Таны салбарын сүлжээнд Sophos RED-ийн аль горим тохирох вэ?
RED бол алслагдсан талбайн үүрэг, протокол биш. Салбарын гарц болон DHCP-г хэн эзэмшиж байгаагаас хамаарч Standard/Unified, Standard/Split эсвэл Transparent/Split-г сонгоно уу.
Sophos RED нь VPN протокол биш, алслагдсан талбайн үүрэг учраас IPsec эсвэл OpenVPN-той харьцуулах нь буруу асуултад хариулна. Төхөөрөмж нь төв галт ханын хяналтыг салбар руу тэлж, таны сонгосон горим нь салбарын гарцыг хэн нийлүүлэх, хаягийг хэн хуваарилах, ямар урсгал туннелээр дамжихыг тодорхойлно. Эдгээр гурван хариулт горимын нэрнээс илүү чухал. Тэдгээрийг эхлээд бичих нь бүтээгдэхүүний сонголтыг дизайны шийдвэр болгоно.
RED бол үүрэг, протокол биш
RED төхөөрөмж салбарыг төв Sophos Firewall-той холбож, салбар юу болохыг галт ханын тохиргоо тодорхойлно. Туннель бол энэ холболтын хэрэгжүүлэлтийн дэлгэрэнгүй, дурын түнштэй зорилгож болох ерөнхий зориулалтын VPN төгсгөлийн цэг биш.
Энэ хүрээ чухал, учир нь RED нь дурын IPsec түншээр солигдохгүй. Тэрээр төв галт хана өөрөөр удирдана гэж хүлээж, дэмжигдсэн горимууд нь салбарын хэдийг өөртөө авдгийг тодорхойлно. Үүнийг энгийн туннелийн төгсгөлийн цэг гэж үзэх нь бүтээгдэхүүний хэзээ ч амлаагүй хүлээлт үүсгэдэг. Үүнийг үүрэг гэж үзэх нь дизайныг үнэхээр тодорхойлдог асуултуудыг гаргадаг.
Доорх гурван нөхцөл хариултыг өөрчилдөг бөгөөд бүгд шифрлэлт биш, эзэмшлийн тухай.
Горимыг сонгодог гурван нөхцөл
Салбарын гарцыг хэн эзэмшиж, салбарын клиентүүдэд DHCP болон DNS-ийг хэн ажиллуулж, орон нутгийн интернэт гаралт туннелийн тасалдлыг даах ёстой эсэхийг асуу.
Standard/Unified гурвуулаад ижил хариулна: төв галт хана салбарын локал сүлжээг гарц болон DHCP-ийн үүргийг оролцуулан эзэмшиж, урсгал туннелээр дамжина. Standard/Split төв удирдлагыг хадгалж, туннелээр зөвхөн тохируулсан сүлжээг илгээнэ. Transparent/Split одоо байгаа салбарын сүлжээнд өөрийн гарц, хаягийг хариуцуулж, зөвхөн сонгосон урсгалыг туннель рүү чиглүүлнэ. Гурван горим, гурван өөр эзэмшигч.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Эхлээд дунд баганыг уншаарай, учир нь туннель байхгүй үед салбарын хэдэн хэсэг ажиллаж байгааг тэр тодорхойлно.
Салбарын гарц болон DHCP-г хэн эзэмших вэ
Нэгдсэн зохион байгуулалтад салбар тусдаа гарцгүй бөгөөд энэ нь тохиргоог хялбарчилж, алдааг нэг дор төвлөрүүлнэ. Салбар жижиг, төв галт хана өндөр хүртээмжтэй бол энэ төвлөрөл зөв.
Ил тод байршуулалтад салбар өөрийн чиглүүлэгчийг хадгалж, сонгосон урсгалыг чиглүүлэхээр RED замд сууна. Энэ нь орон нутгийн хяналтыг хадгалж, зам дахь байрлал нь одоо чиглүүлсэн урсгал бүрт чухал болсон төхөөрөмж нэмнэ. Энэ нь хаана суухыг баримтжуул, учир нь салбарын чиглүүлэгчийн дараагийн өөрчлөлт үүнийг чимээгүй тойрч болно. Аль ч зохион байгуулалт ерөнхийдөө ялахгүй; тэд хариуцлагыг өөрөөр хуваарилдаг.
Хаягийн эзэмшил бол бичих ёстой хэсэг, учир нь нэг сегмент дээр хоёр DHCP сервер VPN-ийн асуудал гэж мэдээлэгддэг хааяа алдаа үүсгэдэг.
Туннель унахад юу болох вэ
Split ажиллагааг туннелийн эвдрэлийн үед орон нутгийн интернэт үргэлжлүүлэн ажиллана гэсэн амлалт гэж их уншдаг бөгөөд тэр уншлага аюулгүй биш. Яг зан төлөв нь сонгосон горим, програм хангамж, төхөөрөмжөөс хамаардаг тул түүний байр суурь хүлээн авах шалгуурт байх ёстой, таамаглалд биш.
Туннельгүйгээр салбар юу хийх ёстойгоо шийд: орон нутгийн принтерт хүрэх, нэрийг шийдвэрлэх, төлбөр авах, эсвэл юу ч хийхгүй. Дараа нь туннелийг хааж, салбарыг ажигласнаар тэр төлөвийг санаатай шалга. DNS-ээ чимээгүй алддаг салбар чанга дуугаар бүтэлгүйтдэгээс дор, учир нь тусламжийн дуудлага хэдэн цагийн дараа ирдэг. Ажигласан үр дүнг дизайны бүртгэлд бич.
Төвийн хамаарал бүх горимд ижил: хэн нэгэн төхөөрөмжийн өөрийнх нь сэргээх замыг эзэмших ёстой.
Байршуулахаас өмнө салбарын гэрээг бич
Салбарын гэрээ нэг хуудсанд багтана: эзэмшигчид, хаягийн эх сурвалж, туннелээр дамжих префиксүүд, гарах бодлого, хүлээн авсан тасалдлын зан төлөв.
Дараа нь зорьсон биш, байршуулсан үр дүнг шалга. Салбарын клиентийн хаяг, түүний анхдагч гарц, аль префикс туннелээр шийдвэрлэгдэх, туннель хаагдсан үед юу хариу өгсөөр байгааг шалга. Тохиромжтой байдал, хүртээмж, лиценз нь бүгд яг загварын хувьд нийлүүлэгчийн одоогийн баримт бичигтэй тулгагдах ёстой, учир нь бүтээгдэхүүний нэр ямар ч горимыг баталгаажуулахгүй. Тэр хуудсыг төхөөрөмжийн бүртгэлтэй хамт хадгал, ингэснээр дараагийн инженер схем биш, шийдвэрийг өвлөнө.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleТуннель хаагдсан үед тэр блокыг дахин ажиллуул, хоёр гүйлтийн ялгаа нь таны үнэхээр худалдаж авсан тасалдлын зан төлөв юм.