Hvilken Sophos RED-tilstand passer til dit filialnetværk?

Sophos RED er en rolle for en fjernlokation og ikke en VPN-protokol, og derfor svarer en sammenligning med IPsec eller OpenVPN på det forkerte spørgsmål. Enheden udvider en central firewalls kontrol til en filial, og den tilstand, du vælger, afgør, hvem der leverer filialens gateway, hvem der uddeler adresser, og hvilken trafik der går gennem tunnelen. De tre svar vejer tungere end tilstandenes navne. At skrive dem ned først gør et produktvalg til en designbeslutning.

RED er en rolle, ikke en protokol

En RED-enhed forbinder en filial med en central Sophos Firewall, og firewallens konfiguration bestemmer, hvad filialen bliver. Tunnelen er en implementeringsdetalje i den forbindelse og ikke et generelt VPN-endepunkt, du kan rette mod en vilkårlig peer.

Den ramme er vigtig, fordi en RED ikke kan udskiftes med en vilkårlig IPsec-peer. Den forventer, at den centrale firewall styrer den, og de understøttede tilstande beskriver, hvor meget af filialen den overtager. At behandle den som et almindeligt tunnel-endepunkt skaber forventninger, som produktet aldrig lovede. At behandle den som en rolle giver de spørgsmål, der faktisk afgør designet.

De tre betingelser nedenfor ændrer svaret, og de handler alle om ejerskab og ikke om kryptering.

Tre betingelser, der vælger tilstanden

Spørg, hvem der ejer filialens gateway, hvem der kører DHCP og DNS for filialens klienter, og om lokalt internetudbrud skal overleve et tunneludfald.

Standard/Unified svarer på alle tre på samme måde: den centrale firewall ejer filialens LAN, inklusive gateway- og DHCP-opgaver, og trafikken går gennem tunnelen. Standard/Split beholder central styring og sender kun de konfigurerede netværk gennem tunnelen. Transparent/Split lader det eksisterende filialnetværk styre sin egen gateway og sine egne adresser og omdirigerer kun udvalgt trafik i tunnelen. Tre tilstande, tre forskellige ejere.

Læs den midterste kolonne først, fordi den afgør, hvor meget af filialen der stadig virker, når tunnelen er væk.

Hvem ejer filialens gateway og DHCP

I det samlede arrangement har filialen ingen selvstændig gateway, hvilket forenkler konfigurationen og samler fejlen ét sted. Den samling er fin, når filialen er lille, og den centrale firewall har høj tilgængelighed.

I en transparent udrulning beholder filialen sin router, og RED står på linjen for at omdirigere udvalgt trafik. Det bevarer lokal kontrol og tilføjer en enhed, hvis placering i ruten nu betyder noget for hver omdirigeret strøm. Dokumentér, hvor den står, fordi en senere ændring af filialens router kan omgå den i det stille. Ingen af arrangementerne vinder generelt; de fordeler ansvaret forskelligt.

Adresseejerskab er den del, der skal skrives ned, fordi to DHCP-servere på samme segment giver periodiske fejl, der bliver rapporteret som VPN-problemer.

Hvad sker der, når tunnelen falder

Split-drift læses ofte som et løfte om, at lokalt internet fortsætter under et tunneludfald, og den læsning er ikke sikker. Den præcise adfærd afhænger af den valgte tilstand, firmwaren og enheden, så den hører i acceptkriterierne og ikke i en antagelse.

Beslut, hvad filialen stadig skal kunne uden tunnel: nå lokale printere, slå navne op, tage imod betalinger eller intet som helst. Test derefter den tilstand med vilje ved at blokere tunnelen og iagttage filialen. En filial, der stille mister DNS, er værre end en, der fejler højlydt, fordi opkaldet til supporten kommer timer senere. Skriv det observerede resultat i designnotatet.

Den centrale afhængighed er den samme i alle tilstande: nogen skal eje gendannelsesvejen for selve enheden.

Skriv filialkontrakten, før du udruller

En filialkontrakt kan være på én side: ejere, adressekilder, tunnellerede præfikser, udbrudspolitik og den udfaldsadfærd, du har accepteret.

Verificér derefter det udrullede resultat og ikke det tilsigtede. Kontrollér filialklientens adresse, dens standardgateway, hvilke præfikser der slås op gennem tunnelen, og hvad der stadig svarer, når tunnelen er blokeret. Kompatibilitet, nåbarhed og licensering skal alle tjekkes mod leverandørens aktuelle dokumentation for den præcise model, fordi et produktnavn ikke garanterer en tilstand. Gem den side sammen med enhedsregistreringen, så den næste ingeniør arver beslutningerne i stedet for diagrammet.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Gentag den blok med tunnelen blokeret, og forskellen mellem de to kørsler er den udfaldsadfærd, du faktisk har købt.