I-route ang subnet ng sangay sa labas ng internet ng SonicWall ng punong tanggapan

Dapat lumabas ang mga telepono ng sangay sa pamamagitan ng punong tanggapan habang patuloy na ginagamit ng mga laptop ng sangay ang lokal na WAN, at ang patakaran ng ruta lamang ay hindi ito maghahatid. Ang ruta ng sangay ay maaaring pumili ng tunnel, ngunit kailangang tanggapin ng patakaran ng tunnel ang trapiko, kailangang ipasa at isalin ito ng punong tanggapan, at kailangang bumalik ang sagot sa parehong daan. Kung may makaligtaan sa tatlong ito, ang sintomas ay isang subset ng mga kliyenteng nawawalan ng internet habang aktibo ang tunnel.

Magsimula sa selector, hindi sa ruta

Ang patakaran ng ruta ay tumutugma sa isang pinagmulan, kaya ang pinagmulan ay dapat na matatag bago ang anupaman. Ilagay ang mga piniling device sa isang grupo ng address na pinapanatili ng administrator o, mas mabuti, sa isang nakalaang segment na ang pagiging miyembro ay sumusunod sa papel ng device. Kapag ang ordinaryong pag-ikot ng DHCP ay makakapaglipat ng tugmang address sa ibang makina, tahimik na pinipili ng patakaran ang maling kliyente, at ang unang ulat ay karaniwang tungkol sa mabagal na pag-browse na talagang isang paglilihis.

Pangalanan ang grupo ayon sa patakarang pinaglilingkuran nito, hindi ayon sa palapag o departamento, dahil mas matagal na mabubuhay ang tuntunin ng ruta kaysa sa dalawa. Itala kung aling mga device ang nasa loob nito at sino ang pinapayagang magdagdag ng isa.

Idagdag ang patakaran ng sangay, pagkatapos ay ipagtanggol ang pagkakasunod-sunod nito

Sa SonicWall ng sangay, pinipili ng patakaran ng ruta ang grupo ng pinagmulan, pinangalanan ang nilalayong destinasyon at itinatakda ang interface ng tunnel bilang gateway, at ito mismo ang layunin ng sinusuportahang disenyo ng interface ng tunnel. Panatilihin ang mga tuntunin para sa lokal at pribadong destinasyon sa itaas ng malawak na tuntunin ng internet, dahil ang unang tugma ang nananalo, at ang pribadong prefix na itinulak sa tunnel ay nakakarating sa punong tanggapan para lamang itapon. Panatilihin din ang sariling ruta ng firewall patungo sa kapares nitong VPN, kung hindi ay susunod ang transportasyon ng tunnel sa patakarang pinagkakatiwalaan nito. Wala sa mga ito ang pumipilit sa iyong i-convert ang bawat umiiral na tunnel na nakabatay sa patakaran; ang interface ng tunnel ay isang sinusuportahang pagpipilian sa ilan.

Ang pagkakasunod-sunod ang bahaging nagbabago nang hindi sinasadya. Sinumang nagdaragdag ng eksepsiyon ay dapat itong ipasok sa itaas ng malawak na tuntunin, at sinumang nag-e-edit ng malawak na tuntunin ay maaaring baligtarin ang buong disenyo sa isang pag-save. Isulat ang nilalayong pagkakasunod-sunod sa tabi ng patakaran at muling suriin ito pagkatapos ng mga update ng firmware, dahil talagang nagbabago ang pagpapangalan ng interface at pag-render ng patakaran sa pagitan ng mga release.

Kumpletuhin ang landas sa punong tanggapan

Kailangang tanggapin ng patakaran ng tunnel sa punong tanggapan ang trapikong pinipili na ngayon ng ruta ng sangay. Ang inter-office selector na limitado sa pribadong LAN ng punong tanggapan ay hindi pahintulot na magdala ng arbitraryong pampublikong destinasyon, kaya kailangan ng patakaran ang pinagmulan ng sangay at ang hanay ng destinasyong talagang nilalayon mo. Pagkatapos ay ipinapasa ng punong tanggapan ang papasok na trapikong iyon sa uplink ng internet nito ayon sa sarili nitong mga tuntunin sa pag-access, at ang halimbawa ng sentral na labasan ng SonicWall ay may kasamang pagsasalin ng pinagmulan para sa malayong network sa sentral na WAN. Kung wala ang pagsasaling iyon, nakikita ng malayong panig ang pribadong address ng sangay at walang rutang pabalik dito.

Ang mga sagot ang kabilang kalahati ng kontrata. Kailangan nilang bumalik sa pamamagitan ng tunnel o ng stateful translation na ginawa para sa kanila, at ang trapiko sa mga pribadong site ay maaaring mangailangan ng ibang pagtrato ng NAT kaysa sa pampublikong labasan. Panatilihing matukoy ang mga tuntuning iyon, dahil ang isang malawak na tuntunin ng pagsasalin na nagtatago sa bawat panloob na pinagmulan ay ginagawang mas mahirap basahin ang pag-log at pag-troubleshoot sa hinaharap.

Magpasya kung ano ang gagawin ng grupo kapag bumagsak ang tunnel

Kung ang sentral na labasan ay kinakailangan at hindi kagustuhan, ang pagbabalik sa lokal na WAN ay isang kabiguan sa pagsunod kahit manatiling online ang mga gumagamit. Idinodokumento ng SonicOS ang rutang nagtatapon ng interface ng tunnel bilang sinusuportahang paraan upang pigilan ang piniling trapiko na kumuha ng hindi sinasadyang alternatibong landas.

Itugma ang saklaw at priyoridad ng rutang iyon sa naka-install na release, at subukan ito sa pamamagitan ng pagpapababa ng tunnel sa halip na magtiwala sa label. Ang grupong hindi dapat kailanman lumabas nang lokal ay dapat mabigo nang sarado, habang ang grupong mas mahalaga ang pagiging available ay maaaring lehitimong bumalik; pareho silang desisyon, at wala sa kanila ang dapat mangyari bilang default.

I-verify mula sa tatlong kliyente, pagkatapos ay i-roll back nang malinis

Ang ping sa sentral na gateway ay sumusubok ng maling bagay, dahil nagmumula ito sa firewall at hindi sa piniling kliyente. Subukan mula sa mga device, at subukan ang tatlo sa kanila: piniling device, ordinaryong device na dapat manatiling lokal, at isang umaasa sa mga lokal na serbisyo.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Ihambing kung saan talaga lumitaw ang pampublikong kahilingan. Ang piniling kliyente ay dapat makarating sa internet sa labasan ng punong tanggapan, at ang ordinaryong kliyente ay dapat pa ring magpakita ng sariling address ng sangay sa malayong panig; ang 203.0.113.10 ay isang address ng dokumentasyon na ginagamit bilang kapalit ng destinasyong mahalaga sa iyo. Isama ang DNS sa parehong pagdaan, dahil ang kliyenteng nagtatanong sa resolver ng sangay ay maaaring gumawa ng paghahanap na nagmula sa router na may ibang pinagmulan at samakatuwid ay ibang ruta.

Ang rollback ay ang naka-save na pagkakasunod-sunod ng patakaran at ang grupo ng address. Ibalik ang dating pagkakasunod-sunod, alisin ang grupo sa patakaran, at muling subukan ang dalawang klase ng device. Itago ang na-export na configuration kasama ang talaan ng pagbabago, dahil kailangang malaman ng susunod na inhinyero kung aling tuntunin ang malawak bago ito i-edit ng sinuman.