Какой режим Sophos RED подходит для сети вашего филиала?
RED — это роль удалённой площадки, а не протокол. Выберите Standard/Unified, Standard/Split или Transparent/Split в зависимости от того, кому принадлежат шлюз филиала и DHCP.
Sophos RED — это роль удалённой площадки, а не протокол VPN, поэтому сравнение с IPsec или OpenVPN отвечает не на тот вопрос. Устройство распространяет контроль центрального межсетевого экрана на филиал, а выбранный режим определяет, кто предоставляет шлюз филиала, кто выдаёт адреса и какой трафик идёт через туннель. Эти три ответа важнее названий режимов. Если записать их первыми, выбор продукта превращается в проектное решение.
RED — это роль, а не протокол
Устройство RED подключает филиал к центральному Sophos Firewall, и именно конфигурация межсетевого экрана определяет, чем становится филиал. Туннель — деталь реализации этого подключения, а не универсальная конечная точка VPN, которую можно направить на любого партнёра.
Такая постановка важна, потому что RED не взаимозаменяем с произвольным партнёром IPsec. Он ожидает, что центральный межсетевой экран будет им управлять, а поддерживаемые режимы описывают, какую часть филиала он берёт на себя. Если считать его обычной конечной точкой туннеля, возникают ожидания, которых продукт никогда не обещал. Если считать его ролью, появляются вопросы, которые действительно определяют проект.
Три условия ниже меняют ответ, и все они о принадлежности, а не о шифровании.
Три условия, которые выбирают режим
Спросите, кому принадлежит шлюз филиала, кто обслуживает DHCP и DNS для клиентов филиала и должен ли локальный выход в интернет пережить обрыв туннеля.
Standard/Unified отвечает на все три одинаково: центральный межсетевой экран владеет локальной сетью филиала, включая задачи шлюза и DHCP, а трафик идёт через туннель. Standard/Split сохраняет центральное управление и отправляет через туннель только настроенные сети. Transparent/Split оставляет существующей сети филиала её собственный шлюз и адреса и направляет в туннель только выбранный трафик. Три режима, три разных владельца.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Сначала прочитайте средний столбец, потому что он определяет, какая часть филиала ещё работает, когда туннеля нет.
Кому принадлежат шлюз филиала и DHCP
В объединённой схеме у филиала нет самостоятельного шлюза, что упрощает настройку и концентрирует отказ. Такая концентрация нормальна, когда филиал небольшой, а центральный межсетевой экран обладает высокой доступностью.
При прозрачном развёртывании филиал сохраняет свой маршрутизатор, а RED стоит в разрыве, чтобы перенаправлять выбранный трафик. Это сохраняет локальный контроль и добавляет устройство, чьё место в пути теперь важно для каждого перенаправленного потока. Задокументируйте, где оно стоит, потому что более позднее изменение маршрутизатора филиала может незаметно его обойти. Ни одна схема не выигрывает в целом; они по-разному распределяют ответственность.
Право владения адресами — та часть, которую нужно записать, потому что два сервера DHCP в одном сегменте дают периодические сбои, которые сообщают как проблемы VPN.
Что происходит, когда туннель падает
Работу Split часто читают как обещание, что локальный интернет продолжает работать при отказе туннеля, и такое чтение небезопасно. Точное поведение зависит от выбранного режима, прошивки и устройства, поэтому ему место в критериях приёмки, а не в предположении.
Определите, что филиал должен делать без туннеля: достучаться до локальных принтеров, разрешать имена, принимать платежи или ничего. Затем проверьте это состояние намеренно, заблокировав туннель и наблюдая за филиалом. Филиал, который тихо теряет DNS, хуже того, который громко отказывает, потому что звонок в поддержку приходит через часы. Запишите наблюдённый результат в проектную запись.
Центральная зависимость одинакова во всех режимах: кто-то должен владеть путём восстановления самого устройства.
Запишите договор о филиале до развёртывания
Договор о филиале умещается на одной странице: владельцы, источники адресов, префиксы через туннель, политика выхода и принятое поведение при обрыве.
Затем проверяйте развёрнутый результат, а не задуманный. Проверьте адрес клиента филиала, его шлюз по умолчанию, какие префиксы разрешаются через туннель и что ещё отвечает при заблокированном туннеле. Совместимость, доступность и лицензирование нужно сверять с текущей документацией поставщика для точной модели, потому что название продукта не гарантирует режим. Храните эту страницу вместе с записью об устройстве, чтобы следующий инженер унаследовал решения, а не схему.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleПовторите этот блок при заблокированном туннеле, и разница между двумя запусками — это поведение при обрыве, которое вы действительно купили.