Ktorý režim Sophos RED sa hodí pre vašu pobočkovú sieť?
RED je rola pre vzdialené pracovisko, nie protokol. Vyberte Standard/Unified, Standard/Split alebo Transparent/Split podľa toho, komu patrí brána pobočky a DHCP.
Sophos RED je rola pre vzdialené pracovisko, nie protokol VPN, a preto porovnanie s IPsec alebo OpenVPN odpovedá na nesprávnu otázku. Zariadenie rozširuje kontrolu centrálneho firewallu na pobočku a zvolený režim určuje, kto dodáva bránu pobočky, kto prideľuje adresy a ktorá prevádzka prechádza tunelom. Tieto tri odpovede vážia viac než názvy režimov. Keď ich najprv zapíšete, zmení sa voľba produktu na návrhové rozhodnutie.
RED je rola, nie protokol
Zariadenie RED pripája pobočku k centrálnemu Sophos Firewallu a konfigurácia firewallu určuje, čím sa pobočka stane. Tunel je implementačný detail tohto pripojenia, nie univerzálny koncový bod VPN, ktorý môžete namieriť na ľubovoľný náprotivok.
Toto vymedzenie je dôležité, pretože RED nie je zameniteľný s ľubovoľným náprotivkom IPsec. Očakáva, že ho bude spravovať centrálny firewall, a podporované režimy opisujú, akú veľkú časť pobočky preberá. Chápať ho ako bežný koncový bod tunela vytvára očakávania, ktoré produkt nikdy nesľúbil. Chápať ho ako rolu prináša otázky, ktoré skutočne rozhodujú o návrhu.
Nasledujúce tri podmienky menia odpoveď a všetky sa týkajú vlastníctva, nie šifrovania.
Tri podmienky, ktoré určujú režim
Spýtajte sa, komu patrí brána pobočky, kto prevádzkuje DHCP a DNS pre klientov pobočky a či musí miestny internetový výstup prežiť výpadok tunela.
Standard/Unified odpovedá na všetky tri rovnako: centrálny firewall vlastní LAN pobočky vrátane povinností brány a DHCP a prevádzka prechádza tunelom. Standard/Split zachováva centrálnu správu a posiela tunelom len nakonfigurované siete. Transparent/Split necháva existujúcu sieť pobočky spravovať vlastnú bránu a adresy a do tunela presmerúva len vybranú prevádzku. Tri režimy, traja rôzni vlastníci.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Najprv si prečítajte stredný stĺpec, pretože určuje, aká veľká časť pobočky ešte funguje, keď tunel zmizne.
Komu patrí brána pobočky a DHCP
V jednotnom usporiadaní nemá pobočka samostatnú bránu, čo zjednodušuje konfiguráciu a sústreďuje poruchu. Toto sústredenie je v poriadku, keď je pobočka malá a centrálny firewall má vysokú dostupnosť.
V transparentnom nasadení si pobočka ponecháva svoj router a RED stojí v ceste, aby presmerúval vybranú prevádzku. To zachováva miestnu kontrolu a pridáva zariadenie, ktorého poloha v ceste teraz rozhoduje pre každý presmerovaný tok. Zdokumentujte, kde stojí, pretože neskoršia zmena routera pobočky ho môže potichu obísť. Ani jedno usporiadanie nie je vo všeobecnosti lepšie; rozdeľujú zodpovednosť rôzne.
Vlastníctvo adries je časť, ktorú treba zapísať, pretože dva servery DHCP v jednom segmente vytvárajú občasné poruchy, ktoré sa hlásia ako problémy s VPN.
Čo sa stane, keď tunel padne
Prevádzka v režime Split sa často číta ako sľub, že miestny internet funguje aj počas výpadku tunela, a také čítanie nie je bezpečné. Presné správanie závisí od zvoleného režimu, firmvéru a zariadenia, takže patrí do akceptačných kritérií, nie do predpokladu.
Rozhodnite, čo musí pobočka bez tunela ešte robiť: dostať sa k miestnym tlačiarňam, prekladať mená, prijímať platby alebo nič. Potom tento stav zámerne otestujte zablokovaním tunela a pozorovaním pobočky. Pobočka, ktorá potichu stratí DNS, je horšia než tá, ktorá hlasno zlyhá, pretože hovor na podporu príde o hodiny neskôr. Zapíšte pozorovaný výsledok do návrhového záznamu.
Centrálna závislosť je vo všetkých režimoch rovnaká: niekto musí vlastniť cestu obnovy samotného zariadenia.
Napíšte zmluvu o pobočke pred nasadením
Zmluva o pobočke sa zmestí na jednu stranu: vlastníci, zdroje adries, prefixy cez tunel, politika výstupu a prijaté správanie pri výpadku.
Potom overte nasadený výsledok, nie zamýšľaný. Skontrolujte adresu klienta pobočky, jeho predvolenú bránu, ktoré prefixy sa prekladajú tunelom a čo ešte odpovedá, keď je tunel zablokovaný. Kompatibilita, dosiahnuteľnosť a licencovanie sa musia overiť podľa aktuálnej dokumentácie dodávateľa pre presný model, pretože názov produktu režim nezaručuje. Uchovajte tú stranu pri zázname zariadenia, aby ďalší inžinier zdedil rozhodnutia, a nie diagram.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleZopakujte ten blok so zablokovaným tunelom a rozdiel medzi dvoma behmi je správanie pri výpadku, ktoré ste skutočne kúpili.