Ποια λειτουργία Sophos RED ταιριάζει στο δίκτυο του υποκαταστήματός σας;

Το Sophos RED είναι ρόλος για απομακρυσμένη τοποθεσία και όχι πρωτόκολλο VPN, γι' αυτό η σύγκρισή του με IPsec ή OpenVPN απαντά στο λάθος ερώτημα. Η συσκευή επεκτείνει τον έλεγχο ενός κεντρικού τείχους προστασίας σε ένα υποκατάστημα, και η λειτουργία που επιλέγετε καθορίζει ποιος παρέχει την πύλη του υποκαταστήματος, ποιος διανέμει διευθύνσεις και ποια κίνηση περνά από το τούνελ. Αυτές οι τρεις απαντήσεις μετρούν περισσότερο από τα ονόματα των λειτουργιών. Αν τις καταγράψετε πρώτα, η επιλογή προϊόντος γίνεται σχεδιαστική απόφαση.

Το RED είναι ρόλος, όχι πρωτόκολλο

Μια συσκευή RED ενώνει ένα υποκατάστημα με ένα κεντρικό Sophos Firewall, και η διαμόρφωση του τείχους προστασίας καθορίζει τι γίνεται το υποκατάστημα. Το τούνελ είναι λεπτομέρεια υλοποίησης αυτής της ένωσης και όχι γενικό τερματικό σημείο VPN που μπορείτε να στρέψετε σε οποιονδήποτε ομότιμο.

Αυτό το πλαίσιο έχει σημασία γιατί το RED δεν είναι ανταλλάξιμο με έναν αυθαίρετο ομότιμο IPsec. Περιμένει το κεντρικό τείχος προστασίας να το διαχειρίζεται, και οι υποστηριζόμενες λειτουργίες περιγράφουν πόσο από το υποκατάστημα αναλαμβάνει. Η αντιμετώπισή του ως συνηθισμένου τερματικού σημείου τούνελ δημιουργεί προσδοκίες που το προϊόν δεν υποσχέθηκε ποτέ. Η αντιμετώπισή του ως ρόλου παράγει τα ερωτήματα που πραγματικά καθορίζουν τον σχεδιασμό.

Οι τρεις συνθήκες παρακάτω αλλάζουν την απάντηση, και όλες αφορούν την κυριότητα και όχι την κρυπτογράφηση.

Τρεις συνθήκες που επιλέγουν τη λειτουργία

Ρωτήστε ποιος κατέχει την πύλη του υποκαταστήματος, ποιος τρέχει DHCP και DNS για τους πελάτες του υποκαταστήματος, και αν η τοπική έξοδος στο διαδίκτυο πρέπει να επιβιώσει από διακοπή του τούνελ.

Το Standard/Unified απαντά και στα τρία με τον ίδιο τρόπο: το κεντρικό τείχος προστασίας κατέχει το τοπικό δίκτυο του υποκαταστήματος, μαζί με καθήκοντα πύλης και DHCP, και η κίνηση περνά από το τούνελ. Το Standard/Split κρατά την κεντρική διαχείριση και στέλνει από το τούνελ μόνο τα διαμορφωμένα δίκτυα. Το Transparent/Split αφήνει το υπάρχον δίκτυο του υποκαταστήματος να διαχειρίζεται τη δική του πύλη και τις διευθύνσεις του, και ανακατευθύνει στο τούνελ μόνο επιλεγμένη κίνηση. Τρεις λειτουργίες, τρεις διαφορετικοί ιδιοκτήτες.

Διαβάστε πρώτα τη μεσαία στήλη, γιατί αυτή καθορίζει πόσο του υποκαταστήματος δουλεύει ακόμη όταν το τούνελ λείπει.

Ποιος κατέχει την πύλη και το DHCP του υποκαταστήματος

Στην ενοποιημένη διάταξη το υποκατάστημα δεν έχει ανεξάρτητη πύλη, κάτι που απλοποιεί τη διαμόρφωση και συγκεντρώνει την αστοχία. Αυτή η συγκέντρωση είναι εντάξει όταν το υποκατάστημα είναι μικρό και το κεντρικό τείχος προστασίας έχει υψηλή διαθεσιμότητα.

Σε διαφανή ανάπτυξη το υποκατάστημα κρατά τον δρομολογητή του και το RED κάθεται στη διαδρομή για να ανακατευθύνει επιλεγμένη κίνηση. Αυτό διατηρεί τον τοπικό έλεγχο και προσθέτει μια συσκευή της οποίας η θέση στη διαδρομή έχει τώρα σημασία για κάθε ροή που ανακατευθύνεται. Καταγράψτε πού βρίσκεται, γιατί μια μεταγενέστερη αλλαγή στον δρομολογητή του υποκαταστήματος μπορεί να την παρακάμψει αθόρυβα. Καμία από τις δύο διατάξεις δεν κερδίζει γενικά, κατανέμουν την ευθύνη διαφορετικά.

Η κυριότητα των διευθύνσεων είναι το κομμάτι που πρέπει να καταγραφεί, γιατί δύο διακομιστές DHCP στο ίδιο τμήμα δημιουργούν σποραδικά σφάλματα που αναφέρονται ως προβλήματα VPN.

Τι συμβαίνει όταν πέφτει το τούνελ

Η λειτουργία Split διαβάζεται συχνά ως υπόσχεση ότι το τοπικό διαδίκτυο συνεχίζει να δουλεύει κατά τη διάρκεια αστοχίας του τούνελ, και αυτή η ανάγνωση δεν είναι ασφαλής. Η ακριβής συμπεριφορά εξαρτάται από τη λειτουργία, το firmware και τη συσκευή, άρα ανήκει στα κριτήρια αποδοχής και όχι σε μια υπόθεση.

Αποφασίστε τι πρέπει να κάνει ακόμη το υποκατάστημα χωρίς τούνελ: να φτάνει τοπικούς εκτυπωτές, να επιλύει ονόματα, να δέχεται πληρωμές ή τίποτα απολύτως. Έπειτα δοκιμάστε αυτή την κατάσταση σκόπιμα, μπλοκάροντας το τούνελ και παρατηρώντας το υποκατάστημα. Ένα υποκατάστημα που χάνει αθόρυβα το DNS είναι χειρότερο από ένα που αποτυγχάνει ηχηρά, γιατί η κλήση στην υποστήριξη έρχεται ώρες αργότερα. Γράψτε το αποτέλεσμα που παρατηρήσατε στο αρχείο σχεδιασμού.

Η κεντρική εξάρτηση είναι η ίδια σε κάθε λειτουργία: κάποιος πρέπει να κατέχει τη διαδρομή ανάκτησης της ίδιας της συσκευής.

Γράψτε το συμβόλαιο του υποκαταστήματος πριν από την ανάπτυξη

Ένα συμβόλαιο υποκαταστήματος χωρά σε μία σελίδα: ιδιοκτήτες, πηγές διευθύνσεων, προθέματα που περνούν από το τούνελ, πολιτική εξόδου και η συμπεριφορά διακοπής που αποδεχτήκατε.

Έπειτα επαληθεύστε το αναπτυγμένο αποτέλεσμα και όχι το επιδιωκόμενο. Ελέγξτε τη διεύθυνση του πελάτη του υποκαταστήματος, την προεπιλεγμένη πύλη του, ποια προθέματα επιλύονται μέσα από το τούνελ και τι ακόμη απαντά όταν το τούνελ είναι μπλοκαρισμένο. Συμβατότητα, προσβασιμότητα και αδειοδότηση χρειάζονται όλα έλεγχο με την τρέχουσα τεκμηρίωση του προμηθευτή για το ακριβές μοντέλο, γιατί ένα όνομα προϊόντος δεν εγγυάται λειτουργία. Κρατήστε αυτή τη σελίδα με το αρχείο της συσκευής, ώστε ο επόμενος μηχανικός να κληρονομήσει τις αποφάσεις και όχι το διάγραμμα.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Επαναλάβετε αυτό το τμήμα με μπλοκαρισμένο τούνελ, και η διαφορά μεταξύ των δύο εκτελέσεων είναι η συμπεριφορά διακοπής που αγοράσατε πραγματικά.