โหมด Sophos RED แบบใดเหมาะกับเครือข่ายสาขาของคุณ?
RED คือบทบาทของไซต์ระยะไกล ไม่ใช่โปรโตคอล เลือก Standard/Unified, Standard/Split หรือ Transparent/Split ตามว่าใครเป็นเจ้าของเกตเวย์สาขาและ DHCP
Sophos RED เป็นบทบาทของไซต์ระยะไกล ไม่ใช่โปรโตคอล VPN ดังนั้นการนำไปเทียบกับ IPsec หรือ OpenVPN จึงตอบคำถามผิด อุปกรณ์ขยายการควบคุมของไฟร์วอลล์ศูนย์กลางไปยังสาขา และโหมดที่คุณเลือกจะเป็นตัวกำหนดว่าใครจัดหาเกตเวย์ของสาขา ใครแจกจ่ายที่อยู่ และทราฟฟิกใดผ่านอุโมงค์ คำตอบสามข้อนี้สำคัญกว่าชื่อของโหมด การเขียนมันลงก่อนจะเปลี่ยนการเลือกผลิตภัณฑ์ให้เป็นการตัดสินใจเชิงออกแบบ
RED คือบทบาท ไม่ใช่โปรโตคอล
อุปกรณ์ RED เชื่อมสาขาเข้ากับ Sophos Firewall ศูนย์กลาง และการกำหนดค่าของไฟร์วอลล์เป็นตัวกำหนดว่าสาขาจะกลายเป็นอะไร อุโมงค์เป็นรายละเอียดการทำงานของการเชื่อมต่อนั้น ไม่ใช่จุดปลาย VPN อเนกประสงค์ที่ชี้ไปยังคู่ใดก็ได้
กรอบความคิดนี้สำคัญเพราะ RED ไม่สามารถใช้แทนคู่ IPsec ใดก็ได้ตามอำเภอใจ มันคาดว่าไฟร์วอลล์ศูนย์กลางจะจัดการมัน และโหมดที่รองรับอธิบายว่ามันเข้าไปดูแลสาขาในส่วนใด การมองว่าเป็นจุดปลายอุโมงค์ธรรมดาจะสร้างความคาดหวังที่ผลิตภัณฑ์ไม่เคยสัญญาไว้ การมองว่าเป็นบทบาทจะทำให้เกิดคำถามที่กำหนดการออกแบบจริง
เงื่อนไขสามข้อด้านล่างเปลี่ยนคำตอบ และทั้งหมดเกี่ยวกับความเป็นเจ้าของ ไม่ใช่การเข้ารหัส
สามเงื่อนไขที่เลือกโหมด
ถามว่าใครเป็นเจ้าของเกตเวย์สาขา ใครดูแล DHCP และ DNS ให้ไคลเอนต์ของสาขา และการออกอินเทอร์เน็ตภายในต้องอยู่รอดเมื่ออุโมงค์ล่มหรือไม่
Standard/Unified ตอบทั้งสามข้อเหมือนกัน คือไฟร์วอลล์ศูนย์กลางเป็นเจ้าของ LAN ของสาขา รวมถึงหน้าที่เกตเวย์และ DHCP และทราฟฟิกผ่านอุโมงค์ Standard/Split ยังคงการจัดการศูนย์กลางและส่งเฉพาะเครือข่ายที่กำหนดค่าผ่านอุโมงค์ Transparent/Split ปล่อยให้เครือข่ายสาขาที่มีอยู่ดูแลเกตเวย์และที่อยู่ของตัวเอง และเปลี่ยนเส้นทางเฉพาะทราฟฟิกที่เลือกเข้าอุโมงค์ สามโหมด สามเจ้าของที่ต่างกัน
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
อ่านคอลัมน์กลางก่อน เพราะมันกำหนดว่าสาขายังทำงานได้มากน้อยเพียงใดเมื่อไม่มีอุโมงค์
ใครเป็นเจ้าของเกตเวย์สาขาและ DHCP
ในการจัดวางแบบรวม สาขาไม่มีเกตเวย์แยกของตัวเอง ซึ่งทำให้การกำหนดค่าง่ายขึ้นและรวมความล้มเหลวไว้ที่เดียว การรวมศูนย์นั้นเหมาะสมเมื่อสาขาเล็กและไฟร์วอลล์ศูนย์กลางมีความพร้อมใช้งานสูง
ในการติดตั้งแบบโปร่งใส สาขายังคงใช้เราเตอร์ของตัวเองและ RED วางอยู่ในเส้นทางเพื่อเปลี่ยนทราฟฟิกที่เลือก วิธีนี้รักษาการควบคุมภายในและเพิ่มอุปกรณ์ที่ตำแหน่งในเส้นทางมีความสำคัญต่อทุกโฟลว์ที่ถูกเปลี่ยนเส้นทาง จดบันทึกว่ามันวางที่ไหน เพราะการเปลี่ยนเราเตอร์สาขาในภายหลังอาจข้ามมันไปอย่างเงียบ ๆ ไม่มีการจัดวางใดชนะโดยทั่วไป พวกมันแบ่งความรับผิดชอบต่างกัน
ความเป็นเจ้าของที่อยู่คือส่วนที่ต้องเขียนลงไป เพราะ DHCP สองตัวในเซกเมนต์เดียวทำให้เกิดข้อผิดพลาดเป็นระยะซึ่งถูกรายงานว่าเป็นปัญหา VPN
เกิดอะไรขึ้นเมื่ออุโมงค์ล่ม
การทำงานแบบ Split มักถูกอ่านว่าเป็นคำสัญญาว่าอินเทอร์เน็ตภายในยังทำงานระหว่างที่อุโมงค์ล่ม และการอ่านเช่นนั้นไม่ปลอดภัย พฤติกรรมที่แน่นอนขึ้นอยู่กับโหมดที่เลือก เฟิร์มแวร์ และอุปกรณ์ จึงควรอยู่ในเกณฑ์การยอมรับ ไม่ใช่ในสมมติฐาน
ตัดสินใจว่าสาขาต้องยังทำอะไรได้เมื่อไม่มีอุโมงค์ เข้าถึงเครื่องพิมพ์ภายใน แปลชื่อ จ่ายเงิน หรือไม่ทำอะไรเลย จากนั้นทดสอบสภาวะนั้นโดยเจตนา ด้วยการบล็อกอุโมงค์และสังเกตสาขา สาขาที่สูญเสีย DNS อย่างเงียบ ๆ แย่กว่าสาขาที่ล้มเหลวอย่างเสียงดัง เพราะสายเรียกเข้าฝ่ายช่วยเหลือจะมาหลายชั่วโมงให้หลัง บันทึกผลที่สังเกตได้ลงในบันทึกการออกแบบ
การพึ่งพาศูนย์กลางเหมือนกันในทุกโหมด มีคนต้องเป็นเจ้าของเส้นทางการกู้คืนของอุปกรณ์เอง
เขียนสัญญาสาขาก่อนติดตั้ง
สัญญาสาขาพอดีหนึ่งหน้า เจ้าของ แหล่งที่อยู่ พรีฟิกซ์ที่ผ่านอุโมงค์ นโยบายการออก และพฤติกรรมเมื่อเกิดเหตุขัดข้องที่คุณยอมรับ
จากนั้นตรวจสอบผลที่ติดตั้งจริง ไม่ใช่ผลที่ตั้งใจ ตรวจสอบที่อยู่ของไคลเอนต์สาขา เกตเวย์เริ่มต้น พรีฟิกซ์ใดแก้ผ่านอุโมงค์ และอะไรยังตอบสนองเมื่ออุโมงค์ถูกบล็อก ความเข้ากันได้ การเข้าถึง และสิทธิ์การใช้งานทั้งหมดต้องตรวจกับเอกสารผู้จำหน่ายปัจจุบันสำหรับรุ่นที่แน่นอน เพราะชื่อผลิตภัณฑ์ไม่ได้ประกันโหมด เก็บหน้านั้นไว้กับบันทึกอุปกรณ์ เพื่อให้วิศวกรคนถัดไปสืบทอดการตัดสินใจ ไม่ใช่แผนภาพ
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleทำบล็อกนั้นซ้ำโดยบล็อกอุโมงค์ และความแตกต่างระหว่างการรันสองครั้งคือพฤติกรรมเมื่อเกิดเหตุขัดข้องที่คุณซื้อมาจริง