Koji Sophos RED režim odgovara vašoj mreži podružnice?

Sophos RED je uloga za udaljenu lokaciju, a ne VPN protokol, pa poređenje sa IPsec ili OpenVPN odgovara na pogrešno pitanje. Uređaj proširuje kontrolu središnjeg firewall-a na podružnicu, a režim koji izaberete određuje ko obezbeđuje pristupnik podružnice, ko dodeljuje adrese i koji saobraćaj prolazi kroz tunel. Ta tri odgovora važnija su od naziva režima. Ako ih prvo zapišete, izbor proizvoda postaje projektna odluka.

RED je uloga, a ne protokol

Uređaj RED pridružuje podružnicu središnjem Sophos Firewall-u, a konfiguracija firewall-a određuje šta podružnica postaje. Tunel je pojedinost sprovođenja tog pridruživanja, a ne univerzalna završna tačka VPN-a koju možete usmeriti ka bilo kom partneru.

Taj okvir je važan jer RED nije zamenljiv sa proizvoljnim IPsec partnerom. Očekuje da njime upravlja središnji firewall, a podržani režimi opisuju koliki deo podružnice preuzima. Tretiranje uređaja kao obične završne tačke tunela stvara očekivanja koja proizvod nikada nije obećao. Tretiranje kao uloge daje pitanja koja zaista određuju projekat.

Tri uslova u nastavku menjaju odgovor i svi se tiču vlasništva, a ne šifrovanja.

Tri uslova koja biraju režim

Pitajte kome pripada pristupnik podružnice, ko vodi DHCP i DNS za klijente podružnice i mora li lokalni internet izlaz da preživi prekid tunela.

Standard/Unified na sva tri pitanja odgovara isto: središnji firewall poseduje LAN podružnice, uključujući dužnosti pristupnika i DHCP-a, a saobraćaj prolazi kroz tunel. Standard/Split zadržava središnje upravljanje i kroz tunel šalje samo konfigurisane mreže. Transparent/Split ostavlja postojeću mrežu podružnice da upravlja sopstvenim pristupnikom i adresama i u tunel preusmerava samo izabrani saobraćaj. Tri režima, tri različita vlasnika.

Prvo pročitajte srednju kolonu jer ona određuje koliko podružnice još radi kada tunela nema.

Kome pripadaju pristupnik podružnice i DHCP

U objedinjenom rasporedu podružnica nema samostalan pristupnik, što pojednostavljuje konfiguraciju i koncentriše kvar. Ta koncentracija je u redu kada je podružnica mala, a središnji firewall visoke dostupnosti.

U prozirnom rasporedu podružnica zadržava svoj usmerivač, a RED stoji u putanji kako bi preusmeravao izabrani saobraćaj. To čuva lokalnu kontrolu i dodaje uređaj čiji položaj u putanji sada postaje važan za svaki preusmereni tok. Zabeležite gde stoji jer ga kasnija promena usmerivača podružnice može tiho zaobići. Nijedan raspored nije opšte bolji; oni različito raspodeljuju odgovornost.

Vlasništvo nad adresama deo je koji treba zapisati jer dva DHCP servera na istom segmentu stvaraju povremene kvarove koji se prijavljuju kao VPN problemi.

Šta se dešava kada tunel padne

Split rad se često čita kao obećanje da lokalni internet nastavlja da radi tokom kvara tunela, a to čitanje nije sigurno. Tačno ponašanje zavisi od izabranog režima, firmvera i uređaja, pa mu je mesto u kriterijumima prihvatanja, a ne u pretpostavci.

Odredite šta podružnica mora još da radi bez tunela: da dosegne lokalne štampače, razreši imena, prima uplate ili ništa. Zatim to stanje namerno proverite blokiranjem tunela i posmatranjem podružnice. Podružnica koja tiho izgubi DNS gora je od one koja glasno zakaže, jer poziv podršci dolazi satima kasnije. Zapišite uočeni rezultat u projektni zapis.

Središnja zavisnost ista je u svakom režimu: neko mora da poseduje put oporavka samog uređaja.

Zapišite ugovor o podružnici pre postavljanja

Ugovor o podružnici staje na jednu stranicu: vlasnici, izvori adresa, prefiksi kroz tunel, politika izlaza i prihvaćeno ponašanje pri prekidu.

Zatim proverite postavljeni rezultat, a ne nameravani. Proverite adresu klijenta podružnice, njegov podrazumevani pristupnik, koji se prefiksi razrešavaju kroz tunel i šta još odgovara kada je tunel blokiran. Kompatibilnost, dostupnost i licenciranje sve treba proveriti prema aktuelnoj dokumentaciji dobavljača za tačan model, jer naziv proizvoda ne jamči režim. Držite tu stranicu uz zapis o uređaju kako bi sledeći inženjer nasledio odluke, a ne dijagram.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Ponovite taj blok sa blokiranim tunelom, a razlika između dva pokretanja je ponašanje pri prekidu koje ste zaista kupili.