Kurš Sophos RED režīms atbilst jūsu filiāles tīklam?
RED ir attālas vietas loma, nevis protokols. Izvēlieties Standard/Unified, Standard/Split vai Transparent/Split atkarībā no tā, kam pieder filiāles vārteja un DHCP.
Sophos RED ir attālas vietas loma, nevis VPN protokols, tāpēc salīdzinājums ar IPsec vai OpenVPN atbild uz nepareizo jautājumu. Ierīce paplašina centrālā ugunsmūra kontroli uz filiāli, un izvēlētais režīms nosaka, kas nodrošina filiāles vārteju, kas izdala adreses un kāda plūsma iet caur tuneli. Šīs trīs atbildes sver vairāk nekā režīmu nosaukumi. To pierakstīšana vispirms pārvērš produkta izvēli par dizaina lēmumu.
RED ir loma, nevis protokols
RED ierīce pievieno filiāli centrālam Sophos Firewall, un ugunsmūra konfigurācija nosaka, par ko filiāle kļūst. Tunelis ir šīs pievienošanas ieviešanas detaļa, nevis vispārējas nozīmes VPN galapunkts, ko var vērst pret jebkuru partneri.
Šis ietvars ir svarīgs, jo RED nav aizstājams ar patvaļīgu IPsec partneri. Tas sagaida, ka centrālais ugunsmūris to pārvaldīs, un atbalstītie režīmi apraksta, cik lielu filiāles daļu tas pārņem. Uzskatīt to par parastu tuneļa galapunktu rada gaidas, ko produkts nekad nav solījis. Uzskatīt to par lomu rada jautājumus, kas patiešām nosaka dizainu.
Trīs zemāk minētie nosacījumi maina atbildi, un visi tie ir par īpašumtiesībām, nevis šifrēšanu.
Trīs nosacījumi, kas izrauga režīmu
Jautājiet, kam pieder filiāles vārteja, kas uztur DHCP un DNS filiāles klientiem un vai vietējai interneta piekļuvei jāiztur tuneļa pārtraukums.
Standard/Unified atbild uz visiem trim vienādi: centrālais ugunsmūris pārvalda filiāles LAN, tostarp vārtejas un DHCP uzdevumus, un plūsma iet caur tuneli. Standard/Split saglabā centrālu pārvaldību un caur tuneli sūta tikai konfigurētos tīklus. Transparent/Split ļauj esošajam filiāles tīklam pārvaldīt savu vārteju un adreses un tunelī novirza tikai atlasīto plūsmu. Trīs režīmi, trīs dažādi īpašnieki.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Vispirms lasiet vidējo kolonnu, jo tā nosaka, cik liela filiāles daļa vēl darbojas, kad tuneļa vairs nav.
Kam pieder filiāles vārteja un DHCP
Vienotajā izvietojumā filiālei nav patstāvīgas vārtejas, kas vienkāršo konfigurāciju un koncentrē atteici. Šāda koncentrācija ir piemērota, ja filiāle ir maza un centrālajam ugunsmūrim ir augsta pieejamība.
Caurspīdīgā izvietojumā filiāle saglabā savu maršrutētāju, un RED atrodas ceļā, lai novirzītu atlasīto plūsmu. Tas saglabā vietējo kontroli un pievieno ierīci, kuras vieta ceļā tagad ir svarīga katrai novirzītajai plūsmai. Dokumentējiet, kur tā atrodas, jo vēlāka filiāles maršrutētāja maiņa to var klusi apiet. Neviens izvietojums nav vispārīgi labāks; tie atbildību sadala atšķirīgi.
Adrešu īpašumtiesības ir tā daļa, kas jāpieraksta, jo divi DHCP serveri vienā segmentā rada periodiskas kļūmes, kas tiek ziņotas kā VPN problēmas.
Kas notiek, kad tunelis nokrīt
Split darbība bieži tiek lasīta kā solījums, ka vietējais internets turpina darboties tuneļa atteices laikā, un šāda lasīšana nav droša. Precīzā uzvedība ir atkarīga no izvēlētā režīma, programmaparatūras un ierīces, tāpēc tā iederas pieņemšanas kritērijos, nevis pieņēmumā.
Izlemiet, kas filiālei vēl jādara bez tuneļa: jāsasniedz vietējie printeri, jāatrisina nosaukumi, jāpieņem maksājumi vai nekas. Pēc tam apzināti pārbaudiet šo stāvokli, bloķējot tuneli un vērojot filiāli. Filiāle, kas klusi zaudē DNS, ir sliktāka par to, kas skaļi sabrūk, jo zvans uz atbalsta dienestu pienāk stundas vēlāk. Pierakstiet novēroto rezultātu dizaina ierakstā.
Centrālā atkarība visos režīmos ir viena: kādam jāpārvalda pašas ierīces atjaunošanas ceļš.
Pierakstiet filiāles līgumu pirms izvietošanas
Filiāles līgums ietilpst vienā lappusē: īpašnieki, adrešu avoti, caur tuneli sūtītie prefiksi, izejas politika un pieņemtā pārtraukuma uzvedība.
Pēc tam pārbaudiet izvietoto rezultātu, nevis iecerēto. Pārbaudiet filiāles klienta adresi, tā noklusējuma vārteju, kuri prefiksi tiek atrisināti caur tuneli un kas vēl atbild, kad tunelis ir bloķēts. Saderība, sasniedzamība un licencēšana visi jāpārbauda pret pašreizējo piegādātāja dokumentāciju precīzam modelim, jo produkta nosaukums negarantē režīmu. Glabājiet šo lappusi kopā ar ierīces ierakstu, lai nākamais inženieris manto lēmumus, nevis shēmu.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleAtkārtojiet šo bloku ar bloķētu tuneli, un atšķirība starp divām palaidēm ir pārtraukuma uzvedība, ko jūs patiešām iegādājāties.