Sophos RED-ის რომელი რეჟიმი შეესაბამება თქვენი ფილიალის ქსელს?
RED დისტანციური უბნის როლია და არა პროტოკოლი. აირჩიეთ Standard/Unified, Standard/Split ან Transparent/Split იმის მიხედვით, თუ ვის ეკუთვნის ფილიალის კარიბჭე და DHCP.
Sophos RED დისტანციური უბნის როლია და არა VPN პროტოკოლი, ამიტომ მისი შედარება IPsec-თან ან OpenVPN-თან არასწორ კითხვას პასუხობს. მოწყობილობა ცენტრალური ფაირვოლის კონტროლს ფილიალზე ავრცელებს, და არჩეული რეჟიმი განსაზღვრავს, ვინ ამარაგებს ფილიალის კარიბჭეს, ვინ ანაწილებს მისამართებს და რომელი ტრაფიკი გადის გვირაბში. ეს სამი პასუხი რეჟიმების სახელებზე მეტად მნიშვნელოვანია. მათი წინასწარ ჩაწერა პროდუქტის არჩევანს დიზაინის გადაწყვეტილებად აქცევს.
RED როლია და არა პროტოკოლი
RED მოწყობილობა ფილიალს ცენტრალურ Sophos Firewall-ს უერთებს, და ფაირვოლის კონფიგურაცია განსაზღვრავს, რა გახდება ფილიალი. გვირაბი ამ შეერთების განხორციელების დეტალია და არა ზოგადი დანიშნულების VPN საბოლოო წერტილი, რომელიც ნებისმიერი პარტნიორისკენ შეიძლება იყოს მიმართული.
ეს ჩარჩო მნიშვნელოვანია, რადგან RED არ არის ურთიერთშემცვლელი თვითნებურ IPsec პარტნიორთან. ის ელოდება, რომ ცენტრალური ფაირვოლი მართავს მას, და მხარდაჭერილი რეჟიმები აღწერენ, ფილიალის რა ნაწილს იღებს ის საკუთარ თავზე. მისი ჩვეულებრივ გვირაბის საბოლოო წერტილად განხილვა ქმნის მოლოდინებს, რომლებიც პროდუქტს არასოდეს დაუპირებია. მისი როლად განხილვა წარმოშობს კითხვებს, რომლებიც ნამდვილად განსაზღვრავს დიზაინს.
ქვემოთ მოცემული სამი პირობა ცვლის პასუხს, და ყველა მათგანი საკუთრებას ეხება და არა დაშიფვრას.
სამი პირობა, რომლებიც რეჟიმს ირჩევს
იკითხეთ, ვის ეკუთვნის ფილიალის კარიბჭე, ვინ უშვებს DHCP-ს და DNS-ს ფილიალის კლიენტებისთვის, და უნდა გადაიტანოს თუ არა ლოკალურმა ინტერნეტ გასასვლელმა გვირაბის გათიშვა.
Standard/Unified სამივეს ერთნაირად პასუხობს: ცენტრალური ფაირვოლი ფლობს ფილიალის ლოკალურ ქსელს, მათ შორის კარიბჭის და DHCP-ის მოვალეობებს, და ტრაფიკი გვირაბში გადის. Standard/Split ინარჩუნებს ცენტრალურ მართვას და გვირაბში მხოლოდ კონფიგურირებულ ქსელებს აგზავნის. Transparent/Split არსებულ ფილიალის ქსელს უტოვებს საკუთარ კარიბჭეს და მისამართებს, და გვირაბში მხოლოდ შერჩეულ ტრაფიკს ამისამართებს. სამი რეჟიმი, სამი სხვადასხვა მფლობელი.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
ჯერ შუა სვეტი წაიკითხეთ, რადგან ის განსაზღვრავს, ფილიალის რა ნაწილი მუშაობს ჯერ კიდევ, როცა გვირაბი აღარ არის.
ვის ეკუთვნის ფილიალის კარიბჭე და DHCP
გაერთიანებულ განლაგებაში ფილიალს დამოუკიდებელი კარიბჭე არ აქვს, რაც ამარტივებს კონფიგურაციას და ცენტრავს წარუმატებლობას. ეს ცენტრაცია ნორმალურია, როცა ფილიალი პატარაა და ცენტრალურ ფაირვოლს მაღალი ხელმისაწვდომობა აქვს.
