Care mod Sophos RED se potrivește rețelei sucursalei tale?

Sophos RED este un rol pentru o locație îndepărtată și nu un protocol VPN, de aceea comparația cu IPsec sau OpenVPN răspunde la întrebarea greșită. Dispozitivul extinde controlul unui firewall central asupra unei sucursale, iar modul ales decide cine furnizează gateway-ul sucursalei, cine distribuie adrese și ce trafic trece prin tunel. Aceste trei răspunsuri cântăresc mai mult decât numele modurilor. Scrise mai întâi, transformă o alegere de produs într-o decizie de proiectare.

RED este un rol, nu un protocol

Un dispozitiv RED leagă o sucursală de un Sophos Firewall central, iar configurația firewall-ului decide ce devine sucursala. Tunelul este un detaliu de implementare al acestei legături, nu un punct final VPN general pe care îl poți îndrepta spre orice partener.

Această încadrare contează pentru că un RED nu este interschimbabil cu un partener IPsec oarecare. Se așteaptă ca firewall-ul central să îl administreze, iar modurile acceptate descriu cât din sucursală preia. Tratat ca un punct final obișnuit de tunel, creează așteptări pe care produsul nu le-a promis niciodată. Tratat ca rol, produce întrebările care decid cu adevărat proiectarea.

Cele trei condiții de mai jos schimbă răspunsul și toate se referă la proprietate, nu la criptare.

Trei condiții care aleg modul

Întreabă cine deține gateway-ul sucursalei, cine rulează DHCP și DNS pentru clienții sucursalei și dacă ieșirea locală la internet trebuie să supraviețuiască unei căderi a tunelului.

Standard/Unified răspunde la toate trei la fel: firewall-ul central deține LAN-ul sucursalei, inclusiv sarcinile de gateway și DHCP, iar traficul trece prin tunel. Standard/Split păstrează administrarea centrală și trimite prin tunel doar rețelele configurate. Transparent/Split lasă rețeaua existentă a sucursalei să își administreze propriul gateway și propriile adrese și redirecționează spre tunel doar traficul selectat. Trei moduri, trei proprietari diferiți.

Citește mai întâi coloana din mijloc, pentru că ea decide cât din sucursală mai funcționează când tunelul lipsește.

Cine deține gateway-ul sucursalei și DHCP

În aranjamentul unificat sucursala nu are un gateway independent, ceea ce simplifică configurarea și concentrează defecțiunea. Această concentrare este în regulă când sucursala este mică și firewall-ul central are disponibilitate ridicată.

Într-o implementare transparentă sucursala își păstrează routerul, iar RED stă în cale pentru a redirecționa traficul selectat. Asta păstrează controlul local și adaugă un dispozitiv a cărui poziție în cale contează acum pentru fiecare flux redirecționat. Documentează unde stă, pentru că o modificare ulterioară la routerul sucursalei îl poate ocoli în liniște. Niciun aranjament nu câștigă în general; ele împart responsabilitatea diferit.

Proprietatea adreselor este partea de scris, pentru că două servere DHCP în același segment produc defecțiuni intermitente raportate ca probleme de VPN.

Ce se întâmplă când tunelul cade

Operarea în Split este adesea citită ca promisiunea că internetul local continuă să funcționeze în timpul unei defecțiuni a tunelului, iar această lectură nu este sigură. Comportamentul exact depinde de modul ales, de firmware și de dispozitiv, așa că îi este locul în criteriile de acceptare, nu într-o presupunere.

Decide ce trebuie să mai facă sucursala fără tunel: să ajungă la imprimante locale, să rezolve nume, să încaseze plăți sau nimic. Apoi testează acea stare intenționat, blocând tunelul și observând sucursala. O sucursală care pierde DNS în liniște este mai rea decât una care eșuează zgomotos, pentru că apelul la suport ajunge ore mai târziu. Scrie rezultatul observat în fișa de proiectare.

Dependența centrală este aceeași în fiecare mod: cineva trebuie să dețină calea de recuperare a dispozitivului însuși.

Scrie contractul sucursalei înainte de a implementa

Un contract de sucursală încape pe o pagină: proprietari, surse de adrese, prefixe tunelate, politica de ieșire și comportamentul la defecțiune pe care l-ai acceptat.

Apoi verifică rezultatul implementat, nu cel intenționat. Verifică adresa clientului sucursalei, gateway-ul său implicit, ce prefixe se rezolvă prin tunel și ce mai răspunde când tunelul este blocat. Compatibilitatea, accesibilitatea și licențierea trebuie toate verificate față de documentația actuală a furnizorului pentru modelul exact, pentru că un nume de produs nu garantează un mod. Păstrează acea pagină împreună cu fișa dispozitivului, ca următorul inginer să moștenească deciziile, nu diagrama.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Repetă acel bloc cu tunelul blocat, iar diferența dintre cele două rulări este comportamentul la defecțiune pe care l-ai cumpărat cu adevărat.