Kva Sophos RED-modus passar filialnettet ditt?

Sophos RED er ei rolle for ein ekstern stad og ikkje ein VPN-protokoll, og difor svarar ein samanliknad med IPsec eller OpenVPN på feil spørsmål. Eininga utvidar kontrollen til ein sentral brannmur til ein filial, og modusen du vel avgjer kven som leverer gatewayen til filialen, kven som deler ut adresser og kva trafikk som går gjennom tunnelen. Dei tre svara veg tyngre enn namna på modusane. Å skrive dei ned først gjer eit produktval om til eit designval.

RED er ei rolle, ikkje ein protokoll

Ei RED-eining koplar ein filial til ein sentral Sophos Firewall, og konfigurasjonen av brannmuren avgjer kva filialen blir. Tunnelen er ein implementasjonsdetalj ved denne koplinga, ikkje eit generelt VPN-endepunkt du kan rette mot kven som helst motpart.

Den ramma er viktig fordi ei RED ikkje kan bytast ut med ein vilkårleg IPsec-motpart. Ho ventar at den sentrale brannmuren styrer henne, og dei støtta modusane skildrar kor mykje av filialen ho tek over. Å handsame henne som eit vanleg tunnelendepunkt skaper forventningar produktet aldri lova. Å handsame henne som ei rolle gir spørsmåla som faktisk avgjer designet.

Dei tre vilkåra nedanfor endrar svaret, og alle handlar om eigarskap og ikkje om kryptering.

Tre vilkår som vel modusen

Spør kven som eig gatewayen til filialen, kven som køyrer DHCP og DNS for klientane i filialen, og om lokal internettutgang må overleve eit tunnelutfall.

Standard/Unified svarar på alle tre på same måte: den sentrale brannmuren eig LAN-et i filialen, inkludert gateway- og DHCP-oppgåver, og trafikken går gjennom tunnelen. Standard/Split held på sentral styring og sender berre dei konfigurerte netta gjennom tunnelen. Transparent/Split lèt det eksisterande filialnettet styre sin eigen gateway og eigne adresser, og omdirigerer berre vald trafikk inn i tunnelen. Tre modusar, tre ulike eigarar.

Les den midtre kolonnen først, fordi han avgjer kor mykje av filialen som framleis verkar når tunnelen er borte.

Kven eig gatewayen til filialen og DHCP

I den samla ordninga har filialen ingen sjølvstendig gateway, noko som gjer konfigurasjonen enklare og samlar feilen på eitt sted. Den samlinga er grei når filialen er liten og den sentrale brannmuren har høg tilgjenge.

I ei gjennomsiktig utrulling held filialen på sin eigen ruter, og RED sit i linja for å omdirigere vald trafikk. Det bevarar lokal kontroll og legg til ei eining der plasseringa i løypa no tel for kvar omdirigert straum. Dokumenter kvar ho sit, fordi ei seinare endring i ruteren til filialen kan gå rundt henne i det stille. Ingen av ordningane vinn generelt; dei fordeler ansvaret ulikt.

Adresseeige er den delen som må skrivast ned, fordi to DHCP-tenarar på same segment gir periodiske feil som blir rapporterte som VPN-problem.

Kva skjer når tunnelen fell

Split-drift blir ofte lesen som eit løfte om at lokalt internett held fram med å verke under eit tunnelutfall, og den lesinga er ikkje trygg. Den nøyaktige åtferda kjem an på vald modus, fastvaren og eininga, så ho høyrer i akseptkriteria og ikkje i ei føresetnad.

Avgjer kva filialen framleis må gjere utan tunnel: nå lokale skrivarar, slå opp namn, ta imot betalingar eller ingenting. Test deretter den tilstanden med vilje ved å blokkere tunnelen og observere filialen. Ein filial som stille mistar DNS er verre enn ein som feilar høgt, fordi samtalen til brukarstøtta kjem timar seinare. Skriv det observerte resultatet i designnotatet.

Den sentrale avhengnaden er den same i alle modusar: nokon må eige gjenopprettingsvegen for sjølve eininga.

Skriv filialkontrakten før du rullar ut

Ein filialkontrakt får plass på éi side: eigarar, adressekjelder, tunnelde prefiks, utbrotsreglar og utfallsåtferda du har akseptert.

Verifiser deretter det utrulla resultatet og ikkje det tiltenkte. Kontroller adressa til filialklienten, standardgatewayen, kva prefiks som blir løyste gjennom tunnelen, og kva som framleis svarar når tunnelen er blokkert. Kompatibilitet, nåbarheit og lisensiering må alle sjekkast mot gjeldande dokumentasjon frå leverandøren for den nøyaktige modellen, fordi eit produktnamn ikkje garanterer ein modus. Ta vare på den sida saman med einingsoppføringa, slik at neste ingeniør arvar avgjerdene og ikkje diagrammet.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Gjenta den blokka med tunnelen blokkert, og skilnaden mellom dei to køyringane er den utfallsåtferda du faktisk kjøpte.