Sophos RED қай режимі филиал желіңізге сай келеді?
RED — қашықтағы нысанның рөлі, протокол емес. Филиал шлюзі мен DHCP кімге тиесілі екеніне қарай Standard/Unified, Standard/Split немесе Transparent/Split таңдаңыз.
Sophos RED — VPN протоколы емес, қашықтағы нысанның рөлі, сондықтан оны IPsec немесе OpenVPN-мен салыстыру дұрыс емес сұраққа жауап береді. Құрылғы орталық фаерволдың бақылауын филиалға таратады, ал таңдаған режиміңіз филиал шлюзін кім ұсынатынын, мекенжайларды кім тарататынын және қандай трафик туннельден өтетінін анықтайды. Бұл үш жауап режим атауларынан маңыздырақ. Оларды алдын ала жазып қою өнім таңдауын жобалау шешіміне айналдырады.
RED — рөл, протокол емес
RED құрылғысы филиалды орталық Sophos Firewall-ға қосады, ал филиалдың неге айналатынын фаервол конфигурациясы анықтайды. Туннель — осы қосылудың іске асыру бөлшегі, кез келген әріптеске бағыттауға болатын жалпы мақсаттағы VPN шеткі нүктесі емес.
Бұл тұжырым маңызды, өйткені RED кез келген IPsec әріптесімен алмастырылмайды. Ол орталық фаерволдың оны басқаруын күтеді, ал қолдау көрсетілетін режимдер филиалдың қанша бөлігін өзіне алатынын сипаттайды. Оны қарапайым туннель шеткі нүктесі ретінде қарау өнім ешқашан уәде етпеген күтулер тудырады. Оны рөл ретінде қарау жобалауды шын мәнінде анықтайтын сұрақтарды туғызады.
Төмендегі үш шарт жауапты өзгертеді және олардың барлығы шифрлауға емес, меншікке қатысты.
Режимді таңдайтын үш шарт
Филиал шлюзі кімге тиесілі, филиал клиенттері үшін DHCP мен DNS-ті кім жүргізеді және жергілікті интернет шығысы туннель үзілуіне төтеп беруі керек пе, соны сұраңыз.
Standard/Unified үшеуіне де бірдей жауап береді: филиалдың жергілікті желісі, оның ішінде шлюз бен DHCP міндеттері орталық фаерволға тиесілі, ал трафик туннельден өтеді. Standard/Split орталық басқаруды сақтайды және туннельден тек конфигурацияланған желілерді жібереді. Transparent/Split қолданыстағы филиал желісіне өз шлюзі мен мекенжайларын басқаруға мүмкіндік береді және туннельге тек таңдалған трафикті бағыттайды. Үш режим, үш түрлі иесі.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Алдымен ортаңғы бағанды оқыңыз, өйткені туннель жоғалған кезде филиалдың қанша бөлігі әлі жұмыс істейтінін сол анықтайды.
Филиал шлюзі мен DHCP кімге тиесілі
Біріккен орналасуда филиалдың дербес шлюзі жоқ, бұл конфигурацияны жеңілдетеді және ақауды бір жерге шоғырландырады. Филиал шағын болса және орталық фаервол жоғары қолжетімділікте болса, бұл шоғырлану қалыпты.
Мөлдір орналастыруда филиал өз маршрутизаторын сақтайды және таңдалған трафикті бағыттау үшін RED жолға отырады. Бұл жергілікті бақылауды сақтайды және жолдағы орны енді әр бағытталған ағын үшін маңызды құрылғы қосады. Оның қайда отыратынын құжаттаңыз, өйткені филиал маршрутизаторының кейінгі өзгерісі оны үнсіз айналып өтуі мүмкін. Екі орналасудың да жалпы артықшылығы жоқ; олар жауапкершілікті әртүрлі бөледі.
Мекенжай меншігі жазылуға тиісті бөлік, өйткені бір сегменттегі екі DHCP сервері VPN мәселесі ретінде хабарланатын үзілісті ақаулар тудырады.
Туннель ажырағанда не болады
Split жұмысы жиі туннель ақауы кезінде жергілікті интернет жұмысын жалғастырады деген уәде ретінде оқылады, бұл оқу қауіпсіз емес. Нақты әрекет таңдалған режимге, микробағдарламаға және құрылғыға байланысты, сондықтан оның орны қабылдау өлшемшарттарында, болжамда емес.
Туннельсіз филиал әлі не істеуі керегін шешіңіз: жергілікті принтерлерге жету, атауларды шешу, төлем қабылдау немесе мүлде ештеңе. Содан кейін сол күйді әдейі тексеріңіз: туннельді бұғаттап, филиалды бақылаңыз. DNS-ті үнсіз жоғалтатын филиал қатты дауыспен істен шыққаннан жаман, өйткені қолдау қызметіне қоңырау сағаттар өткен соң келеді. Бақыланған нәтижені жобалау жазбасына жазыңыз.
Орталық тәуелділік барлық режимде бірдей: біреу құрылғының өзінің қалпына келтіру жолына ие болуы керек.
Орналастыруға дейін филиал шартын жазыңыз
Филиал шарты бір бетке сыяды: иелері, мекенжай көздері, туннельден өтетін префикстер, шығыс саясаты және қабылдаған үзіліс әрекеті.
Содан кейін көзделгенді емес, орналастырылған нәтижені тексеріңіз. Филиал клиентінің мекенжайын, оның әдепкі шлюзін, қай префикстер туннель арқылы шешілетінін және туннель бұғатталған кезде әлі не жауап беретінін тексеріңіз. Үйлесімділік, қолжетімділік және лицензиялау барлығы нақты модель үшін жеткізушінің ағымдағы құжаттамасымен салыстырылуы керек, өйткені өнім атауы режимге кепілдік бермейді. Сол бетті құрылғы жазбасымен бірге сақтаңыз, сонда келесі инженер схеманы емес, шешімдерді мұраға алады.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleТуннель бұғатталған күйде сол блокты қайталаңыз, ал екі іске қосу арасындағы айырма — сіз шын мәнінде сатып алған үзіліс әрекеті.