Welke Sophos RED-modus past bij jouw filiaalnetwerk?

Sophos RED is een rol voor een externe locatie en geen VPN-protocol, daarom beantwoordt een vergelijking met IPsec of OpenVPN de verkeerde vraag. Het apparaat breidt de controle van een centrale firewall uit naar een vestiging, en de modus die je kiest bepaalt wie de gateway van de vestiging levert, wie adressen uitgeeft en welk verkeer door de tunnel gaat. Die drie antwoorden wegen zwaarder dan de namen van de modi. Ze eerst opschrijven maakt van een productkeuze een ontwerpbeslissing.

RED is een rol, geen protocol

Een RED-apparaat koppelt een vestiging aan een centrale Sophos Firewall, en de configuratie van de firewall bepaalt wat de vestiging wordt. De tunnel is een implementatiedetail van die koppeling, geen algemeen VPN-eindpunt dat je op een willekeurige peer kunt richten.

Dat kader is belangrijk omdat een RED niet uitwisselbaar is met een willekeurige IPsec-peer. Hij verwacht dat de centrale firewall hem beheert, en de ondersteunde modi beschrijven hoeveel van de vestiging hij overneemt. Hem als een gewoon tunneleindpunt behandelen schept verwachtingen die het product nooit beloofde. Hem als rol behandelen levert de vragen op die het ontwerp werkelijk bepalen.

De drie voorwaarden hieronder veranderen het antwoord, en ze gaan allemaal over eigendom en niet over versleuteling.

Drie voorwaarden die de modus kiezen

Vraag wie de gateway van de vestiging bezit, wie DHCP en DNS voor vestigingsclients draait, en of lokale internetuitbraak een tunnelstoring moet overleven.

Standard/Unified beantwoordt alle drie hetzelfde: de centrale firewall bezit het LAN van de vestiging, inclusief gateway- en DHCP-taken, en verkeer gaat door de tunnel. Standard/Split houdt centraal beheer en stuurt alleen de geconfigureerde netwerken door de tunnel. Transparent/Split laat het bestaande vestigingsnetwerk zijn eigen gateway en adressen beheren, en leidt alleen geselecteerd verkeer de tunnel in. Drie modi, drie verschillende eigenaren.

Lees eerst de middelste kolom, want die bepaalt hoeveel van de vestiging nog werkt als de tunnel weg is.

Wie bezit de gateway van de vestiging en DHCP

In de uniforme opstelling heeft de vestiging geen zelfstandige gateway, wat de configuratie vereenvoudigt en de storing concentreert. Die concentratie is prima als de vestiging klein is en de centrale firewall hoog beschikbaar is.

In een transparante uitrol behoudt de vestiging zijn eigen router en zit de RED in de lijn om geselecteerd verkeer om te leiden. Dat behoudt lokale controle en voegt een apparaat toe waarvan de positie in het pad nu telt voor elke omgeleide stroom. Documenteer waar hij zit, want een latere wijziging aan de router van de vestiging kan hem stilzwijgend omzeilen. Geen van beide opstellingen wint in het algemeen; ze verdelen verantwoordelijkheid anders.

Adreseigendom is het deel dat je moet opschrijven, want twee DHCP-servers op één segment veroorzaken wisselende fouten die als VPN-problemen worden gemeld.

Wat er gebeurt als de tunnel wegvalt

Split-werking wordt vaak gelezen als de belofte dat lokaal internet blijft werken tijdens een tunnelstoring, en die lezing is niet veilig. Het exacte gedrag hangt af van de gekozen modus, de firmware en het apparaat, dus het hoort in de acceptatiecriteria en niet in een aanname.

Bepaal wat de vestiging zonder tunnel nog moet doen: lokale printers bereiken, namen oplossen, betalingen aannemen of helemaal niets. Test die toestand daarna bewust door de tunnel te blokkeren en de vestiging te observeren. Een vestiging die stil DNS verliest is erger dan een die luid faalt, want de helpdeskoproep komt uren later. Schrijf het waargenomen resultaat in het ontwerpdossier.

De centrale afhankelijkheid is in elke modus hetzelfde: iemand moet het herstelpad voor het apparaat zelf bezitten.

Schrijf het vestigingscontract voordat je uitrolt

Een vestigingscontract past op één pagina: eigenaren, adresbronnen, getunnelde prefixen, uitbraakbeleid en het geaccepteerde storingsgedrag.

Verifieer daarna het uitgerolde resultaat en niet het beoogde. Controleer het adres van de vestigingsclient, zijn standaardgateway, welke prefixen via de tunnel worden opgelost en wat nog antwoordt als de tunnel is geblokkeerd. Compatibiliteit, bereikbaarheid en licenties moeten allemaal tegen de actuele leveranciersdocumentatie voor het exacte model worden gecontroleerd, want een productnaam garandeert geen modus. Bewaar die pagina bij het apparaatdossier, zodat de volgende engineer de beslissingen erft en niet het diagram.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Herhaal dat blok met de tunnel geblokkeerd, en het verschil tussen de twee runs is het storingsgedrag dat je werkelijk hebt gekocht.