Kuris Sophos RED režimas tinka jūsų filialo tinklui?
RED yra nuotolinės vietos vaidmuo, o ne protokolas. Pasirinkite Standard/Unified, Standard/Split arba Transparent/Split pagal tai, kam priklauso filialo šliuzas ir DHCP.
Sophos RED yra nuotolinės vietos vaidmuo, o ne VPN protokolas, todėl lyginimas su IPsec ar OpenVPN atsako į neteisingą klausimą. Įrenginys išplečia centrinės užkardos kontrolę į filialą, o pasirinktas režimas nulemia, kas tiekia filialo šliuzą, kas dalija adresus ir koks srautas eina tuneliu. Šie trys atsakymai sveria daugiau nei režimų pavadinimai. Užrašius juos pirmiausia, produkto pasirinkimas virsta projektavimo sprendimu.
RED yra vaidmuo, o ne protokolas
RED įrenginys prijungia filialą prie centrinės Sophos Firewall, o užkardos konfigūracija nusprendžia, kuo filialas taps. Tunelis yra to prijungimo įgyvendinimo detalė, o ne bendros paskirties VPN galinis taškas, kurį galima nukreipti į bet kurį partnerį.
Ši formuluotė svarbi, nes RED nėra keičiamas su savavališku IPsec partneriu. Jis tikisi, kad centrinė užkarda jį valdys, o palaikomi režimai aprašo, kokią filialo dalį jis perima. Traktuojant jį kaip įprastą tunelio galinį tašką, susidaro lūkesčiai, kurių produktas niekada nežadėjo. Traktuojant jį kaip vaidmenį, kyla klausimai, kurie iš tikrųjų nulemia projektą.
Trys toliau pateiktos sąlygos keičia atsakymą, ir visos jos apie nuosavybę, o ne apie šifravimą.
Trys sąlygos, renkančios režimą
Paklauskite, kam priklauso filialo šliuzas, kas valdo DHCP ir DNS filialo klientams ir ar vietinė interneto prieiga turi atlaikyti tunelio sutrikimą.
Standard/Unified atsako į visus tris vienodai: centrinė užkarda valdo filialo LAN, įskaitant šliuzo ir DHCP užduotis, o srautas eina tuneliu. Standard/Split išlaiko centrinį valdymą ir tuneliu siunčia tik sukonfigūruotus tinklus. Transparent/Split palieka esamą filialo tinklą tvarkyti savo šliuzą ir adresus, o į tunelį nukreipia tik pasirinktą srautą. Trys režimai, trys skirtingi savininkai.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Pirmiausia skaitykite vidurinį stulpelį, nes jis nulemia, kokia filialo dalis dar veikia, kai tunelio nebėra.
Kam priklauso filialo šliuzas ir DHCP
Vieningoje sąrangoje filialas neturi savarankiško šliuzo, o tai supaprastina konfigūraciją ir sutelkia gedimą. Toks sutelkimas tinka, kai filialas mažas, o centrinė užkarda pasižymi dideliu prieinamumu.
Skaidrioje įrangoje filialas išlaiko savo maršrutizatorių, o RED stovi kelyje, kad nukreiptų pasirinktą srautą. Tai išsaugo vietinę kontrolę ir prideda įrenginį, kurio vieta kelyje dabar svarbi kiekvienam nukreiptam srautui. Dokumentuokite, kur jis stovi, nes vėlesnis filialo maršrutizatoriaus pakeitimas gali jį tyliai apeiti. Nė viena sąranga nėra visuotinai geresnė; jos skirtingai paskirsto atsakomybę.
Adresų nuosavybė yra ta dalis, kurią reikia užrašyti, nes du DHCP serveriai tame pačiame segmente sukelia kartkartinius gedimus, pranešamus kaip VPN problemos.
Kas nutinka, kai tunelis nukrenta
Split veikimas dažnai skaitomas kaip pažadas, kad vietinis internetas veikia ir tunelio gedimo metu, ir toks skaitymas nėra saugus. Tiksli elgsena priklauso nuo pasirinkto režimo, programinės įrangos ir įrenginio, todėl jai vieta priėmimo kriterijuose, o ne prielaidoje.
Nuspręskite, ką filialas dar turi atlikti be tunelio: pasiekti vietinius spausdintuvus, išspręsti vardus, priimti mokėjimus ar visai nieko. Tada sąmoningai patikrinkite tą būseną blokuodami tunelį ir stebėdami filialą. Filialas, kuris tyliai praranda DNS, yra blogiau nei tas, kuris garsiai sugenda, nes skambutis į pagalbos tarnybą ateina po kelių valandų. Užrašykite stebėtą rezultatą projektavimo įraše.
Centrinė priklausomybė visuose režimuose ta pati: kažkas turi valdyti paties įrenginio atkūrimo kelią.
Užrašykite filialo sutartį prieš diegdami
Filialo sutartis telpa viename lape: savininkai, adresų šaltiniai, tuneliu siunčiami prefiksai, išėjimo politika ir priimta sutrikimo elgsena.
Tada tikrinkite įdiegtą rezultatą, o ne numatytą. Patikrinkite filialo kliento adresą, jo numatytąjį šliuzą, kurie prefiksai sprendžiami tuneliu ir kas dar atsako, kai tunelis užblokuotas. Suderinamumas, pasiekiamumas ir licencijavimas visi turi būti tikrinami pagal dabartinę tiekėjo dokumentaciją tiksliam modeliui, nes produkto pavadinimas negarantuoja režimo. Laikykite tą lapą su įrenginio įrašu, kad kitas inžinierius paveldėtų sprendimus, o ne schemą.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.examplePakartokite tą bloką užblokavę tunelį, ir skirtumas tarp dviejų paleidimų yra sutrikimo elgsena, kurią iš tikrųjų nusipirkote.