E Filial-Subnetz iwwer den SonicWall-Internetausgang vum Haaptsëtz leeden

Filialtelefone sollten iwwer den Haaptsëtz erausgoen, während Filiallaptopen déi lokal WAN weider benotzen, an d'Routepolitik eleng wäert dat net liwweren. Eng Filialroute kann den Tunnel auswielen, awer d'Tunnelpolitik muss den Traffic akzeptéieren, den Haaptsëtz muss en weiderleeden an iwwersetzen, an d'Äntwert muss dee selwechte Wee zréckkommen. Verpasst ee vun dësen dräi an d'Symptom ass eng Ënnergrupp vu Cliente, déi genee dann den Internet verléieren, wann den Tunnel aktiv ass.

Fänkt mam Selektor un, net mat der Route

D'Routepolitik passt op eng Quell, also muss d'Quell stabil sinn ier iergendeppes anescht geschitt. Setzt déi gewielten Apparater an eng Adressgrupp, déi en Administrateur ënnerhält, oder besser, op en dedizéierte Segment, deem seng Memberschaft der Apparatroll follegt. Wann déi gewéinlech DHCP-Ëmstellung eng passend Adress op eng aner Maschinn verréiere kann, wielt d'Politik still de falsche Client, an den éischte Bericht geet meeschtens ëm lues Browsen, dat tatsächlech en Ëmwee ass.

Nennt d'Grupp no der Politik, déi se déngt, net no engem Stack oder enger Ofdeelung, well d'Routregel béid iwwerliewt. Schreift op, wéi eng Apparater dran sinn a wien eng derbäi setze kann.

Setzt d'Filialpolitik derbäi an verdeedegt dann hir Reihenfolge

Op der Filial-SonicWall wielt eng Routepolitik d'Quellgrupp, nennt déi virgesinn Destinatiounen a setzt den Tunnelinterface als Gateway, an dofir gëtt et dee ënnerstëtzten Tunnelinterface-Design. Halt Regelen fir lokal an privat Destinatiounen iwwer der breeder Internetregel, well déi éischt Passung gewënnt an e private Prefix, deen an den Tunnel gedréckt gëtt, beim Haaptsëtz just ukënnt fir ewechgeheit ze ginn. Behielt och dem Firewall seng eege Route zu sengem VPN-Peer, soss wäert den Tunneltransport der Politik follegen, vun där en ofhänkt. Nee vun dësem zwéngt Iech, all existent politikbaséierten Tunnel ëmzewandelen; en Tunnelinterface ass eng ënnerstëtzte Wiel ënner e puer.

D'Reihenfolge ass deen Deel, dee sech duerch Onfall ännert. Wien eng Ausnam derbäisetzt, muss se iwwer der breeder Regel afügen, a wien déi breet Regel éditéiert, kann dat ganzt Design mat engem eenzege Späicheren ëmdréien. Schreift déi virgesinn Reihenfolge nieft der Politik op a kontrolléiert se no Firmwareupdates nach eng Kéier, well Interface-Nimm an d'Duerstellung vu Politiken tëscht Verësungen tatsächlech variéieren.

Maacht de Wee am Haaptsëtz fäerdeg

D'Tunnelpolitik am Haaptsëtz muss den Traffic akzeptéieren, deen d'Filialroute elo auswielt. En Interbüro-Selektor, deen op dem Haaptsëtz seng privat LAN limitéiert ass, ass keng Erlaabnes, arbiträre ëffentlech Destinatiounen ze droen, also brauch d'Politik d'Filialquell an de Destinatiounsberäich, deen Dir tatsächlech mengt. Den Haaptsëtz leet dunn deen ukommenden Traffic no sengen eegene Zougrëffsregelen op säin Internet-Uplink weider, an dem SonicWall säi Beispill vum zentralen Ausgang enthält Quell-Iwwersetzung fir d'Fernnetz op der zentraler WAN. Ouni déi Iwwersetzung gesäit déi wäit Säit eng privat Filialadress an huet keng Route zréck dohi.

D'Äntwerten sinn déi aner Hallschent vum Kontrakt. Si musse sech duerch den Tunnel oder duerch d'stateful Iwwersetzung, déi fir si geschaf gouf, zréckkommen, an den Traffic zu private Siten kann eng aner NAT-Behandlung wéi den ëffentlechen Ausgang brauchen. Halt déi Regelen ënnerscheedbar, well eng breet Iwwersetzungsregel, déi all intern Quell verstoppt, d'spéider Logging an d'Fehlerbehebung vill schwéier mécht ze liesen.

Entscheet, wat d'Grupp mécht, wann den Tunnel fält

Wann den zentralen Ausgang eng Fuerderung an net eng Preferenz ass, ass den Zréckfall op déi lokal WAN eng Konformitéitsverletzung, och wann d'Benotzer online bleiwen. SonicOS dokumentéiert eng Route mat ofgeworfem Tunnelinterface als déi ënnerstëtzte Manéier, déi ausgewielten Traffic dovun ofzehalen, en ongewollten alternativen Wee ze huelen.

Passt d'Ëmfang an d'Prioritéit vun där Route un déi installéiert Verësung un, a testt se andeems Dir den Tunnel erofhëlt amplaz dem Label ze vertrauen. Eng Grupp, déi ni lokal erausdierf, soll zouen aussetzen, während eng Grupp, wou d'Disponibilitéit méi wéi wichteg ass, legitim zréckfale kann; béides sinn Entscheedungen, an keng dovun sollte standardméisseg geschéien.

Verifizéiert vun dräi Cliente, a rollt dann propper zréck

E Ping op den zentralen Gateway testt déi falsch Saach, well en um Firewall entsteet an net bei engem gewielten Client. Testt amplaz vun Apparater, an testt dräi dovun: en gewielten Apparat, en normale Apparat, deen lokal soll bleiwen, an een, deen op lokal Servicer ugewise ass.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Vergläicht, wou d'ëffentlech Ufro tatsächlech opgedaucht ass. En gewielten Apparat sollt den Internet iwwer den Ausgang vum Haaptsëtz erreechen, an en normale Client sollt op der wäiter Säit nach ëmmer seng eege Filialadress weisen; 203.0.113.10 ass eng Dokumentatiounsadress, déi als Ersatz fir d'Destinatioun, déi Iech wichteg ass, benotzt gëtt. Huelt DNS an déiselwecht Pass, well en Client, deen de Resolver vun der Filial freet, eng routerkënneg Sich mat enger anerer Quell an dowéinst enger anerer Route produzéiere kann.

Den Zréckrollen ass déi gespäichert Politiksreihenfolge plus d'Adressgrupp. Stellt déi fréier Reihenfolge erëm hier, huelt d'Grupp aus der Politik eraus, an testt béid Apparatsklassen nach eng Kéier. Behält déi exportéiert Konfiguratioun mat dem Ännerungsrekord, well den nächsten Ingenieur muss wësse, wéi eng Regel déi breet war, ier een se éditéiert huet.