Drejto një nënrrjet dege përmes daljes së internetit të SonicWall në selinë qendrore

Telefonat e degës duhet të dalin përmes selisë qendrore, ndërsa laptopët e degës vazhdojnë të përdorin WAN-in lokal, dhe politika e rrugëtimit e vetme nuk do ta ofrojë atë. Një rrugë dege mund të zgjedhë tunelin, por politika e tunelit duhet ta pranojë trafikun, sella qendrore duhet ta përcjellë dhe ta përkthejë, dhe përgjigja duhet të kthehet në të njëjtën rrugë. Nëse humbet ndonjë nga këto tre, simptomi do të jetë një nëngrup klientësh që humbin internetin pikërisht sa tuneli është aktiv.

Filloni me përzgjedhësin, jo me rrugën

Politika e rrugëtimit përputhet sipas burimit, prandaj burimi duhet të jetë i qëndrueshëm para çdo gjëje tjetër. Vendos pajisjet e zgjedhura në një grup adresash që mbahet nga një administrator ose, më mirë, në një segment të dedikuar, anëtarësia e të cilit ndjek rolin e pajisjes. Kur ndryshimi i zakonshëm i DHCP mund të zhvendosë një adresë që përputhet në një makinë tjetër, politika zgjedh në heshtje klientin e gabuar, dhe raporti i parë zakonisht ka të bëjë me shfletim të ngadaltë që në realitet është një rrugë e gjatë.

Emërto grupin sipas politikës që shërben, jo sipas një kati ose departamenti, sepse rregulli i rrugëtimit do t'i mbijetojë të dyjave. Regjistro cilat pajisje janë në të dhe kush mund të shtojë një.

Shto politikën e degës dhe më pas mbro rendin e saj

Në SonicWall-in e degës, një politikë rrugë zgjedh grupin e burimit, emërton destinacionet e synuara dhe vendos ndërfaqen e tunelit si portë, dhe pikërisht për këtë ekziston dizajni i mbështetur i ndërfaqes së tunelit. Mbaj rregullat për destinacione lokale dhe private mbi rregullin e gjerë të internetit, sepse fiton përputhja e parë, dhe një prefiks privat i shtyrë në tunel arrin në selinë qendrore vetëm për t'u hedhur poshtë. Ruaj edhe rrugën e vetë murit të zjarrit drejt partnerit të tij VPN, përndryshe transporti i tunelit do të ndjekë politikën nga e cila varet. Asgjë nga kjo nuk të detyron të konvertosh çdo tunel ekzistues të bazuar në politikë; një ndërfaqe tuneli është një zgjedhje e mbështetur ndër disa.

Rendi është pjesa që ndryshon rastësisht. Kushdo që shton një përjashtim duhet ta fusë atë mbi rregullin e gjerë, dhe kushdo që redakton rregullin e gjerë mund të përmbysë të gjithë dizajnin me një ruajtje të vetme. Shkruaj rendin e synuar pranë politikës dhe rikontrolloje pas përditësimeve të firmuerit, sepse emërtimi i ndërfaqeve dhe paraqitja e politikave ndryshojnë vërtet midis versioneve.

Përfundo rrugën në selinë qendrore

Politika e tunelit në selinë qendrore duhet ta pranojë trafikun që tani zgjedh rruga e degës. Një përzgjedhës ndërzryrash i kufizuar në LAN-in privat të selisë nuk është leje për të mbajtur destinacione publike arbitrare, prandaj politika ka nevojë për burimin e degës dhe gamën e destinacioneve që synon vërtet. Sella qendrore më pas e përcjell atë trafik hyrës në uplink-un e saj të internetit sipas rregullave të veta të aksesit, dhe shembulli i daljes qendrore i SonicWall përfshin përkthimin e burimit për rrjetin e largët në WAN-in qendror. Pa atë përkthim ana e largët sheh një adresë private dege dhe nuk ka rrugë kthimi drejt saj.

Përgjigjet janë gjysma tjetër e kontratës. Ato duhet të kthehen përmes tunelit ose përmes përkthimit me gjendje të krijuar për ato, dhe trafiku drejt faqeve private mund të kërkojë trajtim NAT të ndryshëm nga dalja publike. Mbaji ato rregulla të dallueshme, sepse një rregull i gjerë përkthimi që fsheh çdo burim të brendshëm e bën regjistrimin dhe zgjidhjen e problemeve më vonë shumë më të vështira për t'u lexuar.

Vendos çfarë bën grupi kur tuneli bie

Nëse dalja qendrore është kërkesë dhe jo preferencë, kthimi në WAN-in lokal është dështim përputhshmërie edhe nëse përdoruesit mbeten online. SonicOS dokumenton një rrugë me hedhjen e ndërfaqes së tunelit si mënyrën e mbështetur për të penguar trafikun e zgjedhur të marrë një rrugë alternative të padëshiruar.

Përputh shtrirjen dhe përparësinë e asaj rrugë me versionin e instaluar, dhe testoje duke ulur tunelin në vend që të besosh etiketën. Një grup që nuk duhet të dalë kurrë lokalisht duhet të dështojë i mbyllur, ndërsa një grup ku disponueshmëria ka më shumë rëndësi mund të tërhiqet në mënyrë legjitime; të dyja janë vendime, dhe asnjëra nuk duhet të ndodhë si parazgjedhje.

Verifiko nga tre klientë dhe më pas kthehu pastër

Një ping drejt portës qendrore teston gjënë e gabuar, sepse niset nga muri i zjarrit dhe jo nga një klient i zgjedhur. Testo nga pajisjet, dhe testo tre prej tyre: një pajisje e zgjedhur, një pajisje e zakonshme që duhet të mbetet lokale, dhe një që varet nga shërbimet lokale.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Krahaso ku u shfaq në të vërtetë kërkesa publike. Një klient i zgjedhur duhet të arrijë internetin përmes daljes së selisë qendrore, dhe një klient i zakonshëm duhet të vazhdojë të paraqesë adresën e vet të degës në anën e largët; 203.0.113.10 është një adresë dokumentacioni që përdoret si zëvendësues i destinacionit që ju intereson. Përfshi DNS në të njëjtin hap, sepse një klient që pyet zgjidhësin e degës mund të prodhojë një kërkim me origjinë nga ruteri me burim tjetër dhe për rrjedhojë rrugë tjetër.

Kthimi pas është rendi i politikave i ruajtur plus grupi i adresave. Rikthe rendin e mëparshëm, hiq grupin nga politika dhe ritesto të dyja klasat e pajisjeve. Mbaj konfigurimin e eksportuar bashkë me regjistrin e ndryshimit, sepse inxhinieri tjetër duhet të dijë cili rregull ishte ai i gjerë përpara se dikush ta redaktonte.