Филиалдын ички тармагын башкы кеңседеги SonicWall интернет чыгуусу аркылуу багыттоо

Филиалдын телефондору башкы кеңсе аркылуу чыгышы керек, ал эми филиалдын ноутбуктары жергиликтүү WANды колдонууну улантат, жана жалгыз маршруттоо саясаты муну камсыз кылбайт. Филиалдын маршруту туннелди тандай алат, бирок туннель саясаты трафикти кабыл алышы керек, башкы кеңсе аны багыттап, которушу керек, ал эми жооп ошол эле жол менен кайтышы керек. Ушул үчөөнүн бирин өткөрүп алсаңыз, симптом туннель иштеп турганда так интернетин жоготкон кардарлардын ички тобу болот.

Селектордон баштаңыз, маршруттан эмес

Маршруттоо саясаты булак боюнча дал келет, ошондуктан булак башка нерседен мурун туруктуу болушу керек. Тандалган түзмөктөрдү администратор кармаган даректер тобуна же андан жакшыраак, мүчөлүгү түзмөктүн ролуна ээрчиген атайын сегментке жайгаштырыңыз. Кадимки DHCP алмашуу дал келген даректи башка машинага жылдыра алганда, саясат үнсүз туура эмес кардарды тандайт, ал эми биринчи билдирүү адатта жайкы серептөө тууралуу болот, ал чындыгында айланма жол.

Топту ал кызмат кылган саясаттын аты менен атаңыз, кабат же бөлүм менен эмес, анткени маршрут эрежеси экөөнөн да узак жашайт. Анда кайсы түзмөктөр бар жана ким бирөөнү кошо аларын жазып коюңуз.

Филиалдын саясатын кошуңуз, анан анын тартибин коргоңуз

Филиалдын SonicWallында маршрут саясаты булак тобун тандайт, көздөлгөн багыттоолорду атайт жана туннель интерфейсин шлюз катары коёт, колдоого алынган туннель интерфейсинин дизайны так ушунун үчүн бар. Жергиликтүү жана жеке багыттоо эрежелерин кең интернет эрежесинин үстүндө кармаңыз, анткени биринчи дал келүү жеңет жана туннелге түртүлгөн жеке префикс башкы кеңсеге такыр ташталуу үчүн жетет. Файрволдун өзүнүн VPN шеригине маршрутун да сактаңыз, болбосо туннель транспорту ал көз каранды болгон саясатка ээрчийт. Мунун эч бири сизди бардык учурдагы саясатка негизделген туннелди айландырууга мажбурлабайт; туннель интерфейси бир нече колдоого алынган тандоонун бири.

Тартип — кокустан өзгөрүүчү бөлүк. Эрекшелик кошкон адам аны кең эреженин үстүнө коюшу керек, ал эми кең эрежени оңдогон адам бир сактоо менен бүткүл долбоорду оодара алат. Көздөлгөн тартипти саясаттын жанына жазып, микропрограмма жаңыртууларынан кийин кайра текшериңиз, анткени интерфейс аттары жана саясат көрсөтүүсү чыгарылыштар арасында чынында эле өзгөрөт.

Жолду башкы кеңседе аяктаңыз

Башкы кеңседеги туннель саясаты эми филиалдын маршруту тандаган трафикти кабыл алышы керек. Башкы кеңсенин жеке LANына чектелген кеңселер аралык селектор эркин коомдук багыттоолорду ташууга уруксат эмес, ошондуктан саясатка филиалдын булагы жана сиз чындап көздөгөн багыттоо диапазону керек. Андан кийин башкы кеңсе келген трафикти өзүнүн кирүү эрежелери боюнча интернет-аплинкине багыттайт, ал эми SonicWallдын борбордук чыгуу мисалы борбордук WANда алыскы тармак үчүн булак котормосун камтыйт. Бул котормо болбосо, алыскы тарап жеке филиал дарегин көрөт жана ага кайтуу маршруту жок.

Жооптор келишимдин экинчи жарымы. Алар туннель аркылуу же алар үчүн түзүлгөн абалдуу котормо аркылуу кайтышы керек, ал эми жеке сайттардын трафиги коомдук чыгуудан башка NAT иштетүүнү талап кылышы мүмкүн. Бул эрежелерди айырмалоого боло тургандай кармаңыз, анткени ар бир ички булакты жашырган бир кең котормо эрежеси кийинки журналдоо жана көйгөйдү чечүүнү окууга бир кыйла кыйындатат.

Туннель кулаганда топ эмне кыларын чечиңиз

Эгер борбордук чыгуу тандоо эмес, талап болсо, жергиликтүү WANга кайтуу колдонуучулар онлайн бойдон калса да шайкештик бузулушу болуп саналат. SonicOS туннель интерфейсин таштоочу маршрутту тандалган трафиктин күтүлбөгөн альтернативдик жолго түшүүсүнө жол бербөөнүн колдоого алынган жолу катары документтештирет.

Ошол маршруттун камтылышын жана артыкчылыгын орнотулган чыгарылышка шайкештештирип, белгиге ишенүүнүн ордуна туннелди түшүрүү менен текшериңиз. Эч качан жергиликтүү чыкпоого тийиш болгон топ жабык түрдө ишке ашпашы керек, ал эми жеткиликтүүлүк маанилүүрөөк болгон топ мыйзамдуу түрдө кайта алат; экөө тең чечим, жана экөө тең демейки боюнча болбошу керек.

Үч кардардан текшерип, анан таза кайтарыңыз

Борбордук шлюзга ping туура эмес нерсени текшерет, анткени ал тандалган кардардан эмес, файрволдон чыгат. Анын ордуна түзмөктөрдөн текшериңиз жана алардын үчөөнү текшериңиз: тандалган түзмөк, жергиликтүү бойдон калышы керек болгон кадимки түзмөк жана жергиликтүү кызматтарга көз каранды болгон бирөө.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Коомдук сурам чындап кайдан пайда болгонун салыштырыңыз. Тандалган кардар интернетке башкы кеңсенин чыгуусу аркылуу жетиши керек, ал эми кадимки кардар алыскы тарапта филиалдын өз дарегин көрсөтүп турушу керек; 203.0.113.10 сизге маанилүү болгон багыттоонун ордуна колдонулган документтик дарек. DNSти ошол эле өтүүгө кошуңуз, анткени филиалдын чечүүчүсүнөн сураган кардар маршрутизатордон чыккан башка булактагы издөөнү жана ошого байланыштуу башка маршрутту жаратышы мүмкүн.

Кайтаруу — сакталган саясат тартиби жана даректер тобу. Мурунку тартипти калыбына келтириңиз, топту саясаттан алып салыңыз жана эки түзмөк классын кайра текшериңиз. Экспорттолгон конфигурацияны өзгөртүү жазуусу менен бирге сактаңыз, анткени кийинки инженер кайсы эреже кең болгонун билиши керек, бирөө аны оңдогонго чейин.