Mode Sophos RED mana yang cocok untuk jaringan cabang Anda?

Sophos RED adalah peran untuk lokasi terpencil, bukan protokol VPN, sehingga membandingkannya dengan IPsec atau OpenVPN menjawab pertanyaan yang salah. Perangkat ini memperluas kendali firewall pusat ke cabang, dan mode yang Anda pilih menentukan siapa yang menyediakan gateway cabang, siapa yang membagikan alamat, dan lalu lintas mana yang melintasi terowongan. Ketiga jawaban itu lebih penting daripada nama modenya. Menuliskannya lebih dulu mengubah pilihan produk menjadi keputusan desain.

RED adalah peran, bukan protokol

Perangkat RED menyambungkan cabang ke Sophos Firewall pusat, dan konfigurasi firewall itulah yang menentukan jadi apa cabang tersebut. Terowongan adalah detail implementasi dari penyambungan itu, bukan titik akhir VPN serbaguna yang bisa diarahkan ke sembarang rekan.

Kerangka itu penting karena RED tidak dapat ditukar dengan rekan IPsec sembarangan. Ia mengharapkan firewall pusat mengelolanya, dan mode yang didukung menjelaskan berapa banyak bagian cabang yang diambil alih. Memperlakukannya sebagai titik akhir terowongan biasa menciptakan harapan yang tidak pernah dijanjikan produk. Memperlakukannya sebagai peran menghasilkan pertanyaan yang benar-benar menentukan desain.

Tiga kondisi di bawah mengubah jawabannya, dan semuanya soal kepemilikan, bukan enkripsi.

Tiga kondisi yang memilih mode

Tanyakan siapa yang memiliki gateway cabang, siapa yang menjalankan DHCP dan DNS untuk klien cabang, dan apakah akses internet lokal harus bertahan saat terowongan putus.

Standard/Unified menjawab ketiganya dengan cara yang sama: firewall pusat memiliki LAN cabang, termasuk tugas gateway dan DHCP, dan lalu lintas melintasi terowongan. Standard/Split mempertahankan pengelolaan pusat dan hanya mengirim jaringan yang dikonfigurasi melalui terowongan. Transparent/Split membiarkan jaringan cabang yang ada mengurus gateway dan alamatnya sendiri, lalu hanya mengalihkan lalu lintas terpilih ke terowongan. Tiga mode, tiga pemilik berbeda.

Baca dulu kolom tengah, karena kolom itu menentukan berapa banyak bagian cabang yang masih bekerja saat terowongan hilang.

Siapa yang memiliki gateway cabang dan DHCP

Dalam susunan terpadu cabang tidak punya gateway mandiri, yang menyederhanakan konfigurasi dan memusatkan kegagalan. Pemusatan itu wajar bila cabang kecil dan firewall pusat memiliki ketersediaan tinggi.

Dalam penerapan transparan cabang mempertahankan routernya dan RED duduk sebaris untuk mengalihkan lalu lintas terpilih. Itu menjaga kendali lokal dan menambah perangkat yang posisinya di jalur kini penting bagi setiap aliran yang dialihkan. Dokumentasikan letaknya, karena perubahan router cabang di kemudian hari dapat melewatinya tanpa suara. Tidak ada susunan yang menang secara umum; keduanya membagi tanggung jawab dengan cara berbeda.

Kepemilikan alamat adalah bagian yang perlu ditulis, karena dua server DHCP pada satu segmen menimbulkan gangguan berkala yang dilaporkan sebagai masalah VPN.

Apa yang terjadi saat terowongan putus

Operasi Split sering dibaca sebagai janji bahwa internet lokal tetap bekerja selama terowongan gagal, dan pembacaan itu tidak aman. Perilaku tepatnya bergantung pada mode yang dipilih, firmware, dan perangkat, jadi tempatnya di kriteria penerimaan, bukan dalam asumsi.

Tentukan apa yang masih harus dilakukan cabang tanpa terowongan: menjangkau printer lokal, menyelesaikan nama, menerima pembayaran, atau tidak sama sekali. Lalu uji keadaan itu dengan sengaja dengan memblokir terowongan dan mengamati cabang. Cabang yang diam-diam kehilangan DNS lebih buruk daripada yang gagal dengan berisik, karena panggilan ke helpdesk baru datang berjam-jam kemudian. Tulis hasil pengamatan ke catatan desain.

Ketergantungan pusatnya sama di semua mode: seseorang harus memiliki jalur pemulihan perangkat itu sendiri.

Tulis kontrak cabang sebelum menerapkan

Kontrak cabang cukup satu halaman: pemilik, sumber alamat, prefiks yang diterowongkan, kebijakan akses keluar, dan perilaku pemutusan yang Anda terima.

Lalu verifikasi hasil yang diterapkan, bukan yang dimaksudkan. Periksa alamat klien cabang, gateway bawaannya, prefiks mana yang diselesaikan melalui terowongan, dan apa yang masih menjawab saat terowongan diblokir. Kompatibilitas, keterjangkauan, dan lisensi semuanya perlu diperiksa terhadap dokumentasi vendor terkini untuk model yang tepat, karena nama produk tidak menjamin sebuah mode. Simpan halaman itu bersama catatan perangkat agar insinyur berikutnya mewarisi keputusan, bukan diagram.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Ulangi blok itu dengan terowongan diblokir, dan selisih antara kedua eksekusi adalah perilaku pemutusan yang benar-benar Anda beli.