Usmjerite jednu podmrežu podružnice kroz internet izlaz SonicWall-a u sjedištu

Telefoni podružnice treba da izlaze kroz sjedište dok laptopi podružnice nastavljaju koristiti lokalni WAN, a sama politika ruta to neće ostvariti. Ruta podružnice može odabrati tunel, ali politika tunela mora prihvatiti saobraćaj, sjedište ga mora proslijediti i prevesti, a odgovor se mora vratiti istim putem. Propustite bilo šta od toga troje i simptom će biti podskup klijenata koji gube internet tačno dok je tunel aktivan.

Počnite sa selektorom, a ne sa rutom

Politika rutiranja podudara se po izvoru, pa izvor mora biti stabilan prije svega ostalog. Stavite odabrane uređaje u adresnu grupu koju administrator održava, ili još bolje, na posvećeni segment čije članstvo prati ulogu uređaja. Kada obično mijenjanje DHCP-a može premjestiti podudarni naslov na drugu mašinu, politika tiho odabire pogrešnog klijenta, a prvi izvještaj obično se odnosi na sporo pretraživanje koje je zapravo obilazak.

Imenujte grupu po politici kojoj služi, a ne po spratu ili odjeljenju, jer će pravilo rutiranja nadživjeti oboje. Zapišite koji su uređaji u njoj i ko smije dodati još jedan.

Dodajte politiku podružnice, pa zaštitite njen redoslijed

Na SonicWall-u podružnice politika rute odabire grupu izvora, imenuje namjeravana odredišta i postavlja interfejs tunela kao pristupnik, a upravo za to postoji podržani dizajn interfejsa tunela. Držite pravila za lokalna i privatna odredišta iznad širokog internet pravila, jer prvo podudaranje pobjeđuje, a privatni prefiks gurnut u tunel stiže u sjedište samo da bi bio odbačen. Sačuvajte i vlastitu rutu firewall-a do njegovog VPN partnera, inače će transport tunela slijediti politiku o kojoj ovisi. Ništa od ovoga ne prisiljava vas da pretvorite svaki postojeći tunel zasnovan na politici; interfejs tunela je jedan podržani izbor među nekoliko.

Redoslijed je dio koji se mijenja slučajno. Svako ko dodaje izuzetak mora ga umetnuti iznad širokog pravila, a svako ko uređuje široko pravilo može preokrenuti cijeli dizajn jednim snimanjem. Zapišite namjeravani redoslijed uz politiku i provjerite ga ponovo nakon ažuriranja firmvera, jer se imenovanje interfejsa i prikaz politika doista mijenjaju između izdanja.

Završite putanju u sjedištu

Politika tunela u sjedištu mora prihvatiti saobraćaj koji ruta podružnice sada odabire. Međukancelarijski selektor ograničen na privatni LAN sjedišta nije dozvola za prenošenje proizvoljnih javnih odredišta, pa politika treba izvor podružnice i raspon odredišta koji zaista namjeravate. Sjedište zatim prosljeđuje taj dolazni saobraćaj na svoj internet uplink po vlastitim pravilima pristupa, a primjer centralnog izlaza SonicWall-a uključuje prevođenje izvora za udaljenu mrežu na centralnom WAN-u. Bez tog prevođenja daleka strana vidi privatnu adresu podružnice i nema rutu natrag do nje.

Odgovori su druga polovina ugovora. Moraju se vratiti kroz tunel ili kroz prevod sa stanjem stvoren za njih, a saobraćaj privatnih lokacija može zahtijevati drugačiji NAT tretman od javnog izlaza. Držite ta pravila razlučivima, jer jedno široko pravilo prevođenja koje skriva svaki unutrašnji izvor čini kasnije evidentiranje i rješavanje problema mnogo težim za čitanje.

Odlučite šta grupa radi kada tunel padne

Ako je centralni izlaz uslov, a ne preferencija, vraćanje na lokalni WAN je kršenje usklađenosti čak i ako korisnici ostanu na mreži. SonicOS dokumentuje rutu s odbacivanjem interfejsa tunela kao podržani način da se spriječi da odabrani saobraćaj krene nenamjeravanim alternativnim putem.

Uskladite obim i prioritet te rute sa instaliranim izdanjem i testirajte je rušenjem tunela umjesto vjerovanja oznaci. Grupa koja nikada ne smije izlaziti lokalno treba da ne uspije zatvoreno, dok grupa kojoj je dostupnost važnija može legitimno nazadovati; oboje su odluke i nijedno se ne smije dogoditi po zadanom.

Provjerite sa tri klijenta, zatim se čisto vratite

Ping prema centralnom pristupniku testira pogrešnu stvar, jer potiče sa firewall-a, a ne sa odabranog klijenta. Umjesto toga testirajte sa uređaja i testirajte tri od njih: odabrani uređaj, običan uređaj koji treba ostati lokalno, i jedan koji zavisi od lokalnih servisa.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Uporedite gdje se javni zahtjev zapravo pojavio. Odabrani klijent treba dosegnuti internet kroz izlaz sjedišta, a običan klijent treba i dalje predstavljati vlastitu adresu podružnice na dalekoj strani; 203.0.113.10 je dokumentacijska adresa koja se koristi kao zamjena za odredište koje vas zanima. Uključite DNS u isti prolaz, jer klijent koji pita rezolver podružnice može proizvesti pretragu podrijetlom od rutera s drugačijim izvorom i stoga drugačijom rutom.

Vraćanje je sačuvani redoslijed politika plus adresna grupa. Vratite prethodni redoslijed, uklonite grupu iz politike i ponovo testirajte obje klase uređaja. Čuvajte izvezenu konfiguraciju uz zapis o promjeni, jer sljedeći inženjer mora znati koje je pravilo bilo široko prije nego što ga je neko uredio.