Rutekan subnet cabang melalui pintu keluar internet SonicWall kantor pusat

Telepon cabang harus keluar melalui kantor pusat sementara laptop cabang tetap memakai WAN lokal, dan kebijakan rute saja tidak akan mewujudkannya. Rute cabang dapat memilih tunnel, tetapi kebijakan tunnel harus menerima lalu lintasnya, kantor pusat harus meneruskan dan menerjemahkannya, dan balasannya harus kembali melalui jalur yang sama. Lewatkan salah satu dari ketiganya dan gejalanya adalah sebagian klien kehilangan internet tepat saat tunnel aktif.

Mulai dari pemilih, bukan dari rute

Kebijakan perutean mencocokkan berdasarkan sumber, jadi sumber harus stabil sebelum hal lain. Tempatkan perangkat yang dipilih dalam grup alamat yang dipelihara administrator atau, lebih baik, pada segmen khusus yang keanggotaannya mengikuti peran perangkat. Ketika pergantian DHCP biasa dapat memindahkan alamat yang cocok ke mesin lain, kebijakan diam-diam memilih klien yang salah, dan laporan pertama biasanya tentang penjelajahan lambat yang sebenarnya merupakan jalan memutar.

Beri nama grup sesuai kebijakan yang dilayaninya, bukan menurut lantai atau departemen, karena aturan perutean akan bertahan lebih lama dari keduanya. Catat perangkat apa saja yang ada di dalamnya dan siapa yang boleh menambahkan satu.

Tambahkan kebijakan cabang, lalu pertahankan urutannya

Pada SonicWall cabang, kebijakan rute memilih grup sumber, menamai tujuan yang dimaksud, dan menetapkan antarmuka tunnel sebagai gateway, dan untuk itulah desain antarmuka tunnel yang didukung ada. Jaga aturan tujuan lokal dan privat di atas aturan internet yang luas, karena kecocokan pertama menang dan prefiks privat yang didorong ke tunnel tiba di kantor pusat hanya untuk dibuang. Pertahankan juga rute firewall itu sendiri ke rekan VPN-nya, atau transport tunnel akan mengikuti kebijakan yang menjadi dependensinya. Tidak ada yang memaksa Anda mengonversi setiap tunnel berbasis kebijakan yang ada; antarmuka tunnel adalah satu pilihan yang didukung di antara beberapa.

Urutan adalah bagian yang berubah secara tidak sengaja. Siapa pun yang menambahkan pengecualian harus menyisipkannya di atas aturan luas, dan siapa pun yang menyunting aturan luas dapat membalik seluruh desain dengan satu penyimpanan. Tuliskan urutan yang dimaksud di samping kebijakan dan periksa ulang setelah pembaruan firmware, karena penamaan antarmuka dan penyajian kebijakan memang bergeser antar rilis.

Selesaikan jalur di kantor pusat

Kebijakan tunnel di kantor pusat harus menerima lalu lintas yang sekarang dipilih rute cabang. Pemilih antar-kantor yang dibatasi ke LAN privat kantor pusat bukan izin untuk membawa tujuan publik sembarangan, jadi kebijakan memerlukan sumber cabang dan rentang tujuan yang benar-benar Anda maksud. Kantor pusat lalu meneruskan lalu lintas masuk itu ke uplink internetnya berdasarkan aturan aksesnya sendiri, dan contoh pintu keluar pusat SonicWall menyertakan terjemahan sumber untuk jaringan jarak jauh di WAN pusat. Tanpa terjemahan itu, sisi jauh melihat alamat cabang privat dan tidak memiliki rute kembali ke sana.

Balasan adalah separuh kontrak lainnya. Balasan harus kembali melalui tunnel atau melalui terjemahan stateful yang dibuat untuknya, dan lalu lintas situs privat mungkin memerlukan perlakuan NAT berbeda dari egress publik. Jaga aturan itu tetap dapat dibedakan, karena satu aturan terjemahan luas yang menyembunyikan setiap sumber internal membuat pencatatan dan pemecahan masalah nanti jauh lebih sulit dibaca.

Putuskan apa yang dilakukan grup saat tunnel turun

Jika pintu keluar pusat adalah keharusan dan bukan preferensi, kembali ke WAN lokal merupakan kegagalan kepatuhan meskipun pengguna tetap online. SonicOS mendokumentasikan rute drop-tunnel-interface sebagai cara yang didukung untuk mencegah lalu lintas terpilih mengambil jalur alternatif yang tidak diinginkan.

Cocokkan cakupan dan prioritas rute itu dengan rilis yang terpasang, dan ujilah dengan menurunkan tunnel alih-alih memercayai labelnya. Grup yang tidak boleh pernah keluar secara lokal harus gagal tertutup, sedangkan grup yang mengutamakan ketersediaan boleh turun kembali secara sah; keduanya keputusan, dan tidak satu pun boleh terjadi secara bawaan.

Verifikasi dari tiga klien, lalu kembalikan dengan bersih

Ping ke gateway pusat menguji hal yang salah, karena berasal dari firewall bukan dari klien terpilih. Ujilah dari perangkat, dan uji tiga di antaranya: perangkat terpilih, perangkat biasa yang harus tetap lokal, dan satu yang bergantung pada layanan lokal.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Bandingkan di mana permintaan publik benar-benar muncul. Klien terpilih harus mencapai internet melalui pintu keluar kantor pusat, dan klien biasa tetap harus menampilkan alamat cabangnya sendiri di sisi jauh; 203.0.113.10 adalah alamat dokumentasi yang dipakai sebagai pengganti tujuan yang Anda pedulikan. Sertakan DNS pada langkah yang sama, karena klien yang bertanya ke resolver cabang dapat menghasilkan pencarian berasal dari router dengan sumber berbeda dan karena itu rute berbeda.

Pengembalian adalah urutan kebijakan tersimpan ditambah grup alamat. Pulihkan urutan sebelumnya, hapus grup dari kebijakan, dan uji ulang kedua kelas perangkat. Simpan konfigurasi yang diekspor bersama catatan perubahan, karena insinyur berikutnya perlu tahu aturan mana yang luas sebelum seseorang menyuntingnya.