Який режим Sophos RED підходить для мережі вашого філіалу?
RED — це роль віддаленого майданчика, а не протокол. Виберіть Standard/Unified, Standard/Split або Transparent/Split залежно від того, кому належать шлюз філіалу та DHCP.
Sophos RED — це роль віддаленого майданчика, а не протокол VPN, тому порівняння з IPsec або OpenVPN відповідає не на те питання. Пристрій поширює контроль центрального міжмережевого екрана на філіал, а вибраний режим визначає, хто надає шлюз філіалу, хто видає адреси і який трафік іде через тунель. Ці три відповіді важливіші за назви режимів. Якщо записати їх першими, вибір продукту перетворюється на проєктне рішення.
RED — це роль, а не протокол
Пристрій RED підