Hangi Sophos RED modu şube ağınıza uygun?

Sophos RED bir VPN protokolü değil, uzak saha rolüdür, bu yüzden IPsec veya OpenVPN ile karşılaştırmak yanlış soruya cevap verir. Cihaz, merkezi bir güvenlik duvarının denetimini bir şubeye genişletir ve seçtiğiniz mod şubenin ağ geçidini kimin sağladığını, adresleri kimin dağıttığını ve hangi trafiğin tünelden geçtiğini belirler. Bu üç cevap mod adlarından daha ağır basar. Bunları önce yazmak ürün seçimini bir tasarım kararına dönüştürür.

RED bir roldür, protokol değil

Bir RED cihazı bir şubeyi merkezi bir Sophos Firewall'a bağlar ve şubenin ne olacağını güvenlik duvarının yapılandırması belirler. Tünel bu bağlantının uygulama ayrıntısıdır, herhangi bir eşe yöneltilebilecek genel amaçlı bir VPN uç noktası değildir.

Bu çerçeve önemlidir çünkü RED rastgele bir IPsec eşiyle değiştirilemez. Merkezi güvenlik duvarının onu yönetmesini bekler ve desteklenen modlar şubenin ne kadarını devraldığını açıklar. Onu sıradan bir tünel uç noktası olarak ele almak ürünün hiç vermediği sözlerin beklentisini yaratır. Onu bir rol olarak ele almak tasarımı gerçekten belirleyen soruları ortaya çıkarır.

Aşağıdaki üç koşul cevabı değiştirir ve hepsi şifreleme değil sahiplikle ilgilidir.

Modu seçen üç koşul

Şubenin ağ geçidine kimin sahip olduğunu, şube istemcileri için DHCP ve DNS'i kimin çalıştırdığını ve yerel internet çıkışının bir tünel kesintisine dayanması gerekip gerekmediğini sorun.

Standard/Unified üçüne de aynı şekilde cevap verir: merkezi güvenlik duvarı ağ geçidi ve DHCP görevleri dahil şube LAN'ına sahiptir ve trafik tünelden geçer. Standard/Split merkezi yönetimi korur ve tünelden yalnızca yapılandırılmış ağları gönderir. Transparent/Split mevcut şube ağının kendi ağ geçidini ve adreslerini yönetmesine izin verir ve tünele yalnızca seçili trafiği yönlendirir. Üç mod, üç farklı sahip.

Önce orta sütunu okuyun, çünkü tünel yokken şubenin ne kadarının hâlâ çalıştığını o belirler.

Şubenin ağ geçidine ve DHCP'ye kim sahip

Birleşik düzenlemede şubenin bağımsız bir ağ geçidi yoktur, bu da yapılandırmayı basitleştirir ve arızayı tek yerde toplar. Bu toplama, şube küçükken ve merkezi güvenlik duvarı yüksek kullanılabilirliğe sahipken uygundur.

Şeffaf kurulumda şube kendi yönlendiricisini korur ve RED seçili trafiği yönlendirmek için hatta oturur. Bu, yerel denetimi korur ve yoldaki konumu artık yönlendirilen her akış için önemli olan bir cihaz ekler. Nerede oturduğunu belgeleyin, çünkü şube yönlendiricisinde sonradan yapılan bir değişiklik onu sessizce atlayabilir. Hiçbir düzenleme genelde kazanmaz; sorumluluğu farklı biçimde paylaşırlar.

Adres sahipliği yazılması gereken kısımdır, çünkü aynı segmentteki iki DHCP sunucusu VPN sorunu olarak bildirilen aralıklı arızalar üretir.

Tünel düştüğünde ne olur

Split işletimi sıklıkla tünel arızası sırasında yerel internetin çalışmaya devam ettiği sözü olarak okunur ve bu okuma güvenli değildir. Kesin davranış seçilen moda, yazılıma ve cihaza bağlıdır, bu yüzden kabul ölçütlerine aittir, bir varsayıma değil.

Şubenin tünelsiz olarak hâlâ ne yapması gerektiğine karar verin: yerel yazıcılara ulaşmak, adları çözmek, ödeme almak ya da hiçbir şey. Ardından tüneli engelleyip şubeyi gözlemleyerek o durumu bilerek test edin. DNS'i sessizce kaybeden bir şube, yüksek sesle başarısız olandan daha kötüdür, çünkü yardım masasına gelen çağrı saatler sonra ulaşır. Gözlenen sonucu tasarım kaydına yazın.

Merkezi bağımlılık her modda aynıdır: birinin cihazın kendi kurtarma yoluna sahip olması gerekir.

Devreye almadan önce şube sözleşmesini yazın

Şube sözleşmesi tek sayfaya sığar: sahipler, adres kaynakları, tünelden geçen önekler, çıkış politikası ve kabul ettiğiniz arıza davranışı.

Sonra amaçlananı değil, devreye alınan sonucu doğrulayın. Şube istemcisinin adresini, varsayılan ağ geçidini, hangi öneklerin tünelden çözüldüğünü ve tünel engelliyken neyin hâlâ yanıt verdiğini kontrol edin. Uyumluluk, erişilebilirlik ve lisanslama tam model için satıcının güncel belgeleriyle karşılaştırılmalıdır, çünkü bir ürün adı bir modu garanti etmez. O sayfayı cihaz kaydıyla birlikte tutun, böylece sonraki mühendis şemayı değil kararları devralır.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

O bloğu tünel engelliyken tekrarlayın, iki çalıştırma arasındaki fark gerçekten satın aldığınız arıza davranışıdır.