Idderieġi subnet tal-fergħa mill-ħruġ tal-internet tas-SonicWall tal-kwartieri ġenerali

It-telefowns tal-fergħa għandhom joħorġu mill-kwartieri ġenerali filwaqt li l-laptops tal-fergħa jkomplu jużaw il-WAN lokali, u l-politika tar-rotot waħedha mhux se tagħti dan. Rotta tal-fergħa tista' tagħżel il-mina, imma il-politika tal-mina trid taċċetta t-traffiku, il-kwartieri ġenerali għandhom jgħadduh u jittraduċuh, u t-tweġiba trid tiġi lura mill-istess triq. Jekk titlef waħda minn dawn it-tlieta, is-sintomu jkun sottosett ta' klijenti li jitilfu l-internet eżattament waqt li l-mina tkun attiva.

Ibda mis-selettur, mhux mir-rotta

Il-politika tal-irrotar taqbel fuq sors, għalhekk is-sors irid ikun stabbli qabel kull ħaġa oħra. Poġġi l-apparati magħżula fi grupp tal-indirizzi li jżomm amministratur jew, aħjar, fuq segment iddedikat li l-membrija tiegħu ssegwi r-rwol tal-apparat. Meta l-bidla tas-soltu tad-DHCP tista' ċċaqlaq indirizz li jaqbel għal magna oħra, il-politika tagħżel bil-kwiet il-klijent żbaljat, u l-ewwel rapport is-soltu jkun dwar navigazzjoni bil-mod li fil-verità hija devjazzjoni.

Semmi l-grupp għall-politika li jaqdi, mhux għal sular jew dipartiment, għax ir-regola tal-irrotar se tibqa' aktar minn tnejn. Irreġistra liema apparati jinsabu fih u min jista' jżid wieħed.

Żid il-politika tal-fergħa, imbagħad iddefendi l-ordni tagħha

Fuq is-SonicWall tal-fergħa, politika tar-rotta tagħżel il-grupp tas-sors, issemmi d-destinazzjonijiet maħsuba u tissettja l-interface tal-mina bħala gateway, u għal dan eżattament teżisti d-disinn tal-interface tal-mina appoġġjat. Żomm ir-regoli għal destinazzjonijiet lokali u privati fuq ir-regola wiesgħa tal-internet, għax l-ewwel qbil jirbaħ u prefiss privat imbuttat fil-mina jasal il-kwartieri ġenerali biss biex jiġi mormi. Ippreserva wkoll ir-rotta tal-firewall stess lejn il-peer VPN tiegħu, inkella t-trasport tal-mina se jsegwi l-politika li tiddependi minnha. Xejn minn dan ma jġiegħlek tikkonverti kull mina eżistenti bbażata fuq politika; interface tal-mina hija għażla appoġġjata waħda fost diversi.

L-ordni hija l-parti li tinbidel bl-inċident. Kull min iżid eċċezzjoni jrid idaħħalha fuq ir-regola wiesgħa, u kull min jeditja r-regola wiesgħa jista' jaqleb id-disinn kollu b'ħażna waħda. Ikteb l-ordni maħsuba ħdejn il-politika u erġa' iċċekkjaha wara aġġornamenti tal-firmware, għax l-għoti tal-ismijiet tal-interfaces u r-rendering tal-politiki tassew jinbidlu bejn il-verżjonijiet.

Tlesti t-triq fil-kwartieri ġenerali

Il-politika tal-mina fil-kwartieri ġenerali trid taċċetta t-traffiku li r-rotta tal-fergħa issa tagħżel. Selettur bejn uffiċċji limitat għal-LAN privat tal-kwartieri ġenerali mhuwiex permess li jġorr destinazzjonijiet pubbliċi arbitrarji, għalhekk il-politika teħtieġ is-sors tal-fergħa u l-firxa tad-destinazzjonijiet li tassew beħsiebek. Il-kwartieri ġenerali mbagħad jgħaddu dak it-traffiku dieħel lejn l-uplink tal-internet tagħhom skont ir-regoli tal-aċċess tagħhom, u l-eżempju tal-ħruġ ċentrali tas-SonicWall jinkludi traduzzjoni tas-sors għan-netwerk remot fil-WAN ċentrali. Mingħajr dik it-traduzzjoni n-naħa remota tara indirizz privat tal-fergħa u m'għandhiex rotta lura lejh.

It-tweġibiet huma n-nofs l-ieħor tal-kuntratt. Irridu jiġu lura mill-mina jew mit-traduzzjoni stateful maħluqa għalihom, u t-traffiku lejn siti privati jista' jeħtieġ trattament NAT differenti mill-ħruġ pubbliku. Żomm dawk ir-regoli distingwibbli, għax regola waħda wiesgħa ta' traduzzjoni li taħbi kull sors intern tagħmel ir-reġistrazzjoni u s-soluzzjoni tal-problemi aktar tard ferm aktar diffiċli biex tinqara.

Iddeċiedi x'jagħmel il-grupp meta taqa' l-mina

Jekk il-ħruġ ċentrali huwa rekwiżit u mhux preferenza, ir-ritorn għall-WAN lokali huwa falliment ta' konformità anki jekk l-utenti jibqgħu online. SonicOS jiddokumenta rotta li twarrab l-interface tal-mina bħala l-mod appoġġjat biex trażżan traffiku magħżul milli jieħu triq alternattiva mhux mixtieqa.

Qabbel l-ambitu u l-prijorità ta' dik ir-rotta mal-verżjoni installata, u ittestjaha billi tniżżel il-mina minflok ma tafda t-tikketta. Grupp li qatt m'għandu joħroġ lokalment għandu jonqos magħluq, filwaqt li grupp fejn id-disponibbiltà hija aktar importanti jista' leġittimament jaqa' lura; it-tnejn huma deċiżjonijiet, u lanqas waħda m'għandha sseħħ b'mod awtomatiku.

Ivverifika minn tliet klijenti, imbagħad erġa' lura b'mod nadif

Ping lejn il-gateway ċentrali jittestja l-ħaġa żbaljata, għax joħroġ mill-firewall u mhux minn klijent magħżul. Ittestja mill-apparati minflok, u ittestja tlieta minnhom: apparat magħżul, apparat ordinarju li għandu jibqa' lokali, u wieħed li jiddependi fuq servizzi lokali.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Qabbel fejn it-talba pubblika tassew ħarġet. Klijent magħżul għandu jilħaq l-internet mill-ħruġ tal-kwartieri ġenerali, u klijent ordinarju għandu xorta juri l-indirizz proprju tal-fergħa fin-naħa remota; 203.0.113.10 huwa indirizz tad-dokumentazzjoni użat bħala sostitut għad-destinazzjoni li tieħu ħsiebha. Inkludi d-DNS fl-istess pass, għax klijent li jistaqsi lir-resolver tal-fergħa jista' jipproduċi tfittxija li toriġina mir-router b'sors differenti u għalhekk rotta differenti.

Ir-rollback huwa l-ordni tal-politiki salvata flimkien mal-grupp tal-indirizzi. Erġa' stabbilixxi l-ordni preċedenti, neħħi l-grupp mill-politika, u erġa' ittestja ż-żewġ klassijiet tal-apparati. Żomm il-konfigurazzjoni esportata mar-rekord tal-bidla, għax l-inġinier li jmiss irid ikun jaf liema regola kienet il-wiesgħa qabel ma xi ħadd editjaha.