Kiu reĝimo de Sophos RED taŭgas por via filia reto?
RED estas rolo por fora ejo, ne protokolo. Elektu Standard/Unified, Standard/Split aŭ Transparent/Split laŭ tio, kiu posedas la filian enirejon kaj DHCP.
Sophos RED estas rolo por fora ejo, ne VPN-protokolo, kaj tial komparo kun IPsec aŭ OpenVPN respondas al la malĝusta demando. La aparato etendas la regadon de centra fajroŝirmilo al filio, kaj la elektita reĝimo decidas, kiu provizas la filian enirejon, kiu disdonas adresojn kaj kiu trafiko trapasas la tunelon. Tiuj tri respondoj pli gravas ol la nomoj de la reĝimoj. Skribi ilin unue transformas produktopcion en dizajnan decidon.
RED estas rolo, ne protokolo
RED-aparato kunligas filion al centra Sophos Firewall, kaj la agordo de la fajroŝirmilo difinas, kio fariĝas la filio. La tunelo estas implementa detalo de tiu kunligo, ne universala VPN-finpunkto, kiun oni povas celi al iu ajn samtavolo.
Tiu kadro gravas, ĉar RED ne estas interŝanĝebla kun arbitra IPsec-samtavolo. Ĝi atendas, ke la centra fajroŝirmilo administros ĝin, kaj la subtenataj reĝimoj priskribas, kiom de la filio ĝi transprenas. Trakti ĝin kiel ordinaran tunelan finpunkton kreas atendojn, kiujn la produkto neniam promesis. Trakti ĝin kiel rolon produktas la demandojn, kiuj vere decidas la dizajnon.
La tri kondiĉoj sube ŝanĝas la respondon, kaj ĉiuj temas pri posedo, ne pri ĉifrado.
Tri kondiĉoj, kiuj elektas la reĝimon
Demandu, kiu posedas la filian enirejon, kiu funkciigas DHCP kaj DNS por la filiaj klientoj, kaj ĉu loka interreta eliro devas postvivi tunelan paneon.
Standard/Unified respondas al ĉiuj tri same: la centra fajroŝirmilo posedas la filian lokan reton, inkluzive de enirejaj kaj DHCP-taskoj, kaj la trafiko trapasas la tunelon. Standard/Split konservas centran administradon kaj sendas nur la agorditajn retojn tra la tunelo. Transparent/Split lasas la ekzistantan filian reton regi sian propran enirejon kaj adresojn, kaj plusendas nur elektitan trafikon en la tunelon. Tri reĝimoj, tri malsamaj posedantoj.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Unue legu la mezan kolumnon, ĉar ĝi decidas, kiom de la filio ankoraŭ funkcias, kiam la tunelo forestas.
Kiu posedas la filian enirejon kaj DHCP
En la unuigita aranĝo la filio havas nenian sendependan enirejon, kio simpligas la agordon kaj koncentras la paneon. Tiu koncentriĝo estas en ordo, kiam la filio estas malgranda kaj la centra fajroŝirmilo estas alte disponebla.
En travidebla pretigo la filio konservas sian enkursigilon kaj RED sidas en la vojo por plusendi elektitan trafikon. Tio konservas lokan regadon kaj aldonas aparaton, kies pozicio en la vojo nun gravas por ĉiu plusendata fluo. Dokumentu, kie ĝi sidas, ĉar posta ŝanĝo en la filia enkursigilo povas silente preteriri ĝin. Neniu el la du aranĝoj venkas ĝenerale; ili disdividas respondecon malsame.
Posedo de adresoj estas la parto, kiun oni skribu, ĉar du DHCP-serviloj en unu segmento kaŭzas intermitajn paneojn, kiuj raportiĝas kiel VPN-problemoj.
Kio okazas, kiam la tunelo falas
Split-funkciado ofte legiĝas kiel promeso, ke loka interreto plu funkcias dum tunela paneo, kaj tiu legado ne estas sekura. La ĝusta konduto dependas de la elektita reĝimo, la firmvaro kaj la aparato, do ĝi apartenas al la akceptkriterioj, ne al supozo.
Decidu, kion la filio devas ankoraŭ fari sen tunelo: atingi lokajn printilojn, solvi nomojn, akcepti pagojn, aŭ tute nenion. Poste testu tiun staton intence, blokante la tunelon kaj observante la filion. Filio, kiu silente perdas DNS, estas pli malbona ol tiu, kiu laŭte paneas, ĉar la voko al subteno alvenas horojn poste. Skribu la observitan rezulton en la dizajnan rikordon.
La centra dependeco estas la sama en ĉiu reĝimo: iu devas posedi la restarigan vojon por la aparato mem.
Skribu la filian kontrakton antaŭ la pretigo
Filia kontrakto konvenas sur unu paĝo: posedantoj, adresfontoj, tunelitaj prefiksoj, elira politiko kaj la akceptita panea konduto.
Poste kontrolu la pretigitan rezulton, ne la intencitan. Kontrolu la adreson de la filia kliento, ĝian defaŭltan enirejon, kiuj prefiksoj solviĝas tra la tunelo, kaj kio ankoraŭ respondas, kiam la tunelo estas blokita. Kongrueco, atingeblo kaj licencado ĉiuj bezonas kontrolon kontraŭ la aktuala dokumentaro de la vendanto por la ĝusta modelo, ĉar produkta nomo ne garantias reĝimon. Konservu tiun paĝon kun la aparata rikordo, por ke la sekva inĝeniero heredu la decidojn anstataŭ la diagramon.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleRipetu tiun blokon kun blokita tunelo, kaj la diferenco inter la du ruloj estas la panea konduto, kiun vi efektive aĉetis.