Hokker Sophos RED-modus past by jo filiaalnetwurk?
RED is in rol foar in ôfstânslokaasje, gjin protokol. Kies Standard/Unified, Standard/Split of Transparent/Split ôfhinklik fan wa't de gateway fan it filiaal en DHCP hat.
Sophos RED is in rol foar in ôfstânslokaasje en gjin VPN-protokol, dêrom jout in ferliking mei IPsec of OpenVPN antwurd op 'e ferkearde fraach. It apparaat wreidet de kontrôle fan in sintrale firewall út nei in filiaal, en de modus dy't jo kieze beslút wa't de gateway fan it filiaal leveret, wa't adressen útdielt en hokker ferkear troch de tunnel giet. Dy trije antwurden weagje swierder as de nammen fan 'e modi. Se earst opskriuwe makket fan in produktkar in ûntwerpbeslút.
RED is in rol, gjin protokol
In RED-apparaat ferbynt in filiaal oan in sintrale Sophos Firewall, en de konfiguraasje fan 'e firewall beselet wat it filiaal wurdt. De tunnel is in ymplemintaasjedetail fan dy ferbining, gjin algemien VPN-einpunt dat jo op elk pear rjochtsje kinne.
Dat ramt is wichtich, want in RED is net útwikselber mei in willekeurich IPsec-pear. It ferwachtet dat de sintrale firewall it beheart, en de stipe modi beskriuwe hoefolle fan it filiaal it oernimt. It behannelje as in gewoan tunneleinpunt skept ferwachtings dy't it produkt nea beloofd hat. It behannelje as in rol jout de fragen dy't it ûntwerp echt beslute.
De trije betingsten hjirûnder feroarje it antwurd, en se geane allegear oer eigendom en net oer fersiferling.
Trije betingsten dy't de modus kieze
Freegje wa't de gateway fan it filiaal hat, wa't DHCP en DNS foar de klanten fan it filiaal rint, en oft lokale ynternetútgong in tunnelstoaring oerlibje moat.
Standard/Unified antwurdet op alle trije itselde: de sintrale firewall hat it LAN fan it filiaal, ynklusyf gateway- en DHCP-taken, en it ferkear giet troch de tunnel. Standard/Split hâldt sintraal behear en stjoert allinnich de konfigurearre netwurken troch de tunnel. Transparent/Split lit it besteande filiaalnetwurk syn eigen gateway en adressen beheare, en ferwiist allinnich selektearre ferkear nei de tunnel. Trije modi, trije ferskillende eigners.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Lês earst de middenkolom, want dy beslút hoefolle fan it filiaal noch wurket as de tunnel fuort is.
Wa't de gateway fan it filiaal en DHCP hat
Yn 'e feriene opstelling hat it filiaal gjin selsstannige gateway, wat de konfiguraasje ferienfâldiget en de stoaring sintralisearret. Dy sintralisaasje is goed as it filiaal lyts is en de sintrale firewall heech beskikber is.
Yn in transparante útrulling hâldt it filiaal syn router en sit de RED yn 'e line om selektearre ferkear te ferwizen. Dat behâldt lokale kontrôle en foeget in apparaat ta wêrfan't de posysje yn it paad no foar elke ferwiisde stream wichtich is. Dokumintearje wêr't it sit, want in lettere feroaring oan 'e router fan it filiaal kin it stil omgean. Gjin fan beide opstellings wint yn 't algemien; se ferdiele ferantwurdlikheid oars.
Adreseigendom is it part dat opskreaun wurde moat, want twa DHCP-tsjinners op ien segmint meitsje tuskenskoftske flaters dy't as VPN-problemen rapportearre wurde.
Wat der bart as de tunnel falt
Split-wurking wurdt faak lêzen as in belofte dat lokaal ynternet by in tunnelstoaring trochwurket, en dy lêzing is net feilich. It krekte gedrach hinget ôf fan 'e keazen modus, de firmware en it apparaat, dus it heart yn 'e akseptkriteria en net yn in oanname.
Beslút wat it filiaal sûnder tunnel noch dwaan moat: lokale printers berikke, nammen oplosse, betellingen oannimme, of hielendal neat. Test dy tastân dan bewust troch de tunnel te blokkearjen en it filiaal te observearjen. In filiaal dat stil DNS ferliest is slimmer as ien dat lûd mislearret, want it helpdeskpetear komt oeren letter. Skriuw it observearre resultaat yn it ûntwerpdossier.
De sintrale ôfhinklikens is yn elke modus itselde: immen moat it herstelpaad foar it apparaat sels hawwe.
Skriuw it filiaalkontrakt foar't jo útrulle
In filiaalkontrakt past op ien side: eigners, adresboarnen, tunnelde prefiksen, útgongbelied en it stoaringsgedrach dat jo akseptearre hawwe.
Ferifiearje dan it útrôle resultaat en net it bedoelde. Kontrolearje it adres fan 'e filiaalklant, syn standertgateway, hokker prefiksen troch de tunnel oplosse, en wat noch antwurdet as de tunnel blokkearre is. Kompatibiliteit, berikberens en lisinsjeare moatte allegear tsjin 'e aktuele dokumintaasje fan 'e leveransier foar it krekte model kontrolearre wurde, want in produktnamme garandearret gjin modus. Hâld dy side by it apparaatdossier, sadat de folgjende yngenieur de besluten erft en net it diagram.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleWerhelje dat blok mei de tunnel blokkearre, en it ferskil tusken de twa runs is it stoaringsgedrach dat jo echt kocht hawwe.