Hvilken Sophos RED-modus passer filialnettet ditt?

Sophos RED er en rolle for et eksternt sted og ikke en VPN-protokoll, og derfor svarer en sammenligning med IPsec eller OpenVPN på feil spørsmål. Enheten utvider kontrollen til en sentral brannmur til en filial, og modusen du velger avgjør hvem som leverer filialens gateway, hvem som deler ut adresser og hvilken trafikk som går gjennom tunnelen. De tre svarene veier tyngre enn navnene på modusene. Å skrive dem ned først gjør et produktvalg om til en designbeslutning.

RED er en rolle, ikke en protokoll

En RED-enhet kobler en filial til en sentral Sophos Firewall, og brannmurens konfigurasjon bestemmer hva filialen blir. Tunnelen er en implementasjonsdetalj ved denne tilkoblingen, ikke et generelt VPN-endepunkt du kan rette mot en hvilken som helst motpart.

Den rammen er viktig fordi en RED ikke kan byttes ut med en vilkårlig IPsec-motpart. Den forventer at den sentrale brannmuren styrer den, og de støttede modusene beskriver hvor mye av filialen den overtar. Å behandle den som et vanlig tunnelendepunkt skaper forventninger produktet aldri lovet. Å behandle den som en rolle gir spørsmålene som faktisk avgjør designet.

De tre betingelsene nedenfor endrer svaret, og alle handler om eierskap og ikke om kryptering.

Tre betingelser som velger modusen

Spør hvem som eier filialens gateway, hvem som kjører DHCP og DNS for filialens klienter, og om lokal internettutgang må overleve et tunnelutfall.

Standard/Unified svarer på alle tre på samme måte: den sentrale brannmuren eier filialens LAN, inkludert gateway- og DHCP-oppgaver, og trafikken går gjennom tunnelen. Standard/Split beholder sentral styring og sender bare de konfigurerte nettene gjennom tunnelen. Transparent/Split lar det eksisterende filialnettet styre sin egen gateway og sine egne adresser, og omdirigerer bare valgt trafikk inn i tunnelen. Tre moduser, tre ulike eiere.

Les den midterste kolonnen først, fordi den avgjør hvor mye av filialen som fortsatt virker når tunnelen er borte.

Hvem eier filialens gateway og DHCP

I det samlede arrangementet har filialen ingen selvstendig gateway, noe som forenkler konfigurasjonen og samler feilen på ett sted. Den samlingen er grei når filialen er liten og den sentrale brannmuren har høy tilgjengelighet.

I en gjennomsiktig utrulling beholder filialen sin egen ruter, og RED sitter i linjen for å omdirigere valgt trafikk. Det bevarer lokal kontroll og legger til en enhet hvis plassering i ruten nå betyr noe for hver omdirigert strøm. Dokumenter hvor den sitter, fordi en senere endring i filialens ruter kan omgå den i det stille. Ingen av arrangementene vinner generelt; de fordeler ansvaret ulikt.

Adresseierskap er den delen som må skrives ned, fordi to DHCP-servere på samme segment gir periodiske feil som rapporteres som VPN-problemer.

Hva skjer når tunnelen faller

Split-drift leses ofte som et løfte om at lokalt internett fortsetter å virke under et tunnelutfall, og den lesningen er ikke trygg. Den nøyaktige oppførselen avhenger av valgt modus, fastvaren og enheten, så den hører i akseptkriteriene og ikke i en antakelse.

Bestem hva filialen fortsatt må gjøre uten tunnel: nå lokale skrivere, slå opp navn, ta imot betalinger eller ingenting. Test deretter den tilstanden med vilje ved å blokkere tunnelen og observere filialen. En filial som stille mister DNS er verre enn en som feiler høyt, fordi samtalen til brukerstøtten kommer timer senere. Skriv det observerte resultatet i designnotatet.

Den sentrale avhengigheten er den samme i alle moduser: noen må eie gjenopprettingsveien for selve enheten.

Skriv filialkontrakten før du ruller ut

En filialkontrakt får plass på én side: eiere, adressekilder, tunnelerte prefikser, utbruddspolicy og utfallsadferden du har akseptert.

Verifiser deretter det utrullede resultatet og ikke det tiltenkte. Kontroller filialklientens adresse, standardgatewayen, hvilke prefikser som løses gjennom tunnelen, og hva som fortsatt svarer når tunnelen er blokkert. Kompatibilitet, nåbarhet og lisensiering må alle sjekkes mot leverandørens gjeldende dokumentasjon for den nøyaktige modellen, fordi et produktnavn ikke garanterer en modus. Ta vare på den siden sammen med enhetsregistreringen, slik at neste ingeniør arver beslutningene og ikke diagrammet.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Gjenta den blokken med tunnelen blokkert, og forskjellen mellom de to kjøringene er den utfallsadferden du faktisk kjøpte.