กำหนดเส้นทางซับเน็ตของสาขาผ่านทางออกอินเทอร์เน็ต SonicWall ที่สำนักงานใหญ่

โทรศัพท์ของสาขาควรออกผ่านสำนักงานใหญ่ ขณะที่แล็ปท็อปของสาขายังใช้ WAN ท้องถิ่น และนโยบายเส้นทางอย่างเดียวไม่สามารถทำได้ เส้นทางของสาขาเลือกอุโมงค์ได้ แต่ นโยบายอุโมงค์ต้องยอมรับทราฟฟิก สำนักงานใหญ่ต้องส่งต่อและแปล และการตอบกลับต้องกลับมาทางเดิม หากพลาดข้อใดข้อหนึ่ง อาการคือไคลเอนต์บางส่วนสูญเสียอินเทอร์เน็ตพอดีขณะที่อุโมงค์เปิดอยู่

เริ่มจากตัวเลือก ไม่ใช่เส้นทาง

นโยบายเส้นทางจับคู่ตามต้นทาง ดังนั้นต้นทางต้องมั่นคงก่อนสิ่งอื่นใด วางอุปกรณ์ที่เลือกไว้ในกลุ่มที่อยู่ที่ผู้ดูแลระบบดูแล หรือดีกว่านั้นคือบนเซกเมนต์เฉพาะที่สมาชิกภาพตามบทบาทของอุปกรณ์ เมื่อการหมุน DHCP ปกติสามารถย้ายที่อยู่ที่ตรงกันไปยังเครื่องอื่นได้ นโยบายจะเลือกไคลเอนต์ผิดอย่างเงียบ ๆ และรายงานแรกมักเป็นเรื่องการท่องเว็บช้าซึ่งจริง ๆ แล้วคือการอ้อม

ตั้งชื่อกลุ่มตามนโยบายที่มันให้บริการ ไม่ใช่ตามชั้นหรือแผนก เพราะกฎเส้นทางจะอยู่ได้นานกว่าทั้งสองอย่าง บันทึกว่ามีอุปกรณ์ใดบ้างและใครได้รับอนุญาตให้เพิ่ม

เพิ่มนโยบายของสาขา แล้วปกป้องลำดับของมัน

บน SonicWall ของสาขา นโยบายเส้นทางเลือกกลุ่มต้นทาง ระบุปลายทางที่ต้องการ และตั้งค่าอินเทอร์เฟซอุโมงค์เป็นเกตเวย์ ซึ่งเป็นสิ่งที่การออกแบบอินเทอร์เฟซอุโมงค์ที่รองรับมีไว้เพื่อการนี้ รักษากฎสำหรับปลายทางท้องถิ่นและส่วนตัวไว้เหนือกฎอินเทอร์เน็ตแบบกว้าง เพราะการจับคู่แรกชนะ และคำนำหน้าส่วนตัวที่ดันเข้าอุโมงค์จะไปถึงสำนักงานใหญ่เพียงเพื่อถูกทิ้ง รักษาเส้นทางของไฟร์วอลล์เองไปยังคู่ VPN ด้วย มิฉะนั้นการขนส่งอุโมงค์จะทำตามนโยบายที่มันพึ่งพา ไม่มีสิ่งใดบังคับให้คุณแปลงอุโมงค์ที่อิงนโยบายทั้งหมดที่มีอยู่ อินเทอร์เฟซอุโมงค์เป็นทางเลือกที่รองรับหนึ่งในหลายทาง

ลำดับคือส่วนที่เปลี่ยนโดยไม่ตั้งใจ ใครก็ตามที่เพิ่มข้อยกเว้นต้องแทรกไว้เหนือกฎกว้าง และใครก็ตามที่แก้ไขกฎกว้างสามารถกลับการออกแบบทั้งหมดได้ด้วยการบันทึกครั้งเดียว เขียนลำดับที่ต้องการไว้ข้างนโยบายและตรวจสอบอีกครั้งหลังอัปเดตเฟิร์มแวร์ เพราะการตั้งชื่ออินเทอร์เฟซและการแสดงผลนโยบายเปลี่ยนไปมาระหว่างเวอร์ชันจริง

ทำให้เส้นทางสมบูรณ์ที่สำนักงานใหญ่

นโยบายอุโมงค์ที่สำนักงานใหญ่ต้องยอมรับทราฟฟิกที่เส้นทางสาขาเลือกอยู่ตอนนี้ ตัวเลือกข้ามสำนักงานที่จำกัดเฉพาะ LAN ส่วนตัวของสำนักงานใหญ่ไม่ใช่การอนุญาตให้บรรทุกปลายทางสาธารณะตามอำเภอใจ ดังนั้นนโยบายต้องมีต้นทางของสาขาและช่วงปลายทางที่คุณตั้งใจจริง สำนักงานใหญ่จึงส่งต่อทราฟฟิกที่เข้ามานั้นไปยังอัปลิงก์อินเทอร์เน็ตตามกฎการเข้าถึงของตนเอง และ ตัวอย่างทางออกส่วนกลางของ SonicWall รวมการแปลต้นทางสำหรับเครือข่ายระยะไกลที่ WAN ส่วนกลาง หากไม่มีการแปลนั้น ฝั่งไกลจะเห็นที่อยู่ส่วนตัวของสาขาและไม่มีเส้นทางกลับ

การตอบกลับเป็นอีกครึ่งหนึ่งของสัญญา ต้องกลับมาทางอุโมงค์หรือผ่านการแปลที่มีสถานะซึ่งสร้างขึ้นสำหรับการตอบกลับนั้น และทราฟฟิกไปยังไซต์ส่วนตัวอาจต้องได้รับการจัดการ NAT ต่างจากการออกสู่สาธารณะ รักษากฎเหล่านั้นให้แยกแยะได้ เพราะกฎแปลแบบกว้างเพียงข้อเดียวที่ซ่อนต้นทางภายในทุกแห่งทำให้การบันทึกและการแก้ปัญหาภายหลังอ่านได้ยากขึ้นมาก

ตัดสินใจว่ากลุ่มจะทำอะไรเมื่ออุโมงค์ล่ม

หากทางออกส่วนกลางเป็นข้อกำหนดไม่ใช่การตั้งค่า การกลับไปใช้ WAN ท้องถิ่นถือเป็นความล้มเหลวด้านการปฏิบัติตามข้อกำหนดแม้ผู้ใช้จะยังออนไลน์อยู่ SonicOS จัดทำเอกสารเส้นทางแบบทิ้งอินเทอร์เฟซอุโมงค์ว่าเป็นวิธีที่รองรับในการหยุดไม่ให้ทราฟฟิกที่เลือกใช้เส้นทางสำรองที่ไม่ตั้งใจ

จับคู่ขอบเขตและลำดับความสำคัญของเส้นทางนั้นกับเวอร์ชันที่ติดตั้ง และทดสอบโดยทำให้อุโมงค์ล่มแทนการเชื่อถือป้ายกำกับ กลุ่มที่ไม่ควรออกภายในเครื่องเลยควรล้มเหลวแบบปิด ขณะที่กลุ่มซึ่งความพร้อมใช้งานสำคัญกว่าอาจถอยกลับได้อย่างชอบธรรม ทั้งสองเป็นการตัดสินใจ และไม่ควรเกิดขึ้นโดยค่าเริ่มต้น

ตรวจสอบจากไคลเอนต์สามเครื่อง แล้วย้อนกลับอย่างสะอาด

การ ping ไปยังเกตเวย์ส่วนกลางทดสอบสิ่งที่ผิด เพราะมันเริ่มจากไฟร์วอลล์ไม่ใช่จากไคลเอนต์ที่เลือก ทดสอบจากอุปกรณ์แทน และทดสอบสามเครื่อง ได้แก่ อุปกรณ์ที่เลือก อุปกรณ์ธรรมดาที่ควรอยู่ภายในเครื่อง และเครื่องที่พึ่งพาบริการท้องถิ่น

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

เปรียบเทียบว่าคำขอสาธารณะปรากฏที่ใดจริง ไคลเอนต์ที่เลือกควรเข้าถึงอินเทอร์เน็ตผ่านทางออกของสำนักงานใหญ่ และไคลเอนต์ธรรมดาควรยังแสดงที่อยู่ของสาขาเองที่ฝั่งไกล 203.0.113.10 เป็นที่อยู่เอกสารที่ใช้แทนปลายทางที่คุณสนใจ รวม DNS ไว้ในรอบเดียวกัน เพราะไคลเอนต์ที่สอบถามตัวแก้ชื่อของสาขาอาจสร้างการค้นหาที่มีต้นกำเนิดจากเราเตอร์ด้วยต้นทางอื่นและดังนั้นจึงเป็นเส้นทางอื่น

การย้อนกลับคือลำดับนโยบายที่บันทึกไว้บวกกลุ่มที่อยู่ คืนลำดับก่อนหน้า นำกลุ่มออกจากนโยบาย และทดสอบอุปกรณ์ทั้งสองประเภทอีกครั้ง เก็บการกำหนดค่าที่ส่งออกไว้กับการบันทึกการเปลี่ยนแปลง เพราะวิศวกรคนถัดไปต้องรู้ว่ากฎใดเป็นกฎกว้างก่อนที่ใครจะแก้ไข