გამჭვირვალე განლაგებაში ფილიალი ინარჩუნებს საკუთარ როუტერს და RED გზაზე ჯდება შერჩეული ტრაფიკის გადამისამართებისთვის. ეს ინარჩუნებს ლოკალურ კონტროლს და ამატებს მოწყობილობას, რომლის ადგილს გზაზე ახლა მნიშვნელობა აქვს ყოველი გადამისამართებული ნაკადისთვის. ჩაწერეთ, სად ზის, რადგან ფილიალის როუტერის მოგვიანებით ცვლილებამ შეიძლება ჩუმად გვერდი აუაროს მას. არც ერთი განლაგება არ იმარჯვებს საერთოდ; ისინი პასუხისმგებლობას სხვადასხვაგვარად ანაწილებს.
მისამართების საკუთრება ის ნაწილია, რომელიც უნდა ჩაიწეროს, რადგან ერთ სეგმენტზე ორი DHCP სერვერი წარმოშობს წყვეტილ გაუმართაობებს, რომლებიც VPN პრობლემად მოხსენდება.
რა ხდება, როცა გვირაბი ვარდება
Split რეჟიმის მუშაობა ხშირად იკითხება როგორც დაპირება, რომ ლოკალური ინტერნეტი გვირაბის გაუმართაობის დროს განაგრძობს მუშაობას, და ეს კითხვა უსაფრთხო არ არის. ზუსტი ქცევა დამოკიდებულია არჩეულ რეჟიმზე, პროგრამულ უზრუნველყოფაზე და მოწყობილობაზე, ამიტომ მისი ადგილი მიღების კრიტერიუმებშია და არა ვარაუდში.
გადაწყვიტეთ, რა უნდა გააკეთოს ფილიალმა გვირაბის გარეშე: მიაღწიოს ლოკალურ პრინტერებს, ამოხსნას სახელები, მიიღოს გადახდები, ან საერთოდ არაფერი. შემდეგ ეს მდგომარეობა განზრახ შეამოწმეთ გვირაბის დაბლოკვით და ფილიალზე დაკვირვებით. ფილიალი, რომელიც ჩუმად კარგავს DNS-ს, უარესია, ვიდრე ის, რომელიც ხმამაღლა ვარდება, რადგან მხარდაჭერის ზარი საათების შემდეგ მოდის. დაკვირვებული შედეგი დიზაინის ჩანაწერში ჩაწერეთ.
ცენტრალური დამოკიდებულება ყველა რეჟიმში ერთია: ვიღაცამ უნდა ფლობდეს თავად მოწყობილობის აღდგენის გზას.
ჩაწერეთ ფილიალის ხელშეკრულება განლაგებამდე
ფილიალის ხელშეკრულება ერთ გვერდზე ეტევა: მფლობელები, მისამართების წყაროები, გვირაბში გამავალი პრეფიქსები, გასასვლელის პოლიტიკა და მიღებული გათიშვის ქცევა.
შემდეგ შეამოწმეთ განლაგებული შედეგი და არა ჩაფიქრებული. შეამოწმეთ ფილიალის კლიენტის მისამართი, მისი ნაგულისხმევი კარიბჭე, რომელი პრეფიქსები იხსნება გვირაბით და რა პასუხობს ჯერ კიდევ, როცა გვირაბი დაბლოკილია. თავსებადობა, ხელმისაწვდომობა და ლიცენზირება ყველა უნდა შემოწმდეს მომწოდებლის მიმდინარე დოკუმენტაციასთან ზუსტი მოდელისთვის, რადგან პროდუქტის სახელი რეჟიმს არ იძლევა გარანტიას. შეინახეთ ეს გვერდი მოწყობილობის ჩანაწერთან, რომ შემდეგმა ინჟინერმა გადაწყვეტილებები მემკვიდრეობით მიიღოს და არა სქემა.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleგაიმეორეთ ეს ბლოკი დაბლოკილი გვირაბით, და ორ გაშვებას შორის სხვაობა არის ის გათიშვის ქცევა, რომელიც თქვენ ნამდვილად იყიდეთ.