Rut eit filialundersnett ut gjennom SonicWall-internetuttaket til hovudkontoret

Filialtelefonar bør gå ut gjennom hovudkontoret medan filialberbare framleis brukar den lokale WAN-en, og rutepolitikken åleine leverer ikkje det. Ei filialrute kan velje tunnelen, men tunnelpolitikken må godta trafikken, hovudkontoret må vidaresende og setje han om, og svaret må kome tilbake same vegen. Manglar eitt av desse tre, er symptomet ei delmengd klientar som mistar internett akkurat medan tunnelen er oppe.

Byrja med veljaren, ikkje ruta

Rutepolitikken matchar på ei kjelde, så kjelda må vere stabil før noko anna. Set dei valde einingane i ei adressegruppe som ein administrator held ved like, eller betre, på eit dedikert segment der medlemskapen følgjer einingrolla. Når vanleg DHCP-utskifting kan flytte ei matcha adresse til ein annan maskin, vel politikken stille feil klient, og den første rapporten handlar vanlegvis om treg surfing som eigentleg er ein omveg.

Namngi gruppa etter politikken ho tener, ikkje etter ein etasje eller avdeling, fordi ruterregelen vil overleve båe. Noter kva einingar som er i ho, og kven som kan leggje til ei.

Legg til filialpolitikken, og forvar deretter rekkjefølgja

På filialens SonicWall vel ein rutepolitikk kjeldegruppa, namngir dei tiltenkte destinasjonane og set tunnelgrensesnittet som gateway, og det er nettopp derfor det støtta tunnelgrensesnittdesignet finst. Hald reglar for lokale og private destinasjonar over den breie internettregelen, fordi første treff vinn, og eit privat prefiks som blir skyvd inn i tunnelen, når hovudkontoret berre for å bli droppa. Ta vare på brannmuren si eiga rute til VPN-motparten, elles vil tunneltransporten følgje politikken han er avhengig av. Ingenting av dette tvingar deg til å konvertere kvar eksisterande politikkbasert tunnel; eit tunnelgrensesnitt er eitt støtta val blant fleire.

Rekkjefølgja er den delen som blir endra ved eit uhell. Den som legg til eit unntak, må setje det inn over den breie regelen, og den som redigerer den breie regelen, kan snu heile designet med éi lagring. Skriv den tiltenkte rekkjefølgja ved sida av politikken og kontroller ho på nytt etter fastvareoppdateringar, fordi grensesnittnamn og policygjengiving faktisk endrar seg mellom versjonar.

Fullfør vegen i hovudkontoret

Tunnelpolitikken i hovudkontoret må godta trafikken som filialruta no vel. Ein kontor-til-kontor-veljar avgrensa til det private LAN-et til hovudkontoret er ikkje løyve til å føre vilkårlege offentlege destinasjonar, så politikken treng filialkjelda og destinasjonsområdet du faktisk meiner. Hovudkontoret vidaresender deretter den ankommande trafikken til internettopplinken sin etter sine eigne tilgangsreglar, og SonicWall sitt døme på sentralt uttak inkluderer kjeldeomsetting for fjernnettverket ved den sentrale WAN-en. Utan den omsettinga ser den fjerne sida ei privat filialadresse og har inga rute tilbake til ho.

Svara er den andre halvdelen av kontrakten. Dei må kome tilbake gjennom tunnelen eller gjennom den tilstandsfulle omsettinga som er laga for dei, og trafikk til private nettstadar kan trengje ei anna NAT-handsaming enn offentleg utgang. Hald desse reglane atskilbare, fordi éin brei omsettingsregel som skjuler kvar intern kjelde gjer seinare logging og feilsøking mykje vanskelegare å lese.

Avgjer kva gruppa gjer når tunnelen fell

Viss det sentrale uttaket er eit krav og ikkje ein preferanse, er tilbakefall til den lokale WAN-en eit samsvarsbrot sjølv om brukarane blir verande på nettet. SonicOS dokumenterer ei rute med dropp av tunnelgrensesnittet som den støtta måten å hindre utvald trafikk i å ta ein utilsikta alternativ veg.

Tilpass omfanget og prioriteten til ruta til den installerte versjonen, og test ho ved å ta tunnelen ned i staden for å stole på etiketten. Ei gruppe som aldri skal gå ut lokalt, bør feile lukka, medan ei gruppe der tilgjenge betyr meir, kan falle tilbake på lovleg vis; båe er avgjerder, og ingen av dei bør skje som standard.

Stadfest frå tre klientar, og rull deretter reint tilbake

Ein ping til den sentrale gatewayen testar feil ting, fordi han kjem frå brannmuren og ikkje frå ein vald klient. Test frå einingar i staden, og test tre av dei: ei vald eining, ei vanleg eining som skal halde fram lokalt, og éi som er avhengig av lokale tenester.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Samanlikn kvar den offentlege førespurnaden faktisk dukka opp. Ein vald klient bør nå internett gjennom uttaket til hovudkontoret, og ein vanleg klient bør framleis vise filialen si eiga adresse på den fjerne sida; 203.0.113.10 er ei dokumentasjonsadresse som blir brukt som erstatning for destinasjonen du bryr deg om. Ta med DNS i same runde, fordi ein klient som spør filialens resolver, kan produsere eit oppslag med opphav i ruteren med ei anna kjelde og derfor ei anna rute.

Tilbakerulling er den lagra policytilrekkjefølgja pluss adressegruppa. Gjenopprett den førre rekkjefølgja, fjern gruppa frå politikken, og test båe einingklassane på nytt. Ta vare på den eksporterte konfigurasjonen saman med endringsloggen, fordi den neste ingeniøren treng å vite kva regel som var den breie før nokon redigerte han.