Филиалдың ішкі желісін бас кеңсенің SonicWall интернет шығысы арқылы бағыттау

Филиалдың бастау тобын таңдап, оны туннель саясатында қабылдап, орталық WAN-да аударып, содан кейін үш клиентті тексеріңіз. Тек маршрут шлюз жасамайды.

Филиал телефондары бас кеңсе арқылы шығуы керек, ал филиал ноутбуктары жергілікті WAN-ды пайдалануды жалғастырады, және тек маршруттау саясаты оны қамтамасыз етпейді. Филиал маршруты туннельді таңдай алады, бірақ туннель саясаты трафикті қабылдауы керек, бас кеңсе оны қайта бағыттап, аударуы керек, ал жауап сол жолмен қайтуы керек. Осы үшеуінің бірін өткізіп алсаңыз, симптом туннель қосылып тұрғанда дәл интернетін жоғалтатын клиенттердің ішкі жиыны болады.

Селектордан бастаңыз, маршруттан емес

Маршруттау саясаты бастауға сәйкес келеді, сондықтан бастау кез келген нәрседен бұрын тұрақты болуы керек. Таңдалған құрылғыларды әкімші ұстайтын мекенжай тобына немесе одан да жақсысы, мүшелігі құрылғы рөліне ілесетін арнайы сегментке орналастырыңыз. Қарапайым DHCP ауысуы сәйкес мекенжайды басқа машинаға жылжыта алғанда, саясат үнсіз қате клиентті таңдайды, ал бірінші хабарлама әдетте баяу шолу туралы болады, ол шын мәнінде айналма жол.

Топты ол қызмет ететін саясаттың атымен атаңыз, қабат немесе бөліммен емес, өйткені маршрут ережесі екеуінен де ұзақ өмір сүреді. Онда қандай құрылғылар бар және кім біреуін қоса алатынын жазып қойыңыз.

Филиал саясатын қосыңыз, содан кейін оның ретін қорғаңыз

Филиалдың SonicWall-ында маршрут саясаты бастау тобын таңдайды, мақсатты тағайындауларды атайды және туннель интерфейсін шлюз ретінде орнатады, қолдау көрсетілетін туннель интерфейсінің дизайны дәл осы үшін бар. Жергілікті және жеке тағайындаулар ережелерін кең интернет ережесінен жоғары ұстаңыз, өйткені бірінші сәйкестік жеңеді, ал туннельге итерілген жеке префикс бас кеңсеге тек тасталу үшін жетеді. Файрволдың өз VPN серіктесіне маршрутын да сақтаңыз, әйтпесе туннель тасымалы ол тәуелді саясатқа ілеседі. Мұның ешқайсысы сізді барлық қолданыстағы саясатқа негізделген туннельді түрлендіруге мәжбүрлемейді; туннель интерфейсі бірнеше қолдау көрсетілетін таңдаудың бірі.

Рет — кездейсоқ өзгеретін бөлік. Ерекшелік қосатын адам оны кең ереженің үстіне қоюы керек, ал кең ережені өңдейтін адам бір сақтаумен бүкіл дизайнды төңкере алады. Көздеген ретті саясаттың жанына жазып, микробағдарлама жаңартуларынан кейін қайта тексеріңіз, өйткені интерфейс атаулары мен саясат көрсетілімі шығарылымдар арасында шынымен өзгереді.

Жолды бас кеңседе аяқтаңыз

Бас кеңседегі туннель саясаты енді филиал маршруты таңдайтын трафикті қабылдауы керек. Бас кеңсенің жеке LAN-ына шектелген кеңсеаралық селектор еркін жалпыға ортақ тағайындауларды тасымалдауға рұқсат емес, сондықтан саясатқа филиалдың бастауы және сіз шынымен көздеген тағайындау ауқымы қажет. Содан кейін бас кеңсе кірген трафикті өз қатынау ережелері бойынша интернет-аплинкіне қайта бағыттайды, ал SonicWall-дың орталық шығыс мысалы орталық WAN-да қашықтағы желі үшін бастау аудармасын қамтиды. Бұл аудармасыз қашықтағы жақ жеке филиал мекенжайын көреді және оған қайту маршруты жоқ.

Жауаптар келісімнің екінші жартысы. Олар туннель арқылы немесе олар үшін жасалған күйлі аударма арқылы қайтуы керек, ал жеке сайттардың трафигі жалпыға ортақ шығыстан өзгеше NAT өңдеуін қажет етуі мүмкін. Бұл ережелерді ажыратылатын күйде ұстаңыз, өйткені әрбір ішкі бастауды жасыратын бір кең аударма ережесі кейінгі журналдау мен ақаулықтарды жоюды оқуды әлдеқайда қиындатады.

Туннель құлағанда топ не істейтінін шешіңіз

Егер орталық шығыс таңдау емес, талап болса, жергілікті WAN-ға қайту пайдаланушылар желіде қалса да сәйкестік ақауы болып табылады. SonicOS туннель интерфейсін тастайтын маршрутты таңдалған трафиктің күтпеген балама жолға түсуін болдырмаудың қолдау көрсетілетін тәсілі ретінде құжаттайды.

Осы маршруттың ауқымы мен басымдығын орнатылған шығарылымға сәйкестендіріп, оны белгіге сену орнына туннельді төмендету арқылы тексеріңіз. Ешқашан жергілікті шықпауы керек топ жабық түрде сәтсіздікке ұшырауы керек, ал қолжетімділік маңыздырақ топ заңды түрде қайта орала алады; екеуі де шешім, және ешқайсысы әдепкі бойынша болмауы керек.

Үш клиенттен тексеріңіз, содан кейін таза қайтарыңыз

Орталық шлюзге ping дұрыс емес нәрсені тексереді, өйткені ол таңдалған клиенттен емес, файрволдан шығады. Оның орнына құрылғылардан тексеріңіз және олардың үшеуін тексеріңіз: таңдалған құрылғы, жергілікті қалуы керек қарапайым құрылғы және жергілікті қызметтерге тәуелді біреуі.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Жалпыға ортақ сұрау шын мәнінде қайдан шыққанын салыстырыңыз. Таңдалған клиент интернетке бас кеңсенің шығысы арқылы жетуі керек, ал қарапайым клиент қашықтағы жақта өз филиалының мекенжайын көрсетуі керек; 203.0.113.10 сізге маңызды тағайындаудың орнына қолданылатын құжаттама мекенжайы. DNS-ті сол өтуге қосыңыз, өйткені филиал шешушісінен сұрайтын клиент маршрутизатордан шыққан іздеуді басқа бастаумен және сол себепті басқа маршрутпен тудыруы мүмкін.

Қайтару — сақталған саясат реті және мекенжай тобы. Алдыңғы ретті қалпына келтіріңіз, топты саясаттан алып тастаңыз және екі құрылғы сыныбын қайта тексеріңіз. Экспортталған конфигурацияны өзгеріс жазбасымен бірге сақтаңыз, өйткені келесі инженер қандай ереже кең болғанын білуі керек, біреу оны өңдегенге дейін.

Қатысты мақалалар