Δρομολόγηση ενός υποδικτύου υποκαταστήματος μέσω της εξόδου internet του SonicWall στα κεντρικά

Τα τηλέφωνα του υποκαταστήματος πρέπει να βγαίνουν μέσω των κεντρικών, ενώ οι φορητοί υπολογιστές του υποκαταστήματος συνεχίζουν να χρησιμοποιούν το τοπικό WAN, και η πολιτική δρομολόγησης μόνη της δεν θα το προσφέρει. Μια διαδρομή υποκαταστήματος μπορεί να επιλέξει τη σήραγγα, αλλά η πολιτική σήραγγας πρέπει να δεχτεί την κίνηση, τα κεντρικά πρέπει να την προωθήσουν και να τη μεταφράσουν, και η απάντηση πρέπει να επιστρέψει από τον ίδιο δρόμο. Αν χάσετε οποιοδήποτε από τα τρία, το σύμπτωμα θα είναι ένα υποσύνολο πελατών που χάνουν το internet ακριβώς όσο η σήραγγα είναι ενεργή.

Ξεκινήστε με τον επιλογέα, όχι με τη διαδρομή

Η πολιτική δρομολόγησης αντιστοιχεί σε μια προέλευση, άρα η προέλευση πρέπει να είναι σταθερή πριν από οτιδήποτε άλλο. Βάλτε τις επιλεγμένες συσκευές σε μια ομάδα διευθύνσεων που συντηρεί διαχειριστής ή, καλύτερα, σε ένα αποκλειστικό τμήμα του οποίου η συμμετοχή ακολουθεί τον ρόλο της συσκευής. Όταν η συνηθισμένη αλλαγή DHCP μπορεί να μετακινήσει μια διεύθυνση που ταιριάζει σε άλλο μηχάνημα, η πολιτική επιλέγει σιωπηλά τον λάθος πελάτη, και η πρώτη αναφορά αφορά συνήθως αργή περιήγηση που στην πραγματικότητα είναι παράκαμψη.

Ονομάστε την ομάδα από την πολιτική που εξυπηρετεί και όχι από έναν όροφο ή ένα τμήμα, γιατί ο κανόνας δρομολόγησης θα επιβιώσει και από τα δύο. Καταγράψτε ποιες συσκευές περιέχει και ποιος επιτρέπεται να προσθέσει μία.

Προσθέστε την πολιτική του υποκαταστήματος και μετά υπερασπιστείτε τη σειρά της

Στο SonicWall του υποκαταστήματος μια πολιτική διαδρομής επιλέγει την ομάδα προέλευσης, ονομάζει τους προορισμούς που θέλετε και ορίζει τη διεπαφή σήραγγας ως πύλη, και γι' αυτό ακριβώς υπάρχει ο υποστηριζόμενος σχεδιασμός διεπαφής σήραγγας. Κρατήστε τους κανόνες για τοπικούς και ιδιωτικούς προορισμούς πάνω από τον ευρύ κανόνα internet, γιατί η πρώτη αντιστοιχία κερδίζει και ένα ιδιωτικό πρόθεμα που σπρώχνεται στη σήραγγα φτάνει στα κεντρικά μόνο για να απορριφθεί. Διατηρήστε και τη δική της διαδρομή της πύλης προς τον ομότιμό της VPN, αλλιώς η μεταφορά της σήραγγας θα ακολουθήσει την πολιτική από την οποία εξαρτάται. Τίποτα από αυτά δεν σας αναγκάζει να μετατρέψετε κάθε υπάρχουσα σήραγγα βασισμένη σε πολιτική· η διεπαφή σήραγγας είναι μία υποστηριζόμενη επιλογή ανάμεσα σε αρκετές.

Η σειρά είναι το μέρος που αλλάζει κατά λάθος. Όποιος προσθέτει εξαίρεση πρέπει να την εισάγει πάνω από τον ευρύ κανόνα, και όποιος επεξεργάζεται τον ευρύ κανόνα μπορεί να ανατρέψει όλο τον σχεδιασμό με μία αποθήκευση. Γράψτε την προβλεπόμενη σειρά δίπλα στην πολιτική και ελέγξτε την ξανά μετά από ενημερώσεις υλικολογισμικού, γιατί η ονοματοδοσία διεπαφών και η απόδοση πολιτικών αλλάζουν πράγματι μεταξύ εκδόσεων.

Ολοκληρώστε τη διαδρομή στα κεντρικά

Η πολιτική σήραγγας στα κεντρικά πρέπει να δεχτεί την κίνηση που επιλέγει τώρα η διαδρομή του υποκαταστήματος. Ένας επιλογέας μεταξύ γραφείων περιορισμένος στο ιδιωτικό LAN των κεντρικών δεν είναι άδεια μεταφοράς αυθαίρετων δημόσιων προορισμών, οπότε η πολιτική χρειάζεται την προέλευση του υποκαταστήματος και το εύρος προορισμών που πραγματικά θέλετε. Τα κεντρικά προωθούν μετά αυτή την εισερχόμενη κίνηση στο uplink internet τους με τους δικούς τους κανόνες πρόσβασης, και το παράδειγμα κεντρικής εξόδου της SonicWall περιλαμβάνει μετάφραση προέλευσης για το απομακρυσμένο δίκτυο στο κεντρικό WAN. Χωρίς αυτή τη μετάφραση η απομακρυσμένη πλευρά βλέπει μια ιδιωτική διεύθυνση υποκαταστήματος και δεν έχει διαδρομή επιστροφής προς αυτή.

Οι απαντήσεις είναι το άλλο μισό της συμφωνίας. Πρέπει να επιστρέφουν μέσω της σήραγγας ή μέσω της μετάφρασης κατάστασης που δημιουργήθηκε για αυτές, και η κίνηση προς ιδιωτικούς ιστότοπους μπορεί να χρειάζεται διαφορετική μεταχείριση NAT από την δημόσια έξοδο. Κρατήστε αυτούς τους κανόνες διακριτούς, γιατί ένας ευρύς κανόνας μετάφρασης που κρύβει κάθε εσωτερική προέλευση κάνει την μεταγενέστερη καταγραφή και την αντιμετώπιση προβλημάτων πολύ δυσκολότερες στην ανάγνωση.

Αποφασίστε τι κάνει η ομάδα όταν πέσει η σήραγγα

Αν η κεντρική έξοδος είναι απαίτηση και όχι προτίμηση, η επιστροφή στο τοπικό WAN είναι αποτυχία συμμόρφωσης ακόμα κι αν οι χρήστες παραμένουν online. Το SonicOS τεκμηριώνει μια διαδρομή απόρριψης της διεπαφής σήραγγας ως τον υποστηριζόμενο τρόπο να εμποδίζεται επιλεγμένη κίνηση να πάρει μια ανεπιθύμητη εναλλακτική διαδρομή.

Ταιριάξτε το εύρος και την προτεραιότητα αυτής της διαδρομής με την εγκατεστημένη έκδοση, και δοκιμάστε την κατεβάζοντας τη σήραγγα αντί να εμπιστεύεστε την ετικέτα. Μια ομάδα που δεν πρέπει ποτέ να βγει τοπικά πρέπει να αποτυγχάνει κλειστά, ενώ μια ομάδα όπου η διαθεσιμότητα μετράει περισσότερο μπορεί νόμιμα να επιστρέψει· και τα δύο είναι αποφάσεις, και κανένα δεν πρέπει να συμβαίνει εξ ορισμού.

Επαληθεύστε από τρεις πελάτες και μετά επιστρέψτε καθαρά

Ένα ping προς την κεντρική πύλη δοκιμάζει το λάθος, γιατί προέρχεται από το firewall και όχι από επιλεγμένο πελάτη. Δοκιμάστε από συσκευές αντ' αυτού, και δοκιμάστε τρεις από αυτές: μια επιλεγμένη συσκευή, μια συνηθισμένη συσκευή που πρέπει να μείνει τοπική, και μία που εξαρτάται από τοπικές υπηρεσίες.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Συγκρίνετε πού εμφανίστηκε πραγματικά το δημόσιο αίτημα. Ένας επιλεγμένος πελάτης πρέπει να φτάνει στο internet μέσω της εξόδου των κεντρικών, και ένας συνηθισμένος πελάτης πρέπει να εξακολουθεί να παρουσιάζει τη δική του διεύθυνση του υποκαταστήματος στην απομακρυσμένη πλευρά· το 203.0.113.10 είναι μια διεύθυνση τεκμηρίωσης που χρησιμοποιείται ως υποκατάστατο του προορισμού που σας ενδιαφέρει. Συμπεριλάβετε το DNS στο ίδιο πέρασμα, γιατί ένας πελάτης που ρωτά τον resolver του υποκαταστήματος μπορεί να παράγει αναζήτηση με προέλευση τον δρομολογητή, διαφορετική πηγή και επομένως διαφορετική διαδρομή.

Η επαναφορά είναι η αποθηκευμένη σειρά πολιτικών μαζί με την ομάδα διευθύνσεων. Επαναφέρετε την προηγούμενη σειρά, αφαιρέστε την ομάδα από την πολιτική και δοκιμάστε ξανά και τις δύο κατηγορίες συσκευών. Κρατήστε την εξαγόμενη διαμόρφωση μαζί με το αρχείο αλλαγής, γιατί ο επόμενος μηχανικός πρέπει να ξέρει ποιος κανόνας ήταν ο ευρύς πριν τον επεξεργαστεί κάποιος.