Melyik Sophos RED mód illik a fióktelepi hálózatához?

A Sophos RED távoli telephelyi szerep, nem VPN-protokoll, ezért az IPsec-pel vagy OpenVPN-nel való összehasonlítás rossz kérdésre válaszol. Az eszköz egy központi tűzfal vezérlését terjeszti ki egy fióktelepre, a választott mód pedig eldönti, ki biztosítja a fióktelep átjáróját, ki oszt címeket és milyen forgalom halad át az alagúton. Ez a három válasz többet nyom a latban, mint a módok nevei. Ha ezeket előbb leírja, a termékválasztásból tervezési döntés lesz.

A RED szerep, nem protokoll

A RED eszköz egy fióktelepet kapcsol egy központi Sophos Firewallhoz, és a tűzfal konfigurációja határozza meg, mivé válik a fióktelep. Az alagút ennek a kapcsolódásnak a megvalósítási részlete, nem általános célú VPN-végpont, amelyet bármely partnerre lehet irányítani.

Ez a keret azért fontos, mert a RED nem cserélhető fel tetszőleges IPsec-partnerrel. Elvárja, hogy a központi tűzfal kezelje, és a támogatott módok leírják, a fióktelep mekkora részét veszi át. Ha egyszerű alagútvégpontként kezeljük, olyan elvárásokat kelt, amelyeket a termék soha nem ígért. Ha szerepként kezeljük, azok a kérdések merülnek fel, amelyek valóban eldöntik a tervezést.

Az alábbi három feltétel megváltoztatja a választ, és mindegyik a tulajdonról szól, nem a titkosításról.

Három feltétel, amely a módot kiválasztja

Kérdezze meg, kié a fióktelep átjárója, ki üzemelteti a DHCP-t és a DNS-t a fióktelep kliensei számára, és hogy a helyi internetes kijáratnak túl kell-e élnie az alagút kiesését.

A Standard/Unified mindháromra ugyanúgy válaszol: a központi tűzfal birtokolja a fióktelep helyi hálózatát, beleértve az átjáró- és DHCP-feladatokat, és a forgalom az alagúton halad át. A Standard/Split megtartja a központi kezelést, és csak a beállított hálózatokat küldi az alagúton. A Transparent/Split a meglévő fióktelepi hálózatra bízza a saját átjáróját és címeit, és csak a kiválasztott forgalmat irányítja az alagútba. Három mód, három különböző tulajdonos.

Először a középső oszlopot olvassa el, mert az dönti el, a fióktelep mekkora része működik még, amikor az alagút nincs.

Kié a fióktelep átjárója és a DHCP

Az egységes elrendezésben a fióktelepnek nincs önálló átjárója, ami egyszerűsíti a konfigurációt és egy helyre összpontosítja a hibát. Ez az összpontosítás rendben van, ha a fióktelep kicsi, és a központi tűzfal magas rendelkezésre állású.

Átlátszó telepítésnél a fióktelep megtartja a saját routerét, és a RED az útvonalba kerül, hogy a kiválasztott forgalmat átirányítsa. Ez megőrzi a helyi irányítást, és olyan eszközt ad hozzá, amelynek az útvonalban elfoglalt helye most minden átirányított folyamathoz számít. Dokumentálja, hol helyezkedik el, mert a fióktelep routerének későbbi módosítása csendesen megkerülheti. Egyik elrendezés sem nyer általánosan; eltérően osztják meg a felelősséget.

A címek tulajdonjoga az a rész, amelyet le kell írni, mert két DHCP-kiszolgáló egy szegmensen szakaszos hibákat okoz, amelyeket VPN-problémaként jelentenek.

Mi történik, ha az alagút kiesik

A Split üzemmódot gyakran ígéretként olvassák, hogy a helyi internet az alagút hibája alatt is működik, és ez az olvasat nem biztonságos. A pontos viselkedés a választott módtól, a firmware-től és az eszköztől függ, ezért az elfogadási kritériumokba tartozik, nem egy feltevésbe.

Döntse el, mit kell a fióktelepnek még alagút nélkül tennie: elérni a helyi nyomtatókat, neveket feloldani, fizetéseket fogadni, vagy semmit. Ezután tesztelje ezt az állapotot szándékosan úgy, hogy blokkolja az alagutat, és megfigyeli a fióktelepet. Egy fióktelep, amely csendesen elveszíti a DNS-t, rosszabb, mint amelyik hangosan meghibásodik, mert az ügyfélszolgálati hívás órákkal később érkezik. Írja a megfigyelt eredményt a tervezési feljegyzésbe.

A központi függőség minden módban ugyanaz: valakinek birtokolnia kell magának az eszköznek a helyreállítási útvonalát.

Írja meg a fióktelepi szerződést telepítés előtt

A fióktelepi szerződés elfér egy oldalon: tulajdonosok, címforrások, alagúton átvitt előtagok, kijárati szabályzat és az elfogadott kiesési viselkedés.

Ezután a telepített eredményt ellenőrizze, ne a szándékoltat. Vizsgálja meg a fióktelepi kliens címét, az alapértelmezett átjáróját, hogy mely előtagok oldódnak fel az alagúton, és mi válaszol még, amikor az alagút blokkolva van. A kompatibilitást, elérhetőséget és licencelést mind a szállító jelenlegi dokumentációjával kell ellenőrizni a pontos modellre, mert egy terméknév nem garantál módot. Tartsa ezt az oldalt az eszköz nyilvántartása mellett, hogy a következő mérnök a döntéseket örökölje, ne a diagramot.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Ismételje meg ezt a blokkot blokkolt alagút mellett, és a két futás közötti különbség az a kiesési viselkedés, amelyet valóban megvásárolt.