Rût ien filiaal-subnet út fia de SonicWall-ynternetútgong fan it haadkantoar

Filiaaltelefoanen moatte fia it haadkantoar nei bûten gean, wylst filiaal-laptops de lokale WAN bliuwe brûken, en it rûtebelied allinnis sil dat net leverje. In filiaalrûte kin de tunnel kieze, mar it tunnelbelied moat it ferkear akseptearje, it haadkantoar moat it trochstjoere en oersette, en it antwurd moat deselde wei weromkomme. Mis ien fan dy trije en it symptoom is in subset klanten dy't krekt internet ferlieze wylst de tunnel oan is.

Begjin by de selektor, net by de rûte

Rûtebelied matcht op in boarne, dus de boarne moat stabyl wêze foardat eat oars bart. Set de keazen apparaten yn in adresgroep dy't in behearder ûnderhâldt, of better, op in tawiisd segmint wêrfan't it lidmaatskip de apparaatrol folget. Wannear't gewoane DHCP-feroaring in matcht adres nei in oare masine ferpleatse kin, kiest it belied stil de ferkearde klant, en it earste rapport giet meastentiids oer stadich browsen dat eins in omwei is.

Neam de groep nei it belied dat it tsjinnet, net nei in ferdjipping of in ôfdieling, want de rûteregel sil beide oerlibje. Skriuw op hokker apparaten deryn sitte en wa't ien tafoegje mei.

Foegje it filiaalbebelied ta, en ferdigenje dan syn oarder

Op de filiaal-SonicWall kiest in rûtebelied de boarnegroep, neamt de bedoelde bestimmingen en set de tunnelinterface as de gateway, dêr't it stipe tunnelinterface-ûntwerp krekt foar bestiet. Hâld regels foar lokale en partikuliere bestimmingen boppe de brede ynternetregel, want de earste match wint en in partikulier foarheaksel dat yn de tunnel treaun wurdt, komt by it haadkantoar allinnich oan om weilitten te wurden. Bewarje ek de eigen rûte fan 'e firewall nei syn VPN-peer, oars sil it tunnelferfier it belied folgje dêr't it fan ôfhinget. Nimt neat hjirfan jo twa nij om elke besteande beliedsbasearre tunnel om te setten; in tunnelinterface is ien stipe kar út ferskate.

Oarder is it part dat by ûngelok feroaret. Elkenien dy't in útsûndering tafoeget moat dy boppe de brede regel ynfoegje, en elkenien dy't de brede regel bewurket kin it hiele ûntwerp yn ien bewarje omkeare. Skriuw de bedoelde oarder njonken it belied en kontrolearje dy opnij nei firmware-updates, want interface-namjouwing en beliedsweergawe ferskowe wol tusken ferzjes.

Meitsje it paad by it haadkantoar ôf

It tunnelbelied by it haadkantoar moat it ferkear akseptearje dat de filiaalrûte no kiest. In kantoar-oer-kantoar-selektor beheind ta it partikuliere LAN fan it haadkantoar is gjin tastimming om willekeurige publike bestimmingen te ferfieren, dus it belied hat de filiaalbron en it bestimmingsberik nedich dat jo echt bedoele. It haadkantoar stjoert dat oankommende ferkear dan troch nei syn ynternet-uplink neffens syn eigen tagongsregels, en SonicWall syn foarbyld fan sintrale útgong befettet boarne-oersetting foar it fiere netwurk by de sintrale WAN. Sûnder dy oersetting sjocht de fiere kant in partikulier filiaaladres en hat gjin rûte werom dêrhinne.

Antwurden binne de oare helte fan it kontrakt. Se moatte weromkomme troch de tunnel of troch de steatlike oersetting dy't foar har makke is, en ferkear nei partikuliere sites kin oare NAT-behanneling nedich hawwe as publike útgong. Hâld dy regels ûnderskiedber, want ien brede oersettingsregel dy't elke ynterne boarne ferberget makket letter loggen en probleemoplossing folle hurder lêzen.

Beslis wat de groep docht as de tunnel falt

As de sintrale útgong in eask is en net in foarkar, is weromfallen op 'e lokale WAN in njonkenferplichtingsflater sels as brûkers online bliuwe. SonicOS dokumintearret in drop-tunnelinterface-rûte as de stipe manier om te foarkommen dat selektearre ferkear in ûnbedoeld alternative paad nimt.

Match it berik en de prioriteit fan dy rûte ûnder de ynstallearre ferzje, en test it troch de tunnel del te bringen ynstee fan it label te fertrouwen. In groep dy't nea lokaal nei bûten mei moat tichtby mislearje, wylst in groep dêr't beskikberens wichtiger is legitimaasje weromfalle mei; beide binne beslissingen, en gjinien moat standert barre.

Ferifiearje fan trije klanten, en rôlje dan skjin werom

In ping nei de sintrale gateway test it ferkearde ding, want it ûntstiet by de firewall en net by in selektearre klant. Test ynstee fan apparaten, en test trije fan har: in selektearre apparaat, in gewoan apparaat dat lokaal bliuwe moat, en ien dy't fan lokale tsjinsten ôfhinklik is.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Fergelykje wêr't it publike fersyk eins opdûkte. In selektearre klant moat it ynternet berikke fia de útgong fan it haadkantoar, en in gewoane klant moat op 'e fiere kant noch hieltyd it eigen adres fan 'e filiaal toane; 203.0.113.10 is in dokumintaasje-adres dat brûkt wurdt as ferfanger foar de bestimming dy't jo oanbelanget. Nim DNS yn deselde pass op, want in klant dy't de resolver fan 'e filiaal freget kin in router-ûntstiene opfraach mei in oare boarne en dêrom in oare rûte opleverje.

Weromrôljen is de bewarre beliedsoarder plus de adresgroep. Werstel de foarige oarder, helje de groep út it belied, en test beide apparaatklassen opnij. Bewarje de eksportearre konfiguraasje by it feroaringsrekord, want de folgjende yngenieur moat witte hokker regel de brede wie foardat immen dy bewurke.