지점 네트워크에 어떤 Sophos RED 모드가 맞을까?

Sophos RED는 VPN 프로토콜이 아니라 원격 사이트의 역할이며, 그래서 IPsec이나 OpenVPN과 비교하면 잘못된 질문에 답하게 됩니다. 이 장치는 중앙 방화벽의 통제를 지점으로 확장하고, 선택한 모드는 지점 게이트웨이를 누가 제공하는지, 주소를 누가 나눠 주는지, 어떤 트래픽이 터널을 지나는지를 결정합니다. 이 세 가지 답이 모드 이름보다 중요합니다. 이것을 먼저 적어 두면 제품 선택이 설계 결정으로 바뀝니다.

RED는 역할이지 프로토콜이 아니다

RED 장치는 지점을 중앙 Sophos Firewall에 연결하고, 그 지점이 무엇이 되는지는 방화벽 구성이 정합니다. 터널은 그 연결의 구현 세부 사항이며, 아무 상대에게나 겨눌 수 있는 범용 VPN 종단점이 아닙니다.

이 틀이 중요한 이유는 RED가 임의의 IPsec 상대와 맞바꿀 수 있는 것이 아니기 때문입니다. 중앙 방화벽이 자신을 관리하기를 기대하며, 지원되는 모드는 지점의 어느 부분까지 맡는지를 설명합니다. 평범한 터널 종단점으로 다루면 제품이 한 번도 약속하지 않은 기대를 만듭니다. 역할로 다루면 설계를 실제로 결정하는 질문이 나옵니다.

아래 세 조건이 답을 바꾸며, 모두 암호화가 아니라 소유권에 관한 것입니다.

모드를 고르는 세 조건

지점 게이트웨이를 누가 소유하는지, 지점 클라이언트를 위해 DHCP와 DNS를 누가 운영하는지, 그리고 터널이 끊겨도 로컬 인터넷 출구가 살아 있어야 하는지를 물으십시오.

Standard/Unified는 중앙 방화벽이 게이트웨이와 DHCP 임무를 포함해 지점 LAN을 소유하고 트래픽이 터널을 지난다고 셋 모두에 같은 방식으로 답합니다. Standard/Split은 중앙 관리를 유지하고 구성된 네트워크만 터널로 보냅니다. Transparent/Split은 기존 지점 네트워크가 자기 게이트웨이와 주소를 맡게 하고 선택된 트래픽만 터널로 돌립니다. 세 가지 모드, 세 가지 소유자입니다.

터널이 사라졌을 때 지점의 어느 부분이 아직 동작하는지를 정하는 것은 가운데 열이므로 먼저 그것을 읽으십시오.

지점 게이트웨이와 DHCP의 소유자

통합 배치에서는 지점에 독립된 게이트웨이가 없어 구성이 단순해지고 장애가 한곳에 모입니다. 지점이 작고 중앙 방화벽의 가용성이 높다면 그 집중은 괜찮습니다.

투명 배치에서는 지점이 자체 라우터를 유지하고 RED가 경로에 들어가 선택된 트래픽을 돌립니다. 이는 로컬 통제를 지키고, 경로상의 위치가 이제 모든 우회 트래픽에 중요해진 장치를 더합니다. 나중에 지점 라우터를 바꾸면 조용히 그것을 지나칠 수 있으므로 어디에 놓이는지 문서화하십시오. 어느 배치도 일반적으로 이기지 않으며, 책임을 다르게 나눌 뿐입니다.

적어 두어야 할 부분은 주소 소유권인데, 같은 세그먼트에 DHCP 서버가 둘이면 간헐적 고장이 생기고 그것이 VPN 문제로 보고되기 때문입니다.

터널이 끊기면 무슨 일이 생기는가

Split 운용은 터널 장애 중에도 로컬 인터넷이 계속 동작한다는 약속으로 자주 읽히지만, 그 해석은 안전하지 않습니다. 정확한 동작은 선택한 모드와 펌웨어와 장치에 달려 있으므로, 가정이 아니라 인수 기준에 들어가야 합니다.

터널 없이 지점이 아직 해야 할 일을 로컬 프린터에 닿기, 이름 해석, 결제 받기, 또는 아무것도 하지 않기 중에서 정하십시오. 그다음 터널을 막고 지점을 관찰해 그 상태를 일부러 시험하십시오. DNS를 조용히 잃는 지점은 헬프데스크 연락이 몇 시간 뒤에 오기 때문에 크게 실패하는 지점보다 나쁩니다. 관찰한 결과를 설계 기록에 적으십시오.

중앙 의존성은 모든 모드에서 같아서, 누군가는 장치 자체의 복구 경로를 가져야 합니다.

배포 전에 지점 계약을 적으십시오

지점 계약은 소유자, 주소 원천, 터널로 보내는 프리픽스, 출구 정책, 그리고 받아들인 장애 동작을 담아 한 장에 들어갑니다.

그다음 의도한 결과가 아니라 배포된 결과를 검증하십시오. 지점 클라이언트의 주소, 기본 게이트웨이, 어떤 프리픽스가 터널을 통해 해석되는지, 터널이 막혔을 때 무엇이 아직 응답하는지를 확인하십시오. 제품 이름이 모드를 보장하지 않기 때문에 호환성과 도달성과 라이선스는 모두 정확한 모델에 대해 공급업체의 현행 문서와 대조해야 합니다. 그 한 장을 장치 기록과 함께 두어 다음 엔지니어가 도면이 아니라 결정을 물려받게 하십시오.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

터널을 막은 상태에서 그 블록을 다시 돌려 보면, 두 번의 차이가 실제로 산 장애 동작입니다.