Који режим Sophos RED одговара мрежи ваше филијале?
RED је улога за удаљену локацију, а не протокол. Изаберите Standard/Unified, Standard/Split или Transparent/Split према томе коме припадају пролаз филијале и DHCP.
Sophos RED је улога за удаљену локацију, а не VPN протокол, па поређење са IPsec или OpenVPN одговара на погрешно питање. Уређај проширује контролу централног заштитног зида на филијалу, а режим који изаберете одређује ко обезбеђује пролаз филијале, ко додељује адресе и који саобраћај пролази кроз тунел. Та три одговора важнија су од назива режима. Ако их прво запишете, избор производа постаје пројектна одлука.
RED је улога, а не протокол
Уређај RED придружује филијалу централном Sophos Firewall-у, а конфигурација заштитног зида одређује шта филијала постаје. Тунел је појединост спровођења тог придруживања, а не универзална крајња тачка VPN-а коју можете усмерити ка било ком партнеру.
Тај оквир је важан јер RED није замењив са произвољним IPsec партнером. Очекује да њиме управља централни заштитни зид, а подржани режими описују колики део филијале преузима. Третирање уређаја као обичне крајње тачке тунела ствара очекивања која производ никада није обећао. Третирање као улоге даје питања која заиста одређују пројекат.
Три услова у наставку мењају одговор и сви се тичу власништва, а не шифровања.
Три услова која бирају режим
Питајте коме припада пролаз филијале, ко води DHCP и DNS за клијенте филијале и мора ли локални интернет излаз да преживи прекид тунела.
Standard/Unified на сва три питања одговара исто: централни заштитни зид поседује локалну мрежу филијале, укључујући дужности пролаза и DHCP-а, а саобраћај пролази кроз тунел. Standard/Split задржава централно управљање и кроз тунел шаље само конфигурисане мреже. Transparent/Split оставља постојећу мрежу филијале да управља сопственим пролазом и адресама и у тунел преусмерава само изабрани саобраћај. Три режима, три различита власника.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Прво прочитајте средњу колону јер она одређује колико филијале још ради када тунела нема.
Коме припадају пролаз филијале и DHCP
У обједињеном распореду филијала нема самосталан пролаз, што поједностављује конфигурацију и концентрише квар. Та концентрација је у реду када је филијала мала, а централни заштитни зид високе доступности.
У прозирном распореду филијала задржава свој рутер, а RED стоји у путањи како би преусмеравао изабрани саобраћај. То чува локалну контролу и додаје уређај чији положај у путањи сада постаје важан за сваки преусмерени ток. Забележите где стоји јер га каснија промена рутера филијале може тихо заобићи. Ниједан распоред није опште бољи; они различито расподељују одговорност.
Власништво над адресама део је који треба записати јер два DHCP сервера на истом сегменту стварају повремене кварове који се пријављују као проблеми са VPN-ом.
Шта се дешава када тунел падне
Split рад се често чита као обећање да локални интернет наставља да ради током квара тунела, а то читање није безбедно. Тачно понашање зависи од изабраног режима, фирмвера и уређаја, па му је место у критеријумима прихватања, а не у претпоставци.
Одредите шта филијала мора још да ради без тунела: да достигне локалне штампаче, разреши имена, прима уплате или ништа. Затим то стање намерно проверите блокирањем тунела и посматрањем филијале. Филијала која тихо изгуби DNS гора је од оне која гласно закаже, јер позив подршци долази сатима касније. Запишите уочени резултат у пројектни запис.
Централна зависност иста је у сваком режиму: неко мора да поседује пут опоравка самог уређаја.
Запишите уговор о филијали пре постављања
Уговор о филијали стаје на једну страницу: власници, извори адреса, префикси кроз тунел, политика излаза и прихваћено понашање при прекиду.
Затим проверите постављени резултат, а не намеравани. Проверите адресу клијента филијале, његов подразумевани пролаз, који се префикси разрешавају кроз тунел и шта још одговара када је тунел блокиран. Компатибилност, доступност и лиценцирање све треба проверити према актуелној документацији добављача за тачан модел, јер назив производа не јемчи режим. Држите ту страницу уз запис о уређају како би следећи инжењер наследио одлуке, а не дијаграм.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleПоновите тај блок са блокираним тунелом, а разлика између два покретања је понашање при прекиду које сте заиста купили.