Wéi ee Sophos RED-Modus passt zu Ärem Filialnetz?
RED ass eng Roll fir en distante Standuert, keen Protokoll. Wielt Standard/Unified, Standard/Split oder Transparent/Split jee nodeem, wien de Gateway vun der Filial a DHCP huet.
Sophos RED ass eng Roll fir en distante Standuert an keen VPN-Protokoll, dofir äntwert e Verglach mat IPsec oder OpenVPN op déi falsch Fro. Den Apparat dehnt d'Kontroll vun enger zentraler Firewall op eng Filial aus, an de Modus, deen Dir wielt, entscheet, wien de Gateway vun der Filial liwwert, wien Adressen austeilt a wéi en Trafic duerch den Tunnel geet. Déi dräi Äntwerten zielen méi wéi d'Nimm vun de Modussen. Se fir d'éischt opschreiwen mécht aus enger Produktwiel eng Designentscheedung.
RED ass eng Roll, keen Protokoll
En RED-Apparat verbënnt eng Filial mat enger zentraler Sophos Firewall, an d'Konfiguratioun vun der Firewall bestëmmt, wat aus der Filial gëtt. Den Tunnel ass en Ëmsetzungsdetail vun där Verbindung, keen Allgemeng-VPN-Endpunkt, deen een op en egal wéie Géigespriecher ka riichten.
Dëse Kader ass wichteg, well en RED net mat engem belibegen IPsec-Géigespriecher auswiesselbar ass. Et erwaart, datt déi zentral Firewall et verwalt, an déi ënnerstëtzt Modussen beschreiwen, wéi vill vun der Filial et iwwerhëlt. Et wéi en normale Tunnel-Endpunkt behandelen schaaft Erwaardungen, déi de Produkt ni versprach huet. Et wéi eng Roll behandelen bréngt d'Froen, déi d'Design wierklech entscheeden.
Déi dräi Bedingunge hei drënner änneren d'Äntwert, an se ginn all ëm d'Proprietéit an net ëm d'Verschlësselung.
Dräi Bedingunge, déi de Modus wielen
Frot, wien de Gateway vun der Filial huet, wien DHCP an DNS fir d'Clienten vun der Filial bedreift, an ob den lokalen Internetausgang en Tunnelausfall iwwerliewe muss.
Standard/Unified äntwert op all dräi gläich: déi zentral Firewall huet de LAN vun der Filial, inklusiv Gateway- an DHCP-Aufgaben, an den Trafic geet duerch den Tunnel. Standard/Split behält d'zentral Verwaltung a schéckt nëmmen déi konfiguréiert Netzwierker duerch den Tunnel. Transparent/Split léisst dat bestehend Filialnetz säin eegene Gateway an seng Adressen verwalten an leet nëmmen ausgewielten Trafic an den Tunnel. Dräi Modussen, dräi verschidde Proprietären.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Liest fir d'éischt déi mëttelst Kolonn, well se entscheet, wéi vill vun der Filial nach schafft, wann den Tunnel fort ass.
Wien de Gateway vun der Filial an DHCP huet
An der vereenegter Opstellung huet d'Filial keen onofhängege Gateway, wat d'Konfiguratioun vereinfacht an den Ausfall bündelt. Déi Bündelung ass gutt, wann d'Filial kleng ass an déi zentral Firewall héich disponibel ass.
An enger transparenter Ausrollung behält d'Filial hire Router an den RED sëtzt an der Linn, fir ausgewielten Trafic ëmzeleeën. Dat behält déi lokal Kontroll a füügt en Apparat derbäi, deem seng Positioun am Wee elo fir all ëmgeleet Flux wichteg ass. Dokumentéiert, wou en sëtzt, well eng spéider Ännerung um Router vun der Filial et stëll ëmgoe kann. Keng vun den zwou Opstellunge gewënnt am Allgemengen; se verdeelen d'Verantwortung anescht.
D'Adressproprietéit ass den Deel, deen opgeschriwwe muss ginn, well zwee DHCP-Servere op engem Segment ënnerbrach Feeler produzéieren, déi als VPN-Problemer gemellt ginn.
Wat geschitt, wann den Tunnel fällt
Split-Betrib gëtt dacks als Verspriechen gelies, datt den lokalen Internet wärend engem Tunnelausfall weider schafft, an déi Liesung ass net sécher. Dat genee Verhalen hänkt vum gewielte Modus, der Firmware an dem Apparat of, dofir gehéiert et an d'Akzeptanzkritären an net an eng Annahm.
Entscheet, wat d'Filial ouni Tunnel nach maache muss: lokal Drécker erreechen, Nimm opléisen, Bezuelunge maachen oder guer näischt. Test dann deen Zoustand bewosst, andeems Dir den Tunnel blockéiert an d'Filial observéiert. Eng Filial, déi stëll DNS verléiert, ass méi schlëmm wéi eng, déi haart feelt, well den Uruff un den Helpdesk eréischt Stonnen méi spéit kënnt. Schreift d'observéiert Resultat an den Designdossier.
Déi zentral Ofhängegkeet ass a jedem Modus déiselwecht: een muss de Wee fir d'Erhuele vum Apparat selwer hunn.
Schreift de Filialkontrakt, éier Dir ausrollt
E Filialkontrakt passt op eng Säit: Proprietären, Adressquellen, getunnelt Prefixen, Ausgangspolitik an dat akzeptéiert Ausfallverhalen.
Verifizéiert duerno dat ausgerollt Resultat an net dat ugeduecht. Kontrolléiert d'Adress vum Client vun der Filial, säi Standard-Gateway, wéi eng Prefixen duerch den Tunnel opgeléist ginn a wat nach äntwert, wann den Tunnel blockéiert ass. Kompatibilitéit, Erreechbarkeet a Lizenzéierung mussen all géint déi aktuell Dokumentatioun vum Fournisseur fir de geneeë Modell gepréift ginn, well en Produktnumm kee Modus garantéiert. Halt déi Säit beim Apparatdossier, sou datt den nächsten Ingenieur d'Entscheedunge erfiert an net den Diagramm.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleWidderhëlt dee Block mat blockéiertem Tunnel, an den Ënnerscheed tëscht den zwou Ausféierungen ass dat Ausfallverhalen, dat Dir wierklech kaaft hutt.