Usmerite podmrežje podružnice skozi internetni izhod SonicWall v matični pisarni

Telefoni podružnice bi morali izhajati skozi matično pisarno, medtem ko prenosniki podružnice še naprej uporabljajo lokalni WAN, in sama politika usmerjanja tega ne bo zagotovila. Pot podružnice lahko izbere tunel, vendar politika tunela mora sprejeti promet, matična pisarna ga mora posredovati in prevesti, odgovor pa se mora vrniti po isti poti. Če zgrešite katero koli od teh treh, bo simptom podmnožica odjemalcev, ki izgubijo internet ravno takrat, ko je tunel aktiven.

Začnite s selektorjem, ne s potjo

Politika usmerjanja se ujema po viru, zato mora biti vir stabilen pred vsem drugim. Izbrane naprave postavite v skupino naslovov, ki jo vzdržuje skrbnik, ali bolje, v namenski segment, katerega članstvo sledi vlogi naprave. Ko lahko običajna menjava DHCP premakne ujemajoči se naslov na drug stroj, politika tiho izbere napačnega odjemalca, prvo poročilo pa je običajno o počasnem brskanju, ki je v resnici obvoz.

Skupino poimenujte po politiki, ki ji služi, ne po nadstropju ali oddelku, ker bo pravilo usmerjanja preživelo oboje. Zapišite, katere naprave so v njej in kdo lahko doda eno.

Dodajte politiko podružnice in nato branite njen vrstni red

Na SonicWall podružnice politika poti izbere skupino virov, poimenuje predvidene cilje in nastavi vmesnik tunela kot prehod, in prav za to obstaja podprta zasnova vmesnika tunela. Pravila za lokalne in zasebne cilje držite nad širokim internetnim pravilom, ker prvo ujemanje zmaga, zasebni prefiks, potisnjen v tunel, pa prispe v matično pisarno samo zato, da se zavrže. Ohranite tudi lastno pot požarnega zidu do njegovega partnerja VPN, sicer bo transport tunela sledil politiki, od katere je odvisen. Nič od tega vas ne sili, da pretvorite vsak obstoječi tunel, ki temelji na politiki; vmesnik tunela je ena podprta izbira med več.

Vrstni red je del, ki se spremeni po nesreči. Kdor doda izjemo, jo mora vstaviti nad širokim pravilom, in kdor ureja široko pravilo, lahko z enim shranjevanjem obrne celotno zasnovo. Zapišite predvideni vrstni red ob politiki in ga po posodobitvah vdelane programske opreme znova preverite, ker se poimenovanje vmesnikov in upodabljanje politik res spreminjata med različicami.

Dokončajte pot v matični pisarni

Politika tunela v matični pisarni mora sprejeti promet, ki ga zdaj izbere pot podružnice. Selektor med pisarnami, omejen na zasebni LAN matične pisarne, ni dovoljenje za prenašanje poljubnih javnih ciljev, zato politika potrebuje vir podružnice in obseg ciljev, ki ga resnično nameravate. Matična pisarna nato ta dohodni promet posreduje na svojo internetno povezavo po lastnih pravilih dostopa, in primer osrednjega izhoda SonicWall vključuje prevod vira za oddaljeno omrežje na osrednjem WAN. Brez tega prevoda oddaljena stran vidi zasebni naslov podružnice in nima poti nazaj.

Odgovori so druga polovica pogodbe. Vrniti se morajo skozi tunel ali skozi prevod s stanjem, ustvarjen za njih, promet do zasebnih mest pa lahko zahteva drugačno obravnavo NAT kot javni izhod. Ta pravila naj bodo razločljiva, ker eno široko pravilo prevoda, ki skrije vsak notranji vir, naredi poznejše beleženje in odpravljanje težav veliko težje berljivo.

Odločite, kaj skupina naredi, ko tunel pade

Če je osrednji izhod zahteva in ne preferenca, je vrnitev na lokalni WAN kršitev skladnosti, tudi če uporabniki ostanejo povezani. SonicOS dokumentira pot z zavrženjem vmesnika tunela kot podprt način, da se izbranemu prometu prepreči, da bi zavzel neželeno alternativno pot.

Uskladite obseg in prednost te poti z nameščeno različico in jo preizkusite tako, da spustite tunel, namesto da zaupate oznaki. Skupina, ki nikoli ne sme iti lokalno ven, bi morala odpovedati zaprto, medtem ko lahko skupina, kjer je razpoložljivost pomembnejša, upravičeno pade nazaj; oboje so odločitve in nobena se ne bi smela zgoditi privzeto.

Preverite s treh odjemalcev in nato čisto povrnite

Ping na osrednji prehod preizkusi napačno stvar, ker izvira iz požarnega zidu in ne iz izbranega odjemalca. Preizkusite z naprav in preizkusite tri od njih: izbrano napravo, običajno napravo, ki mora ostati lokalna, in eno, ki je odvisna od lokalnih storitev.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Primerjajte, kje je javna zahteva res izplavala. Izbrani odjemalec bi moral doseči internet skozi izhod matične pisarne, običajni odjemalec pa bi moral na oddaljeni strani še vedno predstavljati lastni naslov podružnice; 203.0.113.10 je dokumentacijski naslov, uporabljen kot nadomestilo za cilj, ki vam je pomemben. Vključite DNS v isti prehod, ker lahko odjemalec, ki vpraša razreševalnik podružnice, ustvari poizvedbo, ki izvira iz usmerjevalnika z drugim virom in zato drugo potjo.

Povrnitev je shranjen vrstni red politik in skupina naslovov. Obnovite prejšnji vrstni red, odstranite skupino iz politike in znova preizkusite oba razreda naprav. Ohranite izvoženo konfiguracijo skupaj z zapisom o spremembi, ker mora naslednji inženir vedeti, katero pravilo je bilo široko, preden ga je kdo uredil.