拠点ネットワークに合うSophos REDのモードはどれか

Sophos REDはVPNプロトコルではなく遠隔拠点の役割であり、だからこそIPsecやOpenVPNと比べても的外れな問いに答えることになります。装置は中央ファイアウォールの制御を拠点へ広げ、選んだモードが、拠点のゲートウェイを誰が用意するか、アドレスを誰が配るか、どの通信がトンネルを通るかを決めます。この三つの答えはモード名より重いものです。先に書き出しておけば、製品の選択が設計の判断に変わります。

REDは役割であり、プロトコルではない

RED装置は拠点を中央のSophos Firewallに接続し、その拠点が何になるかはファイアウォールの設定が決めます。トンネルはその接続の実装上の詳細であり、任意の相手に向けられる汎用のVPN端点ではありません。

この捉え方が重要になるのは、REDが任意のIPsec相手と入れ替え可能ではないからです。中央ファイアウォールが管理することを前提としており、対応モードは拠点のどこまでを引き受けるかを表します。単なるトンネルの端点として扱うと、製品が決して約束していない期待を生みます。役割として扱えば、設計を実際に決める問いが出てきます。

以下の三つの条件が答えを変え、いずれも暗号化ではなく所有権に関わります。

モードを決める三つの条件

拠点のゲートウェイを誰が持つか、拠点のクライアントのためにDHCPとDNSを誰が動かすか、トンネルが切れてもローカルのインターネット出口を維持する必要があるかを尋ねます。

Standard/Unifiedは、中央ファイアウォールがゲートウェイとDHCPの役割を含めて拠点のLANを持ち、通信はトンネルを通るという形で三つすべてに同じ答えを出します。Standard/Splitは中央管理を保ち、設定したネットワークだけをトンネルへ送ります。Transparent/Splitは既存の拠点ネットワークに自前のゲートウェイとアドレスを任せ、選んだ通信だけをトンネルへ振り向けます。三つのモード、三つの異なる所有者です。

トンネルが消えたときに拠点のどこまでが動くかを決めるのは中央の列なので、まずそこを読んでください。

拠点のゲートウェイとDHCPを誰が持つか

統合型の配置では拠点に独立したゲートウェイがなく、設定が単純になり、障害が一箇所に集中します。拠点が小さく、中央ファイアウォールの可用性が高いなら、その集中は問題ありません。

透過型の導入では拠点が自前のルーターを保ち、選んだ通信を振り向けるためにREDが経路の途中に座ります。これによりローカルの制御が保たれ、経路上の位置が振り向ける通信すべてにとって意味を持つ装置が加わります。後から拠点のルーターを変えると気づかないうちに迂回されることがあるので、どこに座るかを記録してください。どちらの配置が一般に優れているわけではなく、責任の配分が違うだけです。

書き留めるべきなのはアドレスの所有権で、同じセグメントにDHCPサーバーが二つあると断続的な不具合が起き、それがVPNの問題として報告されます。

トンネルが落ちたときに何が起きるか

Split運用は、トンネル障害の間もローカルのインターネットが動き続けるという約束として読まれがちですが、その読み方は安全ではありません。実際の振る舞いは選んだモード、ファームウェア、装置によって変わるので、前提ではなく受け入れ基準に置くべきものです。

トンネルなしで拠点がまだ果たすべきことを、ローカルのプリンターに届くこと、名前を解決すること、支払いを受け付けること、あるいは何もしないことの中から決めます。次に、トンネルを遮断して拠点を観察し、その状態を意図的に試します。DNSを静かに失う拠点は、ヘルプデスクへの連絡が何時間も後になってから届くため、大きな音を立てて失敗する拠点より悪いものです。観察した結果を設計記録に書きます。

中央への依存はどのモードでも同じで、装置そのものの復旧経路を誰かが持たなければなりません。

導入の前に拠点の契約を書く

拠点の契約は、所有者、アドレスの出所、トンネルを通すプレフィックス、出口の方針、そして受け入れた障害時の振る舞いという形で一枚に収まります。

そのうえで、意図した結果ではなく導入した結果を検証します。拠点クライアントのアドレス、既定のゲートウェイ、どのプレフィックスがトンネル経由で解決されるか、トンネルを遮断したときに何がまだ応答するかを確認します。互換性、到達性、ライセンスはどれも、製品名がモードを保証しない以上、正確な機種についてベンダーの現行文書と突き合わせる必要があります。その一枚を装置の記録と一緒に残し、次の技術者が図ではなく判断を受け継げるようにします。

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

トンネルを遮断した状態でそのブロックを繰り返すと、二回の差が実際に買った障害時の振る舞いです。