Vilket Sophos RED-läge passar ditt filialnätverk?
RED är en roll för en avlägsen plats, inte ett protokoll. Välj Standard/Unified, Standard/Split eller Transparent/Split utifrån vem som äger filialens gateway och DHCP.
Sophos RED är en roll för en avlägsen plats och inte ett VPN-protokoll, därför svarar en jämförelse med IPsec eller OpenVPN på fel fråga. Enheten utökar en central brandväggs kontroll till en filial, och läget du väljer avgör vem som levererar filialens gateway, vem som delar ut adresser och vilken trafik som går genom tunneln. De tre svaren väger tyngre än namnen på lägena. Att skriva ned dem först gör ett produktval till ett designbeslut.
RED är en roll, inte ett protokoll
En RED-enhet ansluter en filial till en central Sophos Firewall, och brandväggens konfiguration avgör vad filialen blir. Tunneln är en implementeringsdetalj i den anslutningen, inte en allmän VPN-slutpunkt som du kan rikta mot vilken motpart som helst.
Den ramen är viktig eftersom en RED inte är utbytbar mot en godtycklig IPsec-motpart. Den förväntar sig att den centrala brandväggen hanterar den, och de lägen som stöds beskriver hur mycket av filialen den tar över. Att behandla den som en vanlig tunnelslutpunkt skapar förväntningar som produkten aldrig lovade. Att behandla den som en roll ger frågorna som faktiskt avgör designen.
De tre villkoren nedan ändrar svaret, och alla handlar om ägande och inte om kryptering.
Tre villkor som väljer läget
Fråga vem som äger filialens gateway, vem som kör DHCP och DNS för filialens klienter, och om lokal internetutgång måste överleva ett tunnelavbrott.
Standard/Unified svarar på alla tre på samma sätt: den centrala brandväggen äger filialens LAN, inklusive gateway- och DHCP-uppgifter, och trafiken går genom tunneln. Standard/Split behåller central hantering och skickar bara de konfigurerade näten genom tunneln. Transparent/Split låter det befintliga filialnätet sköta sin egen gateway och sina egna adresser och omdirigerar bara vald trafik in i tunneln. Tre lägen, tre olika ägare.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Läs den mellersta kolumnen först, eftersom den avgör hur mycket av filialen som fortfarande fungerar när tunneln är borta.
Vem äger filialens gateway och DHCP
I den enhetliga ordningen har filialen ingen självständig gateway, vilket förenklar konfigurationen och samlar felet på ett ställe. Den samlingen är rimlig när filialen är liten och den centrala brandväggen har hög tillgänglighet.
I en transparent driftsättning behåller filialen sin egen router och RED sitter i linjen för att omdirigera vald trafik. Det bevarar lokal kontroll och lägger till en enhet vars placering i vägen nu spelar roll för varje omdirigerat flöde. Dokumentera var den sitter, eftersom en senare ändring i filialens router kan kringgå den i tysthet. Ingen av ordningarna vinner generellt; de fördelar ansvaret olika.
Adressägandet är den del som måste skrivas ned, eftersom två DHCP-servrar i samma segment ger periodiska fel som rapporteras som VPN-problem.
Vad händer när tunneln faller
Split-drift läses ofta som ett löfte att det lokala internetet fortsätter att fungera under ett tunnelavbrott, och den läsningen är inte säker. Det exakta beteendet beror på valt läge, firmware och enhet, så det hör till acceptanskriterierna och inte till en antagelse.
Bestäm vad filialen fortfarande måste göra utan tunnel: nå lokala skrivare, slå upp namn, ta emot betalningar eller ingenting. Testa sedan det tillståndet medvetet genom att blockera tunneln och observera filialen. En filial som tyst tappar DNS är värre än en som misslyckas högljutt, eftersom samtalet till supporten kommer timmar senare. Skriv det observerade resultatet i designprotokollet.
Det centrala beroendet är detsamma i alla lägen: någon måste äga återställningsvägen för själva enheten.
Skriv filialkontraktet innan du rullar ut
Ett filialkontrakt får plats på en sida: ägare, adresskällor, tunnlade prefix, utträdespolicy och det avbrottsbeteende du har accepterat.
Verifiera sedan det utrullade resultatet och inte det avsedda. Kontrollera filialklientens adress, dess standardgateway, vilka prefix som löses genom tunneln och vad som fortfarande svarar när tunneln är blockerad. Kompatibilitet, nåbarhet och licensiering måste alla kontrolleras mot leverantörens aktuella dokumentation för den exakta modellen, eftersom ett produktnamn inte garanterar ett läge. Spara den sidan med enhetsregistret så att nästa ingenjör ärver besluten och inte diagrammet.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleUpprepa det blocket med tunneln blockerad, och skillnaden mellan de två körningarna är det avbrottsbeteende du faktiskt köpte.