Lencongkan subnet cawangan melalui pintu keluar internet SonicWall ibu pejabat

Telefon cawangan harus keluar melalui ibu pejabat manakala komputer riba cawangan terus menggunakan WAN tempatan, dan dasar penghalaan sahaja tidak akan menyediakannya. Laluan cawangan boleh memilih terowong, tetapi dasar terowong mesti menerima trafik, ibu pejabat mesti meneruskan dan menterjemahkannya, dan balasan mesti kembali melalui laluan yang sama. Terlepas mana-mana satu daripada tiga ini dan gejalanya ialah subset klien yang kehilangan internet tepat semasa terowong aktif.

Mulakan dengan pemilih, bukan laluan

Dasar penghalaan memadankan sumber, jadi sumber mesti stabil sebelum apa-apa lagi. Letakkan peranti yang dipilih dalam kumpulan alamat yang diselenggara pentadbir atau, lebih baik, pada segmen khusus yang keahliannya mengikut peranan peranti. Apabila pusing ganti DHCP biasa boleh memindahkan alamat yang sepadan ke mesin lain, dasar itu senyap memilih klien yang salah, dan laporan pertama biasanya mengenai pelayaran perlahan yang sebenarnya ialah lencongan.

Namakan kumpulan itu sempena dasar yang dilayaninya, bukan sempena tingkat atau jabatan, kerana peraturan penghalaan akan mengatasi kedua-duanya. Catat peranti mana yang ada di dalamnya dan siapa yang boleh menambah satu.

Tambah dasar cawangan, kemudian pertahankan urutannya

Pada SonicWall cawangan, dasar laluan memilih kumpulan sumber, menamakan destinasi yang dimaksudkan dan menetapkan antara muka terowong sebagai get laluan, dan itulah tujuan reka bentuk antara muka terowong yang disokong. Kekalkan peraturan destinasi tempatan dan peribadi di atas peraturan internet yang luas, kerana padanan pertama menang dan awalan peribadi yang ditolak ke dalam terowong tiba di ibu pejabat hanya untuk dibuang. Kekalkan juga laluan firewall itu sendiri ke rakan VPN-nya, jika tidak pengangkutan terowong akan mengikut dasar yang menjadi kebergantungannya. Tiada satu pun daripada ini memaksa anda menukar setiap terowong berasaskan dasar yang sedia ada; antara muka terowong ialah satu pilihan yang disokong antara beberapa.

Urutan ialah bahagian yang berubah secara tidak sengaja. Sesiapa yang menambah pengecualian mesti memasukkannya di atas peraturan luas, dan sesiapa yang menyunting peraturan luas boleh menterbalikkan seluruh reka bentuk dengan satu simpanan. Tulis urutan yang dimaksudkan di sebelah dasar dan semak semula selepas kemas kini firmware, kerana penamaan antara muka dan paparan dasar memang berubah antara keluaran.

Selesaikan laluan di ibu pejabat

Dasar terowong di ibu pejabat mesti menerima trafik yang kini dipilih oleh laluan cawangan. Pemilih antara pejabat yang terhad kepada LAN peribadi ibu pejabat bukanlah kebenaran untuk membawa destinasi awam sewenang-wenangnya, jadi dasar itu memerlukan sumber cawangan dan julat destinasi yang benar-benar anda maksudkan. Ibu pejabat kemudian meneruskan trafik masuk itu ke pautan internetnya mengikut peraturan aksesnya sendiri, dan contoh pintu keluar pusat SonicWall termasuk terjemahan sumber untuk rangkaian jauh di WAN pusat. Tanpa terjemahan itu, sisi jauh melihat alamat cawangan peribadi dan tiada laluan kembali kepadanya.

Balasan ialah separuh lagi kontrak. Balasan mesti kembali melalui terowong atau melalui terjemahan stateful yang dicipta untuknya, dan trafik ke tapak peribadi mungkin memerlukan rawatan NAT berbeza daripada keluar awam. Kekalkan peraturan itu boleh dibezakan, kerana satu peraturan terjemahan luas yang menyembunyikan setiap sumber dalaman menjadikan pengelogan dan penyelesaian masalah kemudian jauh lebih sukar dibaca.

Tentukan apa yang kumpulan lakukan apabila terowong jatuh

Jika pintu keluar pusat ialah keperluan dan bukan keutamaan, kembali ke WAN tempatan ialah kegagalan pematuhan walaupun pengguna kekal dalam talian. SonicOS mendokumenkan laluan drop-tunnel-interface sebagai cara yang disokong untuk menghalang trafik terpilih daripada mengambil laluan alternatif yang tidak diingini.

Padankan skop dan keutamaan laluan itu dengan keluaran yang dipasang, dan ujinya dengan menurunkan terowong daripada mempercayai label. Kumpulan yang tidak boleh keluar secara tempatan harus gagal tertutup, manakala kumpulan yang mengutamakan ketersediaan boleh berundur secara sah; kedua-duanya keputusan, dan tiada satu pun patut berlaku secara lalai.

Sahkan daripada tiga klien, kemudian gulung semula dengan bersih

Ping ke get laluan pusat menguji perkara yang salah, kerana ia bermula di firewall dan bukan pada klien yang dipilih. Uji daripada peranti, dan uji tiga daripadanya: peranti yang dipilih, peranti biasa yang sepatutnya kekal tempatan, dan satu yang bergantung pada perkhidmatan tempatan.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Bandingkan di mana permintaan awam benar-benar muncul. Klien yang dipilih sepatutnya mencapai internet melalui pintu keluar ibu pejabat, dan klien biasa sepatutnya masih memaparkan alamat cawangan sendiri di sisi jauh; 203.0.113.10 ialah alamat dokumentasi yang digunakan sebagai pengganti destinasi yang anda pedulikan. Sertakan DNS dalam pas yang sama, kerana klien yang bertanya kepada penyelesai cawangan boleh menghasilkan carian berasal daripada penghala dengan sumber berbeza dan oleh itu laluan berbeza.

Gulung semula ialah urutan dasar tersimpan ditambah kumpulan alamat. Pulihkan urutan sebelumnya, keluarkan kumpulan daripada dasar, dan uji semula kedua-dua kelas peranti. Simpan konfigurasi yang dieksport bersama rekod perubahan, kerana jurutera seterusnya perlu tahu peraturan mana yang luas sebelum seseorang menyuntingnya.