Cili modalitet i Sophos RED i përshtatet rrjetit të degës tuaj?

Sophos RED është një rol për vendndodhje të largët dhe jo një protokoll VPN, prandaj krahasimi me IPsec ose OpenVPN i përgjigjet pyetjes së gabuar. Pajisja shtrin kontrollin e një firewalle qendrore drejt një dege, dhe modaliteti që zgjidhni vendos kush siguron portën e degës, kush shpërndan adresat dhe cili trafik kalon nëpër tunel. Këto tre përgjigje peshojnë më shumë se emrat e modaliteteve. Shkrimi i tyre në fillim e kthen një zgjedhje produkti në një vendim projektimi.

RED është rol, jo protokoll

Një pajisje RED lidh një degë me një Sophos Firewall qendrore, dhe konfigurimi i firewallit përcakton çfarë bëhet dega. Tuneli është një detaj zbatimi i asaj lidhjeje, jo një pikë fundore VPN e përgjithshme që mund të drejtohet drejt çdo partneri.

Ky kornizë ka rëndësi sepse RED nuk është i këmbyeshëm me një partner IPsec të çfarëdoshëm. Ai pret që firewalle qendrore ta menaxhojë, dhe modalitetet e mbështetura përshkruajnë sa e degës merr përsipër. Trajtimi si pikë fundore e zakonshme tuneli krijon pritshmëri që produkti nuk i premtoi kurrë. Trajtimi si rol nxjerr pyetjet që në të vërtetë përcaktojnë projektimin.

Tre kushtet më poshtë e ndryshojnë përgjigjen, dhe të gjitha kanë të bëjnë me pronësinë, jo me kriptimin.

Tre kushte që zgjedhin modalitetin

Pyetni kush e zotëron portën e degës, kush drejton DHCP dhe DNS për klientët e degës, dhe nëse dalja lokale në internet duhet t'i mbijetojë një ndërprerjeje të tunelit.

Standard/Unified u përgjigjet të treve njësoj: firewalle qendrore zotëron LAN-in e degës, përfshirë detyrat e portës dhe DHCP, dhe trafiku kalon nëpër tunel. Standard/Split mban menaxhimin qendror dhe dërgon nëpër tunel vetëm rrjetet e konfiguruara. Transparent/Split e lë rrjetin ekzistues të degës të kujdeset për portën dhe adresat e veta, dhe ridrejton në tunel vetëm trafikun e zgjedhur. Tre modalitete, tre pronarë të ndryshëm.

Lexoni së pari kolonën e mesme, sepse ajo vendos sa e degës vazhdon të funksionojë kur tuneli mungon.

Kush e zotëron portën e degës dhe DHCP

Në rregullimin e unifikuar dega nuk ka portë të pavarur, çka thjeshton konfigurimin dhe përqendron dështimin. Ky përqendrim është në rregull kur dega është e vogël dhe firewalle qendrore ka disponueshmëri të lartë.

Në një vendosje transparente dega ruan routerin e vet dhe RED qëndron në linjë për të ridrejtuar trafikun e zgjedhur. Kjo ruan kontrollin lokal dhe shton një pajisje pozicioni i së cilës në rrugë tani ka rëndësi për çdo rrjedhë të ridrejtuar. Dokumentoni ku qëndron, sepse një ndryshim i mëvonshëm në routerin e degës mund ta anashkalojë në heshtje. Asnjë rregullim nuk fiton në përgjithësi; ata e ndajnë përgjegjësinë ndryshe.

Pronësia e adresave është pjesa që duhet shkruar, sepse dy serverë DHCP në të njëjtin segment prodhojnë defekte të ndërprera që raportohen si probleme VPN.

Çfarë ndodh kur tuneli bie

Puna në Split lexohet shpesh si premtim se interneti lokal vazhdon të funksionojë gjatë një dështimi të tunelit, dhe ky lexim nuk është i sigurt. Sjellja e saktë varet nga modaliteti i zgjedhur, firmware-i dhe pajisja, prandaj i takon kritereve të pranimit dhe jo një supozimi.

Vendosni çfarë duhet të bëjë dega ende pa tunel: të arrijë printera lokalë, të zgjidhë emra, të pranojë pagesa ose asgjë. Më pas provoni atë gjendje me qëllim duke bllokuar tunelin dhe duke vëzhguar degën. Një degë që humbet DNS në heshtje është më e keqe se një që dështon me zë, sepse telefonata në ndihmë vjen orë më vonë. Shkruani rezultatin e vëzhguar në regjistrin e projektimit.

Varësia qendrore është e njëjtë në çdo modalitet: dikush duhet të zotërojë rrugën e rikuperimit të vetë pajisjes.

Shkruani kontratën e degës përpara se të vendosni

Një kontratë dege futet në një faqe: pronarë, burime adresash, prefikse nëpër tunel, politikë daljeje dhe sjellja e ndërprerjes që keni pranuar.

Më pas verifikoni rezultatin e vendosur dhe jo atë të synuar. Kontrolloni adresën e klientit të degës, portën e tij të paracaktuar, cilat prefikse zgjidhen nëpër tunel dhe çfarë ende përgjigjet kur tuneli është i bllokuar. Përputhshmëria, arritshmëria dhe licencimi duhet të verifikohen të gjitha kundrejt dokumentacionit aktual të furnizorit për modelin e saktë, sepse emri i produktit nuk garanton një modalitet. Mbajeni atë faqe me regjistrin e pajisjes, që inxhinieri i ardhshëm të trashëgojë vendimet dhe jo diagramin.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Përsëriteni atë bllok me tunelin e bllokuar, dhe ndryshimi midis dy ekzekutimeve është sjellja e ndërprerjes që keni blerë vërtet.