Zein Sophos RED modu dagokio zure sukurtsaleko sareari?

Sophos RED urruneko gune baten rola da, ez VPN protokoloa, eta horregatik IPsec edo OpenVPNrekin alderatzeak galdera okerra erantzuten du. Gailuak sukurtsalera zabaltzen du firewall zentral baten kontrola, eta aukeratzen duzun moduak erabakitzen du nork hornitzen duen sukurtsaleko atebidea, nork banatzen dituen helbideak eta zein trafikok zeharkatzen duen tunela. Hiru erantzun horiek moduen izenek baino gehiago balio dute. Lehenengo haiek idazteak produktu aukeraketa diseinu erabaki bihurtzen du.

RED rola da, ez protokoloa

RED gailu batek sukurtsala Sophos Firewall zentral batera elkartzen du, eta firewallaren konfigurazioak zehazten du sukurtsala zer bihurtzen den. Tunela elkarketa horren ezarpen xehetasuna da, ez edozein parekotara zuzendu dezakezun helburu orokorreko VPN muturra.

Erreferentzia hori garrantzitsua da, RED ez baita IPsec parekide edonolarekin trukagarria. Firewall zentralak kudea dezan espero du, eta onartutako moduek sukurtsalaren zenbat hartzen duen deskribatzen dute. Tunel mutur arrunt gisa tratatzeak produktuak inoiz agindu ez zituen itxaropenak sortzen ditu. Rola gisa tratatzeak diseinua benetan erabakitzen duten galderak sortzen ditu.

Beheko hiru baldintzek erantzuna aldatzen dute, eta guztiak jabetzaz ari dira, ez zifratzeaz.

Modua aukeratzen duten hiru baldintza

Galdetu norenak diren sukurtsaleko atebidea, nork kudeatzen duen DHCP eta DNS sukurtsaleko bezeroentzat, eta tokiko internet irteerak tunelaren etena gainditu behar duen.

Standard/Unifiedek hirurei berdin erantzuten die: firewall zentralak sukurtsaleko LANa du, atebide eta DHCP zereginak barne, eta trafikoak tunela zeharkatzen du. Standard/Splitek kudeaketa zentrala mantentzen du eta konfiguratutako sareak soilik bidaltzen ditu tunelatik. Transparent/Splitek lehendik dagoen sukurtsal sarea uzten du bere atebideaz eta helbideez arduratzen, eta hautatutako trafikoa soilik birbideratzen du tunelera. Hiru modu, hiru jabe desberdin.

Irakurri erdiko zutabea lehenengo, hark erabakitzen baitu sukurtsalaren zenbat oraindik funtzionatzen duen tunela desagertzean.

Norenak dira sukurtsaleko atebidea eta DHCP

Antolamendu bateratuan sukurtsalak ez du atebide independenterik, eta horrek konfigurazioa errazten du eta hutsegitea biltzen du. Kontzentrazio hori egokia da sukurtsala txikia denean eta firewall zentralak erabilgarritasun handia duenean.

Hedapen garden batean sukurtsalak bere routerra mantentzen du eta RED bidean jartzen da hautatutako trafikoa birbideratzeko. Horrek tokiko kontrola mantentzen du eta bideko kokapena orain garrantzitsua den gailu bat gehitzen du birbideratutako fluxu bakoitzerako. Dokumentatu non dagoen, sukurtsaleko routerraren geroko aldaketa batek isilpean saihestu baitezake. Bi antolamenduetako batek ere ez du orokorrean irabazten; erantzukizuna modu desberdinean banatzen dute.

Helbideen jabetza idatzi beharreko zatia da, segmentu berean bi DHCP zerbitzarik noizean behingoko hutsegiteak eragiten baitituzte, VPN arazo gisa jakinarazten direnak.

Zer gertatzen da tunela erortzen denean

Split funtzionamendua askotan tunelaren hutsegitean tokiko interneta lanean jarraituko duela agintzen duen promesa gisa irakurtzen da, eta irakurketa hori ez da segurua. Jokabide zehatza hautatutako moduaren, firmwarearen eta gailuaren araberakoa da, beraz onarpen irizpideetan dago, ez suposizio batean.

Erabaki sukurtsalak tunelik gabe zer egin behar duen oraindik: tokiko inprimagailuetara iritsi, izenak ebatzi, ordainketak hartu edo ezer ez. Gero probatu egoera hori nahita, tunela blokeatuz eta sukurtsala behatuz. Isilpean DNS galtzen duen sukurtsala ozenki huts egiten duena baino okerragoa da, laguntza deia orduak geroago iristen baita. Idatzi behatutako emaitza diseinu erregistroan.

Mendekotasun zentrala berdina da modu guztietan: norbaitek gailuaren berreskuratze bidea eduki behar du.

Idatzi sukurtsalaren kontratua hedatu aurretik

Sukurtsalaren kontratua orrialde bakarrean sartzen da: jabeak, helbide iturriak, tunelatutako aurrizkiak, irteera politika eta onartu duzun etena jokabidea.

Gero egiaztatu hedatu den emaitza, eta ez aurreikusitakoa. Egiaztatu sukurtsaleko bezeroaren helbidea, haren atebide lehenetsia, zein aurrizki ebazten diren tunelatik eta zer erantzuten duen oraindik tunela blokeatuta dagoenean. Bateragarritasunak, irisgarritasunak eta lizentziak modelo zehatzaren hornitzailearen uneko dokumentazioaren aurka egiaztatu behar dira, produktu izen batek ez baitu modurik bermatzen. Gorde orrialde hori gailuaren erregistroarekin, hurrengo ingeniariak erabakiak oinordetzan har ditzan, diagrama ez.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Errepikatu bloke hori tunela blokeatuta, eta bi exekuzioen arteko aldea benetan erosi duzun etena jokabidea da.