کدام حالت Sophos RED برای شبکه شعبه شما مناسب است؟
RED یک نقش برای سایت راه دور است، نه یک پروتکل. بسته به اینکه دروازه شعبه و DHCP در اختیار چه کسی است، Standard/Unified یا Standard/Split یا Transparent/Split را انتخاب کنید.
Sophos RED یک نقش برای سایت راه دور است و نه یک پروتکل VPN، به همین دلیل مقایسه آن با IPsec یا OpenVPN به پرسش اشتباه پاسخ می‌دهد. دستگاه کنترل یک فایروال مرکزی را به شعبه گسترش می‌دهد و حالتی که انتخاب می‌کنید تعیین می‌کند چه کسی دروازه شعبه را تأمین می‌کند، چه کسی نشانی‌ها را توزیع می‌کند و چه ترافیکی از تونل می‌گذرد. این سه پاسخ از نام حالت‌ها مهم‌ترند. نوشتن آن‌ها در ابتدا انتخاب یک محصول را به تصمیم طراحی تبدیل می‌کند.
RED یک نقش است، نه یک پروتکل
یک دستگاه RED شعبه را به یک Sophos Firewall مرکزی متصل می‌کند و پیکربندی فایروال تعیین می‌کند شعبه چه می‌شود. تونل جزئیات اجرای این اتصال است، نه نقطه پایانی VPN همه‌منظوره که بتوان آن را به هر همتایی نشانه گرفت.
این چارچوب مهم است زیرا RED با هر همتای IPsec دلخواه قابل تبادل نیست. انتظار دارد فایروال مرکزی آن را مدیریت کند و حالت‌های پشتیبانی‌شده توصیف می‌کنند چه بخشی از شعبه را در اختیار می‌گیرد. برخورد با آن به عنوان یک نقطه پایانی تونل معمولی انتظاراتی می‌سازد که محصول هرگز وعده نداده است. برخورد با آن به عنوان یک نقش، پرسش‌هایی پدید می‌آورد که واقعاً طراحی را تعیین می‌کنند.
سه شرط زیر پاسخ را تغییر می‌دهند و همه‌شان درباره مالکیت‌اند، نه رمزنگاری.
سه شرطی که حالت را انتخاب می‌کنند
بپرسید دروازه شعبه در اختیار چه کسی است، چه کسی DHCP و DNS را برای کلاینت‌های شعبه اجرا می‌کند، و آیا خروج محلی به اینترنت باید از قطع تونل جان سالم ببرد.
Standard/Unified به هر سه یکسان پاسخ می‌دهد: فایروال مرکزی مالک LAN شعبه است، شامل وظایف دروازه و DHCP، و ترافیک از تونل می‌گذرد. Standard/Split مدیریت مرکزی را نگه می‌دارد و فقط شبکه‌های پیکربندی‌شده را از تونل می‌فرستد. Transparent/Split شبکه موجود شعبه را مسئول دروازه و نشانی‌های خودش می‌گذارد و فقط ترافیک گزیده را به تونل هدایت می‌کند. سه حالت، سه مالک متفاوت.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
ابتدا ستون میانی را بخوانید، زیرا تعیین می‌کند در نبود تونل چه بخشی از شعبه هنوز کار می‌کند.
دروازه شعبه و DHCP در اختیار چه کسی است
در آرایش یکپارچه شعبه دروازه مستقلی ندارد، که پیکربندی را ساده می‌کند و خرابی را متمرکز می‌سازد. این تمرکز وقتی شعبه کوچک است و فایروال مرکزی دسترس‌پذیری بالایی دارد، مشکلی نیست.
در استقرار شفاف شعبه روتر خود را نگه می‌دارد و RED در مسیر می‌نشیند تا ترافیک گزیده را هدایت کند. این کار کنترل محلی را حفظ می‌کند و دستگاهی می‌افزاید که جایگاهش در مسیر اکنون برای هر جریان هدایت‌شده اهمیت دارد. مستند کنید کجا می‌نشیند، زیرا تغییر بعدی در روتر شعبه می‌تواند بی‌صدا از آن رد شود. هیچ‌یک از دو آرایش به‌طور کلی برنده نیست؛ آن‌ها مسئولیت را به شکل متفاوتی تقسیم می‌کنند.
مالکیت نشانی‌ها بخشی است که باید نوشته شود، زیرا دو سرور DHCP در یک قطعه، خطاهای متناوبی پدید می‌آورند که به عنوان مشکل VPN گزارش می‌شوند.
وقتی تونل قطع می‌شود چه می‌شود
کارکرد Split اغلب به عنوان وعده‌ای خوانده می‌شود که اینترنت محلی در زمان خرابی تونل کار می‌کند، و این خوانش ایمن نیست. رفتار دقیق به حالت انتخاب‌شده، فرم‌ور و دستگاه بستگی دارد، پس جای آن در معیارهای پذیرش است، نه در یک فرض.
تعیین کنید شعبه بدون تونل هنوز چه باید بکند: رسیدن به چاپگرهای محلی، حل نام‌ها، گرفتن پرداخت‌ها، یا هیچ چیز. سپس آن وضعیت را آگاهانه با مسدود کردن تونل و مشاهده شعبه بیازمایید. شعبه‌ای که بی‌صدا DNS را از دست می‌دهد بدتر از شعبه‌ای است که با صدای بلند شکست می‌خورد، زیرا تماس با پشتیبانی ساعت‌ها بعد می‌رسد. نتیجه مشاهده‌شده را در سند طراحی بنویسید.
وابستگی مرکزی در هر حالت یکسان است: کسی باید مسیر بازیابی خود دستگاه را در اختیار داشته باشد.
قرارداد شعبه را پیش از استقرار بنویسید
قرارداد شعبه در یک صفحه جا می‌شود: مالکان، منابع نشانی، پیشوندهای تونل‌شده، سیاست خروج و رفتار قطعی که پذیرفته‌اید.
سپس نتیجه مستقرشده را بررسی کنید، نه نتیجه موردنظر را. نشانی کلاینت شعبه، دروازه پیش‌فرض آن، اینکه کدام پیشوندها از تونل حل می‌شوند و در حالت مسدود بودن تونل چه چیزی هنوز پاسخ می‌دهد را بررسی کنید. سازگاری، دسترس‌پذیری و مجوزدهی همه باید با مستندات جاری فروشنده برای مدل دقیق سنجیده شوند، زیرا نام محصول هیچ حالتی را تضمین نمی‌کند. آن صفحه را همراه سند دستگاه نگه دارید تا مهندس بعدی تصمیم‌ها را به ارث ببرد، نه نمودار را.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleآن بلوک را با تونل مسدود تکرار کنید، و تفاوت میان دو اجرا همان رفتار قطعی است که واقعاً خریده‌اید.