Mikä Sophos RED -tila sopii sivuliikkeesi verkkoon?

Sophos RED on etätoimipisteen rooli eikä VPN-protokolla, minkä vuoksi sen vertaaminen IPsecin tai OpenVPN:n kanssa vastaa väärään kysymykseen. Laite laajentaa keskitetyn palomuurin valvonnan sivuliikkeeseen, ja valitsemasi tila ratkaisee, kuka tarjoaa sivuliikkeen yhdyskäytävän, kuka jakaa osoitteet ja mikä liikenne kulkee tunnelin läpi. Nämä kolme vastausta painavat enemmän kuin tilojen nimet. Niiden kirjaaminen ensin muuttaa tuotevalinnan suunnittelupäätökseksi.

RED on rooli, ei protokolla

RED-laite liittää sivuliikkeen keskitettyyn Sophos Firewalliin, ja palomuurin kokoonpano määrittää, mitä sivuliikkeestä tulee. Tunneli on tämän liitoksen toteutusyksityiskohta, ei yleiskäyttöinen VPN-päätepiste, jonka voi suunnata mille tahansa vastapuolelle.

Tämä kehys on tärkeä, koska RED ei ole vaihdettavissa mielivaltaisen IPsec-vastapuolen kanssa. Se odottaa keskitetyn palomuurin hallitsevan sitä, ja tuetut tilat kuvaavat, kuinka suuren osan sivuliikkeestä se ottaa haltuunsa. Sen kohteleminen tavallisena tunnelin päätepisteenä luo odotuksia, joita tuote ei koskaan luvannut. Sen kohteleminen roolina tuottaa kysymykset, jotka todella ratkaisevat suunnittelun.

Alla olevat kolme ehtoa muuttavat vastausta, ja kaikki koskevat omistajuutta eivätkä salaus.

Kolme ehtoa, jotka valitsevat tilan

Kysy, kuka omistaa sivuliikkeen yhdyskäytävän, kuka ylläpitää DHCP:tä ja DNS:ää sivuliikkeen asiakkaille ja täytyykö paikallisen internet-yhteyden kestää tunnelin katkeaminen.

Standard/Unified vastaa kaikkiin kolmeen samalla tavalla: keskitetty palomuuri omistaa sivuliikkeen lähiverkon, mukaan lukien yhdyskäytävän ja DHCP:n tehtävät, ja liikenne kulkee tunnelin läpi. Standard/Split säilyttää keskitetyn hallinnan ja lähettää tunnelin kautta vain määritetyt verkot. Transparent/Split jättää nykyisen sivuliikkeen verkon vastaamaan omasta yhdyskäytävästään ja osoitteistaan ja ohjaa tunneliin vain valitun liikenteen. Kolme tilaa, kolme eri omistajaa.

Lue ensin keskimmäinen sarake, koska se ratkaisee, kuinka suuri osa sivuliikkeestä vielä toimii, kun tunneli on poissa.

Kuka omistaa sivuliikkeen yhdyskäytävän ja DHCP:n

Yhdistetyssä järjestelyssä sivuliikkeellä ei ole itsenäistä yhdyskäytävää, mikä yksinkertaistaa kokoonpanoa ja keskittää vian. Tämä keskitys on kunnossa, kun sivuliike on pieni ja keskitetty palomuuri on erittäin käytettävissä.

Läpinäkyvässä käyttöönotossa sivuliike pitää oman reitittimensä ja RED istuu reitillä ohjatakseen valittua liikennettä. Tämä säilyttää paikallisen hallinnan ja lisää laitteen, jonka sijainti reitillä merkitsee nyt jokaiselle ohjatulle virralle. Dokumentoi, missä se istuu, koska myöhempi muutos sivuliikkeen reitittimessä voi ohittaa sen hiljaa. Kumpikaan järjestely ei voita yleisesti; ne jakavat vastuun eri tavoin.

Osoitteiden omistajuus on se osa, joka on kirjattava, koska kaksi DHCP-palvelinta samassa segmentissä aiheuttaa ajoittaisia vikoja, joista raportoidaan VPN-ongelmina.

Mitä tapahtuu, kun tunneli katkeaa

Split-käyttö luetaan usein lupaukseksi siitä, että paikallinen internet toimii tunnelin vian aikana, eikä tämä luenta ole turvallinen. Tarkka käyttäytyminen riippuu valitusta tilasta, laiteohjelmistosta ja laitteesta, joten se kuuluu hyväksymiskriteereihin eikä oletukseen.

Päätä, mitä sivuliikkeen on vielä tehtävä ilman tunnelia: päästävä paikallisiin tulostimiin, ratkaistava nimiä, otettava maksuja vastaan tai ei mitään. Testaa sitten tämä tila tarkoituksella estämällä tunneli ja tarkkailemalla sivuliikettä. Sivuliike, joka menettää DNS:n hiljaa, on pahempi kuin se, joka epäonnistuu äänekkäästi, koska tukipuhelu tulee tunteja myöhemmin. Kirjaa havaittu tulos suunnittelumuistioon.

Keskitetty riippuvuus on sama jokaisessa tilassa: jonkun on omistettava laitteen oma palautumispolku.

Kirjoita sivuliikkeen sopimus ennen käyttöönottoa

Sivuliikkeen sopimus mahtuu yhdelle sivulle: omistajat, osoitelähteet, tunneloidut etuliitteet, ulostulokäytäntö ja hyväksytty katkokäyttäytyminen.

Varmista sitten käyttöönotettu tulos, älä aiottu. Tarkista sivuliikkeen asiakkaan osoite, sen oletusyhdyskäytävä, mitkä etuliitteet ratkeavat tunnelin kautta ja mikä vielä vastaa, kun tunneli on estetty. Yhteensopivuus, tavoitettavuus ja lisensointi on kaikki tarkistettava toimittajan nykyisestä dokumentaatiosta täsmällisen mallin osalta, koska tuotenimi ei takaa tilaa. Pidä tuo sivu laitteen tietueen kanssa, jotta seuraava insinööri perii päätökset eikä kaaviota.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Toista tuo lohko tunnelin ollessa estetty, ja kahden ajon ero on se katkokäyttäytyminen, jonka todella ostit.