Welcher Sophos RED-Modus passt zu Ihrem Filialnetz?

Sophos RED ist eine Rolle für einen Außenstandort und kein VPN-Protokoll, deshalb beantwortet ein Vergleich mit IPsec oder OpenVPN die falsche Frage. Das Gerät erweitert die Kontrolle einer zentralen Firewall auf eine Filiale, und der gewählte Modus entscheidet, wer das Filial-Gateway stellt, wer Adressen verteilt und welcher Verkehr den Tunnel passiert. Diese drei Antworten wiegen schwerer als die Modusnamen. Wer sie zuerst notiert, macht aus einer Produktwahl eine Designentscheidung.

RED ist eine Rolle, kein Protokoll

Ein RED-Gerät bindet eine Filiale an eine zentrale Sophos Firewall an, und die Konfiguration der Firewall bestimmt, was aus der Filiale wird. Der Tunnel ist ein Implementierungsdetail dieser Anbindung und kein universeller VPN-Endpunkt, den man auf einen beliebigen Peer richten kann.

Diese Einordnung ist wichtig, weil ein RED nicht gegen einen beliebigen IPsec-Peer austauschbar ist. Er erwartet, dass die zentrale Firewall ihn verwaltet, und die unterstützten Modi beschreiben, wie viel der Filiale er übernimmt. Ihn wie einen gewöhnlichen Tunnel-Endpunkt zu behandeln, weckt Erwartungen, die das Produkt nie versprochen hat. Ihn wie eine Rolle zu behandeln, erzeugt die Fragen, die das Design tatsächlich entscheiden.

Die drei Bedingungen unten ändern die Antwort, und alle betreffen Eigentum und nicht Verschlüsselung.

Drei Bedingungen, die den Modus bestimmen

Fragen Sie, wer das Filial-Gateway besitzt, wer DHCP und DNS für die Filialclients betreibt und ob der lokale Internet-Ausbruch einen Tunnelausfall überstehen muss.

Standard/Unified beantwortet alle drei gleich: Die zentrale Firewall besitzt das Filial-LAN einschließlich Gateway- und DHCP-Aufgaben, und der Verkehr läuft durch den Tunnel. Standard/Split behält die zentrale Verwaltung und schickt nur die konfigurierten Netze durch den Tunnel. Transparent/Split lässt das bestehende Filialnetz sein eigenes Gateway und seine Adressen verwalten und leitet nur ausgewählten Verkehr in den Tunnel. Drei Modi, drei verschiedene Eigentümer.

Lesen Sie zuerst die mittlere Spalte, denn sie entscheidet, wie viel der Filiale noch funktioniert, wenn der Tunnel weg ist.

Wem gehören Filial-Gateway und DHCP

In der einheitlichen Anordnung hat die Filiale kein eigenständiges Gateway, was die Konfiguration vereinfacht und den Ausfall bündelt. Diese Bündelung ist in Ordnung, wenn die Filiale klein und die zentrale Firewall hochverfügbar ist.

In einer transparenten Bereitstellung behält die Filiale ihren Router, und das RED sitzt im Pfad, um ausgewählten Verkehr umzuleiten. Das bewahrt lokale Kontrolle und fügt ein Gerät hinzu, dessen Position im Pfad nun für jeden umgeleiteten Fluss zählt. Dokumentieren Sie, wo es sitzt, denn eine spätere Änderung am Filialrouter kann es stillschweigend umgehen. Keine der beiden Anordnungen gewinnt grundsätzlich; sie verteilen Verantwortung unterschiedlich.

Die Adresshoheit ist der Teil, den man notieren sollte, weil zwei DHCP-Server in einem Segment sporadische Fehler erzeugen, die als VPN-Probleme gemeldet werden.

Was passiert, wenn der Tunnel abbricht

Der Split-Betrieb wird oft als Versprechen gelesen, dass das lokale Internet bei einem Tunnelausfall weiterläuft, und diese Lesart ist nicht sicher. Das genaue Verhalten hängt vom gewählten Modus, der Firmware und dem Gerät ab, gehört also in die Abnahmekriterien und nicht in eine Annahme.

Legen Sie fest, was die Filiale ohne Tunnel noch leisten muss: lokale Drucker erreichen, Namen auflösen, Zahlungen annehmen oder gar nichts. Prüfen Sie diesen Zustand dann bewusst, indem Sie den Tunnel blockieren und die Filiale beobachten. Eine Filiale, die stillschweigend DNS verliert, ist schlimmer als eine, die laut scheitert, weil der Anruf beim Support erst Stunden später kommt. Schreiben Sie das beobachtete Ergebnis in die Designaufzeichnung.

Die zentrale Abhängigkeit ist in jedem Modus dieselbe: Jemand muss den Wiederherstellungspfad für das Gerät selbst besitzen.

Schreiben Sie den Filialvertrag, bevor Sie ausrollen

Ein Filialvertrag passt auf eine Seite: Eigentümer, Adressquellen, getunnelte Präfixe, Ausbruchspolitik und das akzeptierte Ausfallverhalten.

Prüfen Sie dann das ausgerollte Ergebnis und nicht das beabsichtigte. Kontrollieren Sie die Adresse des Filialclients, sein Standard-Gateway, welche Präfixe über den Tunnel aufgelöst werden und was noch antwortet, wenn der Tunnel blockiert ist. Kompatibilität, Erreichbarkeit und Lizenzierung müssen alle gegen die aktuelle Herstellerdokumentation für das genaue Modell geprüft werden, weil ein Produktname keinen Modus garantiert. Bewahren Sie diese Seite beim Geräteeintrag auf, damit der nächste Ingenieur die Entscheidungen erbt und nicht das Diagramm.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Wiederholen Sie diesen Block bei blockiertem Tunnel, und der Unterschied zwischen beiden Läufen ist das Ausfallverhalten, das Sie tatsächlich gekauft haben.