Sophos RED'дин кайсы режими филиалыңыздын тармагына ылайыктуу?

Sophos RED — VPN протоколу эмес, алыскы объектинин ролу, ошондуктан аны IPsec же OpenVPN менен салыштыруу туура эмес суроого жооп берет. Түзмөк борбордук фаерволдун көзөмөлүн филиалга жайылтат, ал эми тандаган режимиңиз филиалдын шлюзун ким камсыздайт, даректи ким бөлүштүрөт жана кайсы трафик тоннелден өтөт деп аныктайт. Бул үч жооп режимдердин аттарынан маанилүү. Аларды алдын ала жазып коюу продукт тандоону долбоорлоо чечимине айландырат.

RED — роль, протокол эмес

RED түзмөгү филиалды борбордук Sophos Firewall менен туташтырат, ал эми филиал эмнеге айланарын фаерволдун конфигурациясы аныктайт. Тоннель — бул туташуунун ишке ашыруу деталы, каалаган өнөктөшкө багыттоого боло турган жалпы максаттагы VPN чектик чекити эмес.

Бул негиздеме маанилүү, анткени RED каалаган IPsec өнөктөшү менен алмашылбайт. Ал борбордук фаерволдун аны башкаруусун күтөт, ал эми колдоого алынган режимдер филиалдын канча бөлүгүн өзүнө аларын сүрөттөйт. Аны кадимки тоннелдин чектик чекити катары кароо продукт эч качан убада кылбаган күтүүлөрдү жаратат. Аны роль катары кароо долбоорлоону чындап аныктаган суроолорду жаратат.

Төмөнкү үч шарт жоопту өзгөртөт жана алардын баары шифрлөөгө эмес, менчикке тиешелүү.

Режимди тандаган үч шарт

Филиалдын шлюзу кимге таандык, филиалдын кардарлары үчүн DHCP жана DNS'ти ким жүргүзөт жана жергиликтүү интернет чыгуусу тоннелдин үзүлүшүнө туруштук бериши керекпи, ошону сураңыз.

Standard/Unified үчөөнө тең бирдей жооп берет: филиалдын жергиликтүү тармагы, анын ичинде шлюз жана DHCP милдеттери борбордук фаерволго таандык, ал эми трафик тоннелден өтөт. Standard/Split борбордук башкарууну сактайт жана тоннелден конфигурацияланган тармактарды гана жөнөтөт. Transparent/Split учурдагы филиал тармагына өз шлюзун жана даректерин башкарууга жол берет жана тоннелге тандалган трафикти гана багыттайт. Үч режим, үч башка ээси.

Алгач ортоңку тилкени окуңуз, анткени тоннель жок болгондо филиалдын канча бөлүгү иштеп жатканын ошол аныктайт.

Филиалдын шлюзу жана DHCP кимге таандык

Бириктирилген жайгашууда филиалдын өзүнчө шлюзу жок, бул конфигурацияны жөнөкөйлөтөт жана бузулушту бир жерге топтойт. Филиал кичине жана борбордук фаервол жогорку жеткиликтүүлүктө болсо, бул топтоо оң.

Ачык жайгаштырууда филиал өз маршрутизаторун сактайт жана тандалган трафикти буруу үчүн RED жолго отурат. Бул жергиликтүү көзөмөлдү сактайт жана жолдогу орду эми ар бир бурулган агым үчүн маанилүү болгон түзмөктү кошот. Анын кайда отурарын документтештириңиз, анткени филиалдын маршрутизаторундагы кийинки өзгөртүү аны үнсүз айланып өтүшү мүмкүн. Эки жайгашуунун тең жалпы артыкчылыгы жок; алар жоопкерчиликти ар башкача бөлүштүрөт.

Даректердин менчиги жазылуучу бөлүк, анткени бир сегменттеги эки DHCP сервери VPN көйгөйү катары билдирилүүчү мезгилдүү бузулуштарды пайда кылат.

Тоннель үзүлгөндө эмне болот

Split иши көп учурда тоннель бузулганда жергиликтүү интернет иштеп жатканы тууралуу убада катары окулат, бирок бул окуу кооптуу. Так жүрүм-турум тандалган режимге, микропрограммага жана түзмөккө көз каранды, ошондуктан анын орду кабыл алуу критерийлеринде, божомолдо эмес.

Тоннелсиз филиал эмне кылышы керектигин чечиңиз: жергиликтүү принтерлерге жетүү, аттарды чечүү, төлөмдөрдү кабыл алуу же эч нерсе. Андан кийин ошол абалды атайын текшериңиз: тоннелди тосуп, филиалды байкаңыз. DNS'ти үнсүз жоготкон филиал катуу үн менен иштен чыккандан жаман, анткени колдоо кызматына чалуу сааттар өткөндөн кийин келет. Байкалган жыйынтыкты долбоорлоо жазуусуна жазыңыз.

Борбордук көз карандылык бардык режимде бирдей: бирөө түзмөктүн өзүнүн калыбына келтирүү жолуна ээ болушу керек.

Жайгаштыруудан мурун филиалдын келишимин жазыңыз

Филиалдын келишими бир баракка батат: ээлери, дарек булактары, тоннелден өтүүчү префикстер, чыгуу саясаты жана кабыл алынган үзүлүш жүрүм-туруму.

Андан кийин көздөлгөндү эмес, жайгаштырылган жыйынтыкты текшериңиз. Филиалдын кардарынын дарегин, анын демейки шлюзун, кайсы префикстер тоннель аркылуу чечилерин жана тоннель тосулганда эмне дагы жооп берерин текшериңиз. Шайкештик, жеткиликтүүлүк жана лицензиялоо бардыгы так модель үчүн жеткирүүчүнүн учурдагы документтери менен салыштырылышы керек, анткени продукттун аталышы режимге кепилдик бербейт. Ошол баракты түзмөктүн жазуусу менен сактаңыз, ошондо кийинки инженер схеманы эмес, чечимдерди мураска алат.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Тоннель тосулган абалда ошол блокту кайталаңыз, ал эми эки иштетүүнүн ортосундагы айырма — сиз чындап сатып алган үзүлүш жүрүм-туруму.