तपाईंको शाखा नेटवर्कका लागि कुन Sophos RED मोड उपयुक्त छ?
RED दुर्गम साइटको भूमिका हो, प्रोटोकल होइन। शाखाको गेटवे र DHCP कसको स्वामित्वमा छ भन्ने आधारमा Standard/Unified, Standard/Split वा Transparent/Split छान्नुहोस्।
Sophos RED कुनै VPN प्रोटोकल होइन, यो दुर्गम साइटको भूमिका हो, त्यसैले यसलाई IPsec वा OpenVPN सँग तुलना गर्नु गलत प्रश्नको उत्तर दिनु हो। यो उपकरण केन्द्रीय फायरवालको नियन्त्रण शाखासम्म विस्तार गर्छ, र तपाईंले छान्ने मोडले शाखाको गेटवे कसले दिन्छ, ठेगाना कसले बाँड्छ र कुन ट्राफिक सुरुङबाट जान्छ भन्ने निर्धारण गर्छ। ती तीन उत्तर मोडका नामभन्दा बढी महत्त्वपूर्ण छन्। तिनीहरूलाई पहिले लेख्नाले उत्पादनको छनोटलाई डिजाइनको निर्णय बनाउँछ।
RED भूमिका हो, प्रोटोकल होइन
RED उपकरणले शाखालाई केन्द्रीय Sophos Firewall मा जोड्छ, र फायरवालको कन्फिगरेसनले शाखा के बन्छ भन्ने निर्धारण गर्छ। सुरुङ त्यो जडानको कार्यान्वयन विवरण हो, कुनै पनि सहयात्रीतर्फ लक्षित गर्न सकिने सामान्य उद्देश्यको VPN अन्तिम बिन्दु होइन।
यो ढाँचा महत्त्वपूर्ण छ किनभने RED कुनै पनि IPsec सहयात्रीसँग साटासाट गर्न मिल्ने छैन। यसले केन्द्रीय फायरवालले आफूलाई व्यवस्थापन गर्ने अपेक्षा गर्छ, र समर्थित मोडहरूले शाखाको कति भाग यसले लिन्छ भन्ने वर्णन गर्छन्। यसलाई साधारण सुरुङ अन्तिम बिन्दु मान्दा उत्पादनले कहिल्यै नगरेको वाचाका अपेक्षा जन्मिन्छन्। यसलाई भूमिका मान्दा डिजाइन साँच्चै निर्धारण गर्ने प्रश्नहरू उठ्छन्।
तलका तीन सर्तहरूले उत्तर बदल्छन्, र ती सबै स्वामित्वको विषय हुन्, इन्क्रिप्सनको होइन।
मोड छान्ने तीन सर्त
शाखाको गेटवे कसको हो, शाखाका ग्राहकका लागि DHCP र DNS कसले चलाउँछ, र स्थानीय इन्टरनेट आउटलेटले सुरुङ अवरोध पनि सहनुपर्छ कि भनी सोध्नुहोस्।
Standard/Unified तीनैलाई एउटै तरिकाले उत्तर दिन्छ: केन्द्रीय फायरवाल शाखाको LAN गेटवे र DHCP का जिम्मेवारीसहित राख्छ, र ट्राफिक सुरुङबाट जान्छ। Standard/Split केन्द्रीय व्यवस्थापन राख्छ र कन्फिगर गरिएका नेटवर्क मात्र सुरुङबाट पठाउँछ। Transparent/Split विद्यमान शाखा नेटवर्कलाई यसकै गेटवे र ठेगाना सँभाल्न दिन्छ, र छानिएको ट्राफिक मात्र सुरुङमा मोड्छ। तीन मोड, तीन फरक स्वामी।
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
पहिले बीचको स्तम्भ पढ्नुहोस्, किनभने सुरुङ गएपछि शाखाको कति भाग अझै चल्छ भन्ने त्यसैले निर्धारण गर्छ।
शाखाको गेटवे र DHCP कसको हो
एकीकृत व्यवस्थापनमा शाखासँग स्वतन्त्र गेटवे हुँदैन, जसले कन्फिगरेसन सरल बनाउँछ र खराबीलाई एकै ठाउँमा केन्द्रित गर्छ। शाखा सानो हुँदा र केन्द्रीय फायरवाल उच्च उपलब्धतामा हुँदा त्यो केन्द्रीकरण ठीक हुन्छ।
पारदर्शी परिनियोजनमा शाखाले आफ्नै राउटर राख्छ र छानिएको ट्राफिक मोड्न RED बाटोमा बस्छ। यसले स्थानीय नियन्त्रण जोगाउँछ र बाटोमा यसको स्थान अब हरेक मोडिएको प्रवाहका लागि महत्त्वपूर्ण हुने उपकरण थप्छ। यो कहाँ बस्छ लेख्नुहोस्, किनभने पछि शाखाको राउटरमा गरिएको परिवर्तनले यसलाई चुपचाप बाइपास गर्न सक्छ। कुनै पनि व्यवस्थापन सामान्य रूपमा जित्दैन; तिनीहरूले जिम्मेवारी फरक तरिकाले बाँड्छन्।
ठेगानाको स्वामित्व लेख्नुपर्ने भाग हो, किनभने एउटै खण्डमा दुई DHCP सर्भरले VPN समस्या भनी रिपोर्ट गरिने रोकिएर हुने खराबी उत्पन्न गर्छन्।
सुरुङ खस्दा के हुन्छ
Split सञ्चालनलाई प्रायः सुरुङ असफल हुँदा पनि स्थानीय इन्टरनेट चलिरहने वाचाका रूपमा पढिन्छ, र त्यो पढाइ सुरक्षित छैन। ठ्याक्कै व्यवहार छानिएको मोड, फर्मवेयर र उपकरणमा निर्भर हुन्छ, त्यसैले यसको स्थान स्वीकृति मापदण्डमा पर्छ, अनुमानमा होइन।
सुरुङ बिना शाखाले अझ के गर्नुपर्छ निर्धारण गर्नुहोस्: स्थानीय प्रिन्टरसम्म पुग्ने, नाम समाधान गर्ने, भुक्तानी लिने, वा केही पनि नगर्ने। त्यसपछि सुरुङ अवरुद्ध गरेर र शाखा अवलोकन गरेर त्यो अवस्था जानाजान जाँच्नुहोस्। चुपचाप DNS गुमाउने शाखा ठूलो स्वरले असफल हुनेभन्दा नराम्रो हुन्छ, किनभने सहयोग डेस्कको फोन घण्टौंपछि आउँछ। अवलोकन गरिएको नतिजा डिजाइन अभिलेखमा लेख्नुहोस्।
केन्द्रीय निर्भरता हरेक मोडमा एउटै हुन्छ: कसैले उपकरणकै पुनःप्राप्ति मार्गको स्वामित्व लिनुपर्छ।
परिनियोजन अघि शाखा सम्झौता लेख्नुहोस्
शाखा सम्झौता एउटा पानामा अटाउँछ: स्वामी, ठेगानाका स्रोत, सुरुङबाट जाने प्रिफिक्स, आउटलेट नीति र तपाईंले स्वीकार गरेको अवरोध व्यवहार।
त्यसपछि लक्षित होइन, परिनियोजित नतिजा प्रमाणित गर्नुहोस्। शाखाका ग्राहकको ठेगाना, यसको पूर्वनिर्धारित गेटवे, कुन प्रिफिक्स सुरुङबाट समाधान हुन्छन् र सुरुङ अवरुद्ध हुँदा के अझै जवाफ दिन्छ जाँच्नुहोस्। अनुकूलता, पहुँच र इजाजतपत्र सबै ठ्याक्कै मोडेलका लागि विक्रेताको हालको कागजातसँग भिडाउनु आवश्यक छ, किनभने उत्पादनको नामले कुनै मोडको ग्यारेन्टी दिँदैन। त्यो पाना उपकरण अभिलेखसँगै राख्नुहोस्, ताकि अर्को इन्जिनियरले रेखाचित्र होइन, निर्णयहरू उत्तराधिकारमा पाउनेछन्।
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleसुरुङ अवरुद्ध राखेर त्यो ब्लक फेरि चलाउनुहोस्, र दुई पटकको फरक नै तपाईंले साँच्चै किनेको अवरोध व्यवहार हो।