Bir şube alt ağını merkez ofisin SonicWall internet çıkışından yönlendirin

Şube telefonları merkez ofis üzerinden çıkmalı, şube dizüstü bilgisayarları ise yerel WAN'ı kullanmaya devam etmeli; yalnızca yönlendirme ilkesi bunu sağlamaz. Bir şube rotası tüneli seçebilir, ancak tünel ilkesinin trafiği kabul etmesi gerekir, merkez ofis bunu iletmeli ve çevirmeli, yanıt da aynı yoldan dönmelidir. Bu üçünden biri eksik kalırsa belirti, tünel açıkken tam olarak interneti kaybeden istemcilerin bir alt kümesi olur.

Seçiciyle başlayın, rotayla değil

Yönlendirme ilkesi bir kaynağa göre eşleşir, bu yüzden kaynak her şeyden önce kararlı olmalıdır. Seçilen cihazları bir yöneticinin sürdürdüğü adres grubuna veya daha iyisi, üyeliği cihaz rolünü izleyen ayrılmış bir segmente yerleştirin. Sıradan DHCP değişimi eşleşen bir adresi başka bir makineye taşıyabildiğinde, ilke sessizce yanlış istemciyi seçer ve ilk bildirim genellikle aslında bir dolambaç olan yavaş gezinme hakkındadır.

Grubu hizmet ettiği ilkeye göre adlandırın, bir kata veya departmana göre değil, çünkü yönlendirme kuralı ikisinden de uzun yaşayacaktır. İçinde hangi cihazların olduğunu ve kimin bir tane ekleyebileceğini kaydedin.

Şube ilkesini ekleyin, ardından sırasını savunun

Şubenin SonicWall'ında bir rota ilkesi kaynak grubunu seçer, amaçlanan hedefleri adlandırır ve tünel arayüzünü ağ geçidi olarak ayarlar; desteklenen tünel arayüzü tasarımı tam olarak bunun içindir. Yerel ve özel hedef kurallarını geniş internet kuralının üstünde tutun, çünkü ilk eşleşme kazanır ve tünele itilen özel bir önek merkez ofise yalnızca atılmak için ulaşır. Güvenlik duvarının kendi VPN eşine giden rotasını da koruyun, aksi halde tünel taşıması bağlı olduğu ilkeyi izler. Bunların hiçbiri sizi mevcut tüm ilke tabanlı tünelleri dönüştürmeye zorlamaz; tünel arayüzü birkaç desteklenen seçenekten biridir.

Sıra, kaza eseri değişen kısımdır. Bir istisna ekleyen kişi onu geniş kuralın üstüne yerleştirmek zorundadır ve geniş kuralı düzenleyen kişi tüm tasarımı tek bir kaydetmeyle tersine çevirebilir. Amaçlanan sırayı ilkenin yanına yazın ve ürün yazılımı güncellemelerinden sonra yeniden kontrol edin, çünkü arayüz adlandırma ve ilke görüntüleme sürümler arasında gerçekten değişir.

Yolu merkez ofiste tamamlayın

Merkez ofisteki tünel ilkesi, şube rotasının artık seçtiği trafiği kabul etmelidir. Merkez ofisin özel LAN'ıyla sınırlı bir ofisler arası seçici, rastgele genel hedefleri taşıma izni değildir, bu yüzden ilke şube kaynağına ve gerçekten amaçladığınız hedef aralığına ihtiyaç duyar. Merkez ofis ardından gelen trafiği kendi erişim kurallarına göre internet bağlantısına iletir ve SonicWall'ın merkezi çıkış örneği merkezi WAN'da uzak ağ için kaynak çevirisini içerir. Bu çeviri olmadan uzak taraf özel bir şube adresi görür ve ona geri dönüş rotası yoktur.

Yanıtlar sözleşmenin diğer yarısıdır. Tünelden veya onlar için oluşturulan durum bilgili çeviriden geri dönmelidirler ve özel site trafiği genel çıkıştan farklı NAT işlemi gerektirebilir. Bu kuralları ayırt edilebilir tutun, çünkü her iç kaynağı gizleyen tek bir geniş çeviri kuralı sonraki günlük kaydını ve sorun gidermeyi çok daha zor okunur hale getirir.

Tünel düştüğünde grubun ne yapacağına karar verin

Merkezi çıkış bir tercih değil gereklilikse, kullanıcılar çevrimiçi kalsa bile yerel WAN'a dönmek bir uyumluluk başarısızlığıdır. SonicOS, seçilen trafiğin istenmeyen bir alternatif yola sapmasını engellemenin desteklenen yolu olarak tünel arayüzünü düşüren bir rotayı belgeler.

Bu rotanın kapsamını ve önceliğini yüklü sürümle eşleştirin ve etikete güvenmek yerine tüneli aşağı indirerek test edin. Asla yerel olarak çıkmaması gereken bir grup kapalı şekilde başarısız olmalı, kullanılabilirliğin daha önemli olduğu bir grup ise meşru şekilde geri dönebilir; ikisi de birer karardır ve hiçbiri varsayılan olarak gerçekleşmemelidir.

Üç istemciden doğrulayın, ardından temiz şekilde geri alın

Merkezi ağ geçidine ping yanlış şeyi test eder, çünkü seçilen bir istemciden değil güvenlik duvarından kaynaklanır. Bunun yerine cihazlardan test edin ve üçünü test edin: seçilen bir cihaz, yerel kalması gereken sıradan bir cihaz ve yerel hizmetlere bağlı olan biri.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Genel isteğin gerçekte nerede ortaya çıktığını karşılaştırın. Seçilen istemci internete merkez ofisin çıkışından ulaşmalı, sıradan istemci ise uzak tarafta hâlâ şubenin kendi adresini göstermelidir; 203.0.113.10 önemsediğiniz hedefin yerine kullanılan bir belge adresidir. DNS'yi aynı geçişe dahil edin, çünkü şubenin çözümleyicisine soran bir istemci, yönlendiriciden kaynaklanan ve farklı kaynaklı bir sorgu ve dolayısıyla farklı bir rota üretebilir.

Geri alma, kaydedilmiş ilke sırası artı adres grubudur. Önceki sırayı geri yükleyin, grubu ilkeden çıkarın ve iki cihaz sınıfını yeniden test edin. Dışa aktarılan yapılandırmayı değişiklik kaydıyla birlikte saklayın, çünkü bir sonraki mühendisin, birisi düzenlemeden önce hangi kuralın geniş olduğunu bilmesi gerekir.