איזה מצב של Sophos RED מתאים לרשת הסניף שלך?
RED הוא תפקיד של אתר מרוחק ולא פרוטוקול. בחרו Standard/Unified, Standard/Split או Transparent/Split לפי מי מחזיק בשער הסניף וב-DHCP.
Sophos RED הוא תפקיד של אתר מרוחק ולא פרוטוקול VPN, ולכן השוואה שלו ל-IPsec או ל-OpenVPN עונה על השאלה הלא נכונה. ההתקן מרחיב את השליטה של חומת אש מרכזית אל סניף, והמצב שתבחרו קובע מי מספק את שער הסניף, מי מחלק כתובות ואיזה תעבורה עוברת במנהרה. שלוש התשובות האלה שוקלות יותר משמות המצבים. כתיבתן מראש הופכת בחירת מוצר להחלטת תכנון.
RED הוא תפקיד, לא פרוטוקול
התקן RED מחבר סניף לחומת אש מרכזית של Sophos, ותצורת חומת האש היא שקובעת מה יהיה הסניף. המנהרה היא פרט יישום של החיבור הזה, לא נקודת קצה של VPN לשימוש כללי שאפשר לכוון לכל עמית.
המסגור הזה חשוב מפני ש-RED אינו מתחלף עם עמית IPsec שרירותי. הוא מצפה שחומת האש המרכזית תנהל אותו, והמצבים הנתמכים מתארים כמה מהסניף הוא מקבל על עצמו. התייחסות אליו כנקודת קצה רגילה של מנהרה יוצרת ציפיות שהמוצר מעולם לא הבטיח. התייחסות אליו כתפקיד מפיקה את השאלות שבאמת קובעות את התכנון.
שלושת התנאים שלהלן משנים את התשובה, וכולם עוסקים בבעלות ולא בהצפנה.
שלושה תנאים שבוחרים את המצב
שאלו מי מחזיק בשער הסניף, מי מפעיל DHCP ו-DNS עבור לקוחות הסניף, והאם יציאה מקומית לאינטרנט חייבת לשרוד כשל של המנהרה.
Standard/Unified עונה לשלושתם אותו דבר: חומת האש המרכזית מחזיקה ברשת המקומית של הסניף, כולל תפקידי שער ו-DHCP, והתעבורה עוברת במנהרה. Standard/Split שומר על ניהול מרכזי ושולח במנהרה רק את הרשתות המוגדרות. Transparent/Split משאיר לרשת הסניף הקיימת את השער והכתובות שלה, ומפנה למנהרה רק תעבורה נבחרת. שלושה מצבים, שלושה בעלים שונים.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
קראו קודם את העמודה האמצעית, מפני שהיא קובעת כמה מהסניף עוד עובד כשהמנהרה איננה.
מי מחזיק בשער הסניף וב-DHCP
בסדר המאוחד אין לסניף שער עצמאי, מה שמפשט את התצורה ומרכז את הכשל. הריכוז הזה מתאים כשהסניף קטן וחומת האש המרכזית בעלת זמינות גבוהה.
בפריסה שקופה הסניף שומר על הנתב שלו וה-RED יושב בתוואי כדי להפנות תעבורה נבחרת. זה משמר שליטה מקומית ומוסיף התקן שמיקומו בתוואי חשוב כעת לכל זרם מופנה. תעדו היכן הוא יושב, מפני ששינוי מאוחר בנתב הסניף עלול לעקוף אותו בשקט. אף אחד מהסדרים לא מנצח באופן כללי; הם מחלקים אחריות אחרת.
הבעלות על הכתובות היא החלק שצריך לכתוב, מפני ששני שרתי DHCP באותו סגמנט יוצרים תקלות לסירוגין שמדווחות כבעיות VPN.
מה קורה כשהמנהרה נופלת
פעולת Split נקראת לעתים קרובות כהבטחה שהאינטרנט המקומי ממשיך לעבוד בזמן כשל מנהרה, וקריאה כזו אינה בטוחה. ההתנהגות המדויקת תלויה במצב הנבחר, בקושחה ובהתקן, ולכן מקומה בקריטריוני הקבלה ולא בהנחה.
החליטו מה הסניף חייב עוד לעשות בלי מנהרה: להגיע למדפסות מקומיות, לפתור שמות, לגבות תשלומים, או כלום. אחר כך בדקו את המצב הזה במכוון על ידי חסימת המנהרה והתבוננות בסניף. סניף שמאבד DNS בשקט גרוע מזה שנכשל בקול, מפני שהשיחה לתמיכה מגיעה שעות אחר כך. כתבו את התוצאה שנצפתה ברשומת התכנון.
התלות המרכזית זהה בכל מצב: מישהו חייב להחזיק בנתיב השחזור של ההתקן עצמו.
כתבו את חוזה הסניף לפני הפריסה
חוזה סניף נכנס לעמוד אחד: בעלים, מקורות כתובות, קידומות במנהרה, מדיניות יציאה והתנהגות הכשל שקיבלתם.
אחר כך אמתו את התוצאה שנפרסה ולא את המתוכננת. בדקו את כתובת לקוח הסניף, את שער ברירת המחדל שלו, אילו קידומות נפתרות דרך המנהרה ומה עוד עונה כשהמנהרה חסומה. תאימות, נגישות ורישוי כולם צריכים בדיקה מול התיעוד הנוכחי של הספק לדגם המדויק, מפני ששם מוצר אינו מבטיח מצב. שמרו את העמוד הזה עם רשומת ההתקן כדי שהמהנדס הבא יירש את ההחלטות ולא את התרשים.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleחזרו על הבלוק הזה כשהמנהרה חסומה, וההבדל בין שתי ההרצות הוא התנהגות הכשל שבאמת קניתם.