Mod Sophos RED yang mana sesuai untuk rangkaian cawangan anda?

Sophos RED ialah peranan tapak jauh dan bukan protokol VPN, sebab itu membandingkannya dengan IPsec atau OpenVPN menjawab soalan yang salah. Peranti ini meluaskan kawalan firewall pusat ke cawangan, dan mod yang anda pilih menentukan siapa membekalkan gateway cawangan, siapa mengagihkan alamat dan trafik mana yang melintasi terowong. Ketiga-tiga jawapan itu lebih penting daripada nama mod. Menuliskannya dahulu menjadikan pilihan produk sebagai keputusan reka bentuk.

RED ialah peranan, bukan protokol

Peranti RED menyambungkan cawangan ke Sophos Firewall pusat, dan konfigurasi firewall itulah yang menentukan apa cawangan itu menjadi. Terowong ialah perincian pelaksanaan sambungan itu, bukan titik akhir VPN serba guna yang boleh dihalakan ke mana-mana rakan.

Rangka kerja itu penting kerana RED tidak boleh ditukar ganti dengan rakan IPsec sewenang-wenangnya. Ia menjangka firewall pusat mengurusnya, dan mod yang disokong menerangkan berapa banyak cawangan yang diambil alih. Melayannya sebagai titik akhir terowong biasa mencipta jangkaan yang tidak pernah dijanjikan produk. Melayannya sebagai peranan menghasilkan soalan yang benar-benar menentukan reka bentuk.

Tiga syarat di bawah mengubah jawapannya, dan semuanya tentang pemilikan, bukan penyulitan.

Tiga syarat yang memilih mod

Tanya siapa memiliki gateway cawangan, siapa menjalankan DHCP dan DNS untuk klien cawangan, dan sama ada akses internet tempatan mesti bertahan apabila terowong terputus.

Standard/Unified menjawab ketiga-tiganya dengan cara sama: firewall pusat memiliki LAN cawangan, termasuk tugas gateway dan DHCP, dan trafik melintasi terowong. Standard/Split mengekalkan pengurusan pusat dan menghantar hanya rangkaian yang dikonfigurasi melalui terowong. Transparent/Split membiarkan rangkaian cawangan sedia ada mengurus gateway dan alamatnya sendiri, dan hanya mengalihkan trafik terpilih ke dalam terowong. Tiga mod, tiga pemilik berbeza.

Baca lajur tengah dahulu, kerana ia menentukan berapa banyak cawangan yang masih berfungsi apabila terowong tiada.

Siapa memiliki gateway cawangan dan DHCP

Dalam susunan bersatu cawangan tidak mempunyai gateway berasingan, yang memudahkan konfigurasi dan memusatkan kegagalan. Pemusatan itu wajar apabila cawangan kecil dan firewall pusat mempunyai ketersediaan tinggi.

Dalam penggunaan telus cawangan mengekalkan penghalangnya sendiri dan RED duduk sebaris untuk mengalihkan trafik terpilih. Itu mengekalkan kawalan tempatan dan menambah peranti yang kedudukannya dalam laluan kini penting bagi setiap aliran yang dialihkan. Dokumenkan di mana ia duduk, kerana perubahan kemudian pada penghalang cawangan boleh memintasnya secara senyap. Tiada susunan yang menang secara umum; keduanya membahagikan tanggungjawab dengan cara berbeza.

Pemilikan alamat ialah bahagian yang perlu ditulis, kerana dua pelayan DHCP pada satu segmen menimbulkan kerosakan berselang yang dilaporkan sebagai masalah VPN.

Apa yang berlaku apabila terowong terputus

Operasi Split sering dibaca sebagai janji bahawa internet tempatan terus berfungsi semasa kegagalan terowong, dan bacaan itu tidak selamat. Tingkah laku tepatnya bergantung pada mod yang dipilih, firmware dan peranti, jadi tempatnya dalam kriteria penerimaan, bukan dalam andaian.

Tentukan apa yang cawangan masih perlu lakukan tanpa terowong: mencapai pencetak tempatan, menyelesaikan nama, menerima bayaran, atau tidak sama sekali. Kemudian uji keadaan itu dengan sengaja dengan menyekat terowong dan memerhati cawangan. Cawangan yang kehilangan DNS secara senyap lebih buruk daripada yang gagal dengan kuat, kerana panggilan ke meja bantuan datang berjam-jam kemudian. Tulis hasil pemerhatian ke dalam rekod reka bentuk.

Kebergantungan pusat adalah sama dalam setiap mod: seseorang mesti memiliki laluan pemulihan peranti itu sendiri.

Tulis kontrak cawangan sebelum menggunakan

Kontrak cawangan cukup satu halaman: pemilik, sumber alamat, awalan yang melalui terowong, dasar keluar dan tingkah laku gangguan yang anda terima.

Kemudian sahkan hasil yang digunakan, bukan yang dimaksudkan. Periksa alamat klien cawangan, gateway lalainya, awalan mana yang diselesaikan melalui terowong, dan apa yang masih menjawab apabila terowong disekat. Keserasian, kebolehcapaian dan pelesenan semuanya perlu diperiksa terhadap dokumentasi vendor semasa untuk model yang tepat, kerana nama produk tidak menjamin sesuatu mod. Simpan halaman itu bersama rekod peranti supaya jurutera seterusnya mewarisi keputusan dan bukan rajah.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Ulang blok itu dengan terowong disekat, dan perbezaan antara dua larian ialah tingkah laku gangguan yang benar-benar anda beli.