Pa fodd Sophos RED sy'n addas i rwydwaith eich cangen?

Rôl safle pell yw Sophos RED yn hytrach na phrotocol VPN, a dyna pam mae ei gymharu ag IPsec neu OpenVPN yn ateb y cwestiwn anghywir. Mae'r ddyfais yn estyn rheolaeth mur tân canolog i gangen, a'r modd a ddewisiwch sy'n penderfynu pwy sy'n darparu porth y gangen, pwy sy'n dosbarthu cyfeiriadau, a pha draffig sy'n croesi'r twnnel. Mae'r tri ateb hynny'n bwysicach na'r enwau modd. Mae eu hysgrifennu i lawr yn gyntaf yn troi dewis cynnyrch yn benderfyniad dylunio.

Rôl yw RED, nid protocol

Mae dyfais RED yn ymuno cangen â Sophos Firewall canolog, a chyfluniad y mur tân sy'n diffinio beth ddaw o'r gangen. Manylyn gweithredu o'r ymuniad hwnnw yw'r twnnel, nid terfynbwynt VPN pwrpas cyffredinol y gellir ei anelu at unrhyw gyfoed.

Mae'r fframwaith hwnnw'n bwysig oherwydd nid yw RED yn gyfnewidiol â chyfoed IPsec mympwyol. Mae'n disgwyl i'r mur tân canolog ei reoli, ac mae'r moddau a gefnogir yn disgrifio faint o'r gangen y mae'n ei gymryd drosodd. Mae ei drin fel terfynbwynt twnnel cyffredin yn creu disgwyliadau na wnaeth y cynnyrch eu haddo erioed. Mae ei drin fel rôl yn cynhyrchu'r cwestiynau sy'n penderfynu'r dyluniad mewn gwirionedd.

Mae'r tair amod isod yn newid yr ateb, ac maent i gyd yn ymwneud â pherchenogaeth yn hytrach nag amgryptio.

Tair amod sy'n dewis y modd

Gofynnwch pwy sy'n berchen porth y gangen, pwy sy'n rhedeg DHCP a DNS i gleientiaid y gangen, ac a oes rhaid i dorri allan i'r rhyngrwyd yn lleol oroesi methiant twnnel.

Mae Standard/Unified yn ateb y tri yn yr un ffordd: y mur tân canolog sy'n berchen LAN y gangen, gan gynnwys dyletswyddau porth a DHCP, ac mae'r traffig yn croesi'r twnnel. Mae Standard/Split yn cadw'r rheolaeth ganolog ac yn anfon dim ond y rhwydweithiau wedi'u cyflunio drwy'r twnnel. Mae Transparent/Split yn gadael i rwydwaith presennol y gangen ofalu am ei phorth a'i chyfeiriadau ei hun, ac yn ailgyfeirio dim ond traffig dethol i'r twnnel. Tri modd, tri pherchennog gwahanol.

Darllenwch y golofn ganol yn gyntaf, oherwydd hi sy'n penderfynu faint o'r gangen sy'n dal i weithio pan fo'r twnnel wedi mynd.

Pwy sy'n berchen porth y gangen a DHCP

Yn y drefn unol nid oes gan y gangen borth annibynnol i sôn amdano, sy'n symleiddio'r cyfluniad ac yn canolbwyntio'r methiant. Mae'r canolbwyntio hwnnw'n iawn pan fo'r gangen yn fach ac mae'r mur tân canolog ar gael yn helaeth.

Mewn gosodiad tryloyw mae'r gangen yn cadw ei llwybrydd ac mae'r RED yn eistedd yn y llinell i ailgyfeirio traffig dethol. Mae hynny'n cadw rheolaeth leol ac yn ychwanegu dyfais y mae ei safle yn y llwybr bellach yn bwysig i bob llif a ailgyfeirir. Dogfennwch ble mae'n eistedd, oherwydd gall newid diweddarach i lwybrydd y gangen ei osgoi'n dawel. Nid yw'r naill osodiad na'r llall yn ennill yn gyffredinol; maent yn dosrannu cyfrifoldeb yn wahanol.

Perchnogaeth cyfeiriadau yw'r rhan i'w hysgrifennu i lawr, gan fod dau weinydd DHCP ar un segment yn cynhyrchu diffygion ysbeidiol a gofnodir fel trafferthion VPN.

Beth sy'n digwydd pan fydd y twnnel yn cwympo

Mae gweithredu Split yn aml yn cael ei ddarllen fel addewid bod y rhyngrwyd lleol yn dal i weithio yn ystod methiant twnnel, ac nid yw'r darlleniad hwnnw'n ddiogel. Mae'r ymddygiad manwl yn dibynnu ar y modd a ddewiswyd, y firmware a'r ddyfais, felly mae'n perthyn i'r meini prawf derbyn yn hytrach nag i ragdybiaeth.

Penderfynwch beth sy'n rhaid i'r gangen ei wneud o hyd heb dwnnel: cyrraedd argraffwyr lleol, datrys enwau, cymryd taliadau, neu ddim byd o gwbl. Yna profwch y cyflwr hwnnw'n fwriadol drwy rwystro'r twnnel ac arsylwi'r gangen. Mae cangen sy'n colli DNS yn dawel yn waeth nag un sy'n methu'n uchel, oherwydd daw'r alwad i'r ddesg gymorth oriau'n ddiweddarach. Ysgrifennwch y canlyniad a arsylwyd yn y cofnod dylunio.

Mae'r ddibyniaeth ganolog yr un fath ym mhob modd: rhaid i rywun fod yn berchen ar lwybr adfer y ddyfais ei hun.

Ysgrifennwch gontract y gangen cyn i chi osod

Mae contract cangen yn ffitio ar un dudalen: perchnogion, ffynonellau cyfeiriadau, rhagddodiaid twnnel, polisi torri allan a'r ymddygiad methiant a dderbyniwyd gennych.

Yna gwiriwch y canlyniad a osodwyd yn hytrach na'r un a fwriadwyd. Gwiriwch gyfeiriad cleient y gangen, ei borth diofyn, pa ragododiaid sy'n datrys drwy'r twnnel, a beth sy'n dal i ateb pan fo'r twnnel wedi'i rwystro. Mae cydnawsedd, cyraeddedd a thrwyddedu i gyd angen eu gwirio yn erbyn dogfennaeth gyfredol y gwerthwr ar gyfer yr union fodel, gan nad yw enw cynnyrch yn gwarantu modd. Cadwch y dudalen honno gyda chofnod y ddyfais fel bod y peiriannydd nesaf yn etifeddu'r penderfyniadau yn lle'r diagram.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Ailadroddwch y bloc hwnnw gyda'r twnnel wedi'i rwystro, a'r gwahaniaeth rhwng y ddau rediad yw'r ymddygiad methiant a brynwyd gennych mewn gwirionedd.