewis y twnnel, ond rhaid i'r polisi twnnel dderbyn y traffig, rhaid i'r prif swyddfa ei anfon ymlaen a'i gyfieithu, a rhaid i'r ateb ddod yn ôl yr un ffordd. Os collwch unrhyw un o'r tri hyn, yr arwydd fydd is-set o gleientiaid sy'n colli'r rhyngrwyd yn union tra bod y twnnel i fyny.

Dechreuwch gyda'r detholydd, nid y llwybr

Mae'r polisi llwybro yn cydweddu ar ffynhonnell, felly rhaid i'r ffynhonnell fod yn sefydlog cyn unrhyw beth arall. Rhowch y dyfeisiau a ddewiswyd mewn grŵp cyfeiriadau y mae gweinyddwr yn ei gynnal, neu'n well, ar segment pwrpasol y mae ei aelodaeth yn dilyn rôl y ddyfais. Pan all tro DHCP cyffredin symud cyfeiriad sy'n cydweddu i beiriant gwahanol, mae'r polisi'n dewis y cleient anghywir yn dawel, a'r adroddiad cyntaf fel arfer yw am bori araf sydd mewn gwirionedd yn ddargyfeiriad.

Enwch y grŵp ar ôl y polisi y mae'n ei wasanaethu yn hytrach nag ar ôl llawr neu adran, oherwydd bydd y rheol llwybro yn goroesi'r ddau. Cofnodwch pa ddyfeisiau sydd ynddo a phwy sy'n cael ychwanegu un.

Ychwanegwch bolisi'r gangen, yna amddiffynnwch ei drefn

Ar SonicWall y gangen mae polisi llwybr yn dewis y grŵp ffynhonnell, yn enwi'r cyrchfannau arfaethedig ac yn gosod rhyngwyneb y twnnel fel y porth, sef yn union beth mae'r dyluniad rhyngwyneb twnnel a gefnogir yn bodoli ar ei gyfer. Cadwch reolau cyrchfan lleol a phreifat uwchben y rheol rhyngrwyd eang, oherwydd y gêm gyntaf sy'n cydweddu sy'n ennill, ac mae rhagddodiad preifat a wthiwyd i'r twnnel yn cyrraedd y prif swyddfa dim ond i gael ei ollwng. Cadwch lwybr y wal dân ei hun i'w bartner VPN hefyd, neu bydd cludiant y twnnel yn dilyn y polisi y mae'n dibynnu arno. Nid oes unrhyw un o'r rhain yn eich gorfodi i drosi pob twnnel presennol sy'n seiliedig ar bolisi; mae rhyngwyneb twnnel yn un dewis a gefnogir ymhlith sawl un.

Trefn yw'r rhan sy'n newid ar ddamwain. Rhaid i unrhyw un sy'n ychwanegu eithriad ei fewnosod uwchben y rheol eang, a gall unrhyw un sy'n golygu'r rheol eang wrthdroi'r dyluniad cyfan mewn un arbediad. Ysgrifennwch y drefn arfaethedig wrth ymyl y polisi a'i hailwirio ar ôl diweddariadau cadarnwedd, oherwydd mae enwi rhyngwynebau a rendro polisïau yn symud rhwng fersiynau.

Gorffennwch y llwybr yn y prif swyddfa

Rhaid i bolisi'r twnnel yn y prif swyddfa dderbyn y traffig y mae llwybr y gangen yn ei ddewis nawr. Nid yw detholydd rhyng-swyddfa sydd wedi'i gwmpasu i LAN preifat y prif swyddfa yn ganiatâd i gludo cyrchfannau cyhoeddus mympwyol, felly mae'r polisi angen ffynhonnell y gangen a'r ystod cyrchfan rydych chi'n bwriadu ei chael mewn gwirionedd. Yna mae'r prif swyddfa'n anfon y traffig sy'n cyrraedd ymlaen i'w uplink rhyngrwyd o dan ei rheolau mynediad ei hun, ac mae enghraifft allanfa ganolog SonicWall yn cynnwys cyfieithu ffynhonnell ar gyfer y rhwydwaith pell yn y WAN canolog. Heb y cyfieithiad hwnnw mae'r ochr bell yn gweld cyfeiriad cangen preifat ac nid oes ganddi lwybr yn ôl iddo.

Yr atebion yw hanner arall y contract. Rhaid iddynt ddychwelyd drwy'r twnnel neu drwy'r cyfieithiad â chyflwr a grëwyd ar eu cyfer, ac efallai y bydd angen triniaeth NAT wahanol ar draffig safleoedd preifat na rhagfan allanol cyhoeddus. Cadwch y rheolau hynny'n wahaniaethol, oherwydd mae un rheol gyfieithu eang sy'n cuddio pob ffynhonnell fewnol yn gwneud cofnodi a datrys problemau diweddarach yn llawer anoddach i'w darllen.

Penderfynwch beth mae'r grŵp yn ei wneud pan fydd y twnnel yn cwympo

Os yw'r allanfa ganolog yn ofyniad yn hytrach na dewis, mae dychwelyd i'r WAN lleol yn fethiant cydymffurfio hyd yn oed os yw defnyddwyr yn aros ar-lein. Mae SonicOS yn dogfennu llwybr gollwng rhyngwyneb twnnel fel y ffordd a gefnogir i atal traffig dethol rhag cymryd llwybr amgen anfwriadol.

Parwch gwmpas a blaenoriaeth y llwybr hwnnw o dan y fersiwn a osodwyd, a'i brofi drwy ddod â'r twnnel i lawr yn lle ymddiried yn y label. Dylai grŵp na ddylai byth allforio'n lleol fethu ar gau, tra gall grŵp lle mae argaeledd yn bwysicach yn ôl-fynd yn gyfreithlon; mae'r ddau yn benderfyniad, ac ni ddylai'r un ohonynt ddigwydd yn ddiofyn.

Gwirwch o dri chleient, yna rholiwch yn ôl yn lân

Mae ping i'r porth canolog yn profi'r peth anghywir, oherwydd mae'n deillio o'r wal dân yn hytrach nag o gleient a ddewiswyd. Profwch o ddyfeisiau yn lle hynny, a phrofwch dri ohonynt: dyfais a ddewiswyd, dyfais gyffredin a ddylai aros yn lleol, ac un sy'n dibynnu ar wasanaethau lleol.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Cymharwch ble y daeth y cais cyhoeddus i'r wyneb mewn gwirionedd. Dylai cleient a ddewiswyd gyrraedd y rhyngrwyd drwy allanfa'r prif swyddfa, a dylai cleient cyffredin barhau i gyflwyno cyfeiriad y gangen ei hun ar yr ochr bell; mae 203.0.113.10 yn gyfeiriad dogfennaeth a ddefnyddir fel dirprwy ar gyfer y cyrchfan sy'n bwysig i chi. Cynhwyswch DNS yn yr un tro, oherwydd gall cleient sy'n holi datryswr y gangen gynhyrchu chwiliad sy'n deillio o'r llwybrydd â ffynhonnell wahanol ac felly llwybr gwahanol.

Rholio'n ôl yw'r drefn bolisi a arbedwyd ynghyd â'r grŵp cyfeiriadau. Adferwch y drefn flaenorol, tynnwch y grŵp o'r polisi, ac ailbrofwch y ddau ddosbarth o ddyfeisiau. Cadwch y ffurfweddiad a allforiwyd gyda'r cofnod newid, oherwydd mae angen i'r peiriannydd nesaf wybod pa reol oedd yr un eang cyn i rywun ei golygu.