Kateri način Sophos RED ustreza vašemu omrežju podružnice?

Sophos RED je vloga za oddaljeno lokacijo in ne protokol VPN, zato primerjava z IPsec ali OpenVPN odgovarja na napačno vprašanje. Naprava razširi nadzor osrednjega požarnega zidu na podružnico, izbrani način pa določi, kdo zagotavlja prehod podružnice, kdo dodeljuje naslove in kateri promet gre skozi tunel. Ti trije odgovori tehtajo več kot imena načinov. Če jih najprej zapišete, izbira izdelka postane projektna odločitev.

RED je vloga, ne protokol

Naprava RED poveže podružnico z osrednjim Sophos Firewall, konfiguracija požarnega zidu pa določi, kaj podružnica postane. Tunel je podrobnost izvedbe te povezave, ne univerzalna končna točka VPN, ki bi jo lahko usmerili v kogar koli.

Ta okvir je pomemben, ker RED ni zamenljiv s poljubnim partnerjem IPsec. Pričakuje, da ga bo upravljal osrednji požarni zid, podprti načini pa opisujejo, kolikšen del podružnice prevzame. Če ga obravnavamo kot običajno končno točko tunela, nastanejo pričakovanja, ki jih izdelek ni nikoli obljubil. Če ga obravnavamo kot vlogo, se pojavijo vprašanja, ki resnično določijo zasnovo.

Trije spodnji pogoji spremenijo odgovor in vsi se tičejo lastništva, ne šifriranja.

Trije pogoji, ki izberejo način

Vprašajte, kdo ima prehod podružnice, kdo upravlja DHCP in DNS za odjemalce podružnice in ali mora lokalni internetni izhod preživeti izpad tunela.

Standard/Unified odgovori na vse tri enako: osrednji požarni zid ima LAN podružnice, vključno z nalogami prehoda in DHCP, promet pa gre skozi tunel. Standard/Split ohrani osrednje upravljanje in skozi tunel pošilja le nastavljena omrežja. Transparent/Split pusti obstoječemu omrežju podružnice, da upravlja svoj prehod in naslove, v tunel pa preusmeri le izbrani promet. Trije načini, trije različni lastniki.

Najprej preberite srednji stolpec, ker določa, kolikšen del podružnice še deluje, ko tunela ni.

Kdo ima prehod podružnice in DHCP

V poenotenem razporedu podružnica nima samostojnega prehoda, kar poenostavi konfiguracijo in zgošča okvaro. Ta zgoščenost je v redu, kadar je podružnica majhna in je osrednji požarni zid visoko razpoložljiv.

Pri prosojni namestitvi podružnica obdrži svoj usmerjevalnik, RED pa stoji na poti, da preusmerja izbrani promet. To ohrani lokalni nadzor in doda napravo, katere položaj na poti zdaj šteje za vsak preusmerjen tok. Zabeležite, kje stoji, ker ga lahko poznejša sprememba usmerjevalnika podružnice tiho obide. Nobena razporeditev na splošno ne zmaga; odgovornost razdelita različno.

Lastništvo naslovov je del, ki ga je treba zapisati, ker dva strežnika DHCP v istem segmentu ustvarjata občasne okvare, ki se prijavljajo kot težave z VPN.

Kaj se zgodi, ko tunel pade

Delovanje v načinu Split se pogosto bere kot obljuba, da lokalni internet deluje tudi med izpadom tunela, in tako branje ni varno. Natančno vedenje je odvisno od izbranega načina, vdelane programske opreme in naprave, zato sodi med sprejemne kriterije in ne v predpostavko.

Odločite, kaj mora podružnica brez tunela še opraviti: doseči lokalne tiskalnike, razrešiti imena, sprejemati plačila ali nič. Nato to stanje namerno preizkusite tako, da blokirate tunel in opazujete podružnico. Podružnica, ki tiho izgubi DNS, je slabša od tiste, ki glasno odpove, ker klic na pomoč prispe ure pozneje. Zapišite opaženi rezultat v načrtovalni zapis.

Osrednja odvisnost je v vseh načinih enaka: nekdo mora imeti pot obnovitve same naprave.

Zapišite pogodbo o podružnici pred namestitvijo

Pogodba o podružnici se prilega na eno stran: lastniki, viri naslovov, predpone skozi tunel, politika izhoda in sprejeto vedenje ob izpadu.

Nato preverite nameščeni rezultat, ne načrtovanega. Preverite naslov odjemalca podružnice, njegov privzeti prehod, katere predpone se razrešijo skozi tunel in kaj še odgovarja, ko je tunel blokiran. Združljivost, dosegljivost in licenciranje je treba vse preveriti po aktualni dokumentaciji dobavitelja za točen model, ker ime izdelka ne zagotavlja načina. Hranite to stran ob zapisu naprave, da bo naslednji inženir podedoval odločitve in ne diagrama.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Ponovite tisti blok z blokiranim tunelom, razlika med obema zagonoma pa je vedenje ob izpadu, ki ste ga zares kupili.