Кој режим на Sophos RED одговара на мрежата на вашата подружница?

Sophos RED е улога за оддалечена локација, а не VPN протокол, па споредбата со IPsec или OpenVPN одговара на погрешно прашање. Уредот ја проширува контролата на централен огноубиец кон подружницата, а режимот што го избирате одредува кој ја обезбедува портата на подружницата, кој доделува адреси и кој сообраќај минува низ тунелот. Овие три одговори тежат повеќе од имињата на режимите. Нивното запишување најпрво го претвора изборот на производ во дизајнерска одлука.

RED е улога, а не протокол

Уред RED поврзува подружница со централен Sophos Firewall, а конфигурацијата на огноубиецот одредува што станува подружницата. Тунелот е детаљ за имплементација на тоа поврзување, а не универзална крајна точка на VPN што може да се насочи кон кој било партнер.

Оваа рамка е важна затоа што RED не е заменлив со произволен IPsec партнер. Тој очекува централниот огноубиец да го управува, а поддржаните режими опишуваат колку од подружницата презема. Третирањето како обична крајна точка на тунел создава очекувања што производот никогаш не ги ветил. Третирањето како улога ги создава прашањата што навистина го одредуваат дизајнот.

Трите услови подолу го менуваат одговорот и сите тие се за сопственоста, а не за шифрирањето.

Три услови што го избираат режимот

Прашајте кој ја поседува портата на подружницата, кој управува со DHCP и DNS за клиентите на подружницата и дали локалниот интернет излез мора да го преживее прекинот на тунелот.

Standard/Unified одговара на сите три на ист начин: централниот огноубиец ја поседува локалната мрежа на подружницата, вклучително задачите на портата и DHCP, а сообраќајот минува низ тунелот. Standard/Split ја задржува централната администрација и низ тунелот ги праќа само конфигурираните мрежи. Transparent/Split ја остава постојната мрежа на подружницата да управува со сопствената порта и адреси и во тунелот пренасочува само избран сообраќај. Три режими, три различни сопственици.

Прво прочитајте ја средната колона, зашто таа одредува колку од подружницата уште работи кога тунелот го нема.

Кој ја поседува портата на подружницата и DHCP

Во обединетиот распоред подружницата нема самостојна порта, што ја поедноставува конфигурацијата и го концентрира отказот. Таквата концентрација е во ред кога подружницата е мала и централниот огноубиец е со висока достапност.

Во транспарентно распоредување подружницата го задржува сопствениот рутер и RED стои во линијата за да пренасочи избран сообраќај. Тоа го зачувува локалниот надзор и додава уред чија положба на патеката сега е важна за секој пренасочен тек. Документирајте каде стои, зашто подоцнежна промена на рутерот на подружницата може тивко да го заобиколи. Ниту еден распоред не победува општо; тие ја распределуваат одговорноста поинаку.

Сопственоста над адресите е делот што треба да се запише, зашто два DHCP сервери на еден сегмент создаваат повремени дефекти што се пријавуваат како проблеми со VPN.

Што се случува кога тунелот ќе падне

Работата во Split режим често се чита како ветување дека локалниот интернет продолжува да работи при дефект на тунелот, а таквото читање не е безбедно. Точното однесување зависи од избраниот режим, фирмверот и уредот, па му е местото во критериумите за прифаќање, а не во претпоставка.

Одлучете што подружницата мора да направи без тунел: да стигне до локални печатачи, да реши имиња, да прими плаќања или ништо. Потоа намерно проверете ја таа состојба со блокирање на тунелот и набљудување на подружницата. Подружница што тивко губи DNS е полоша од онаа што гласно откажува, зашто повикот до поддршката доаѓа часови подоцна. Запишете го набљудуваниот резултат во дизајнерскиот запис.

Централната зависност е иста во секој режим: некој мора да го поседува патот за обнова на самиот уред.

Запишете го договорот за подружницата пред распоредувањето

Договорот за подружницата се собира на една страница: сопственици, извори на адреси, префикси низ тунелот, политика за излез и прифатеното однесување при прекин.

Потоа проверете го распоредениот резултат, а не предвидениот. Проверете ја адресата на клиентот на подружницата, неговата стандардна порта, кои префикси се решаваат низ тунелот и што сето уште одговара кога тунелот е блокиран. Компатибилноста, достапноста и лиценцирањето сите треба да се проверат според тековната документација на добавувачот за точниот модел, зашто името на производот не гарантира режим. Чувајте ја таа страница со записот за уредот, за да го наследи следниот инженер решенијата, а не шемата.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Повторете го тој блок со блокиран тунел, а разликата меѓу двете извршувања е однесувањето при прекин што навистина сте го купиле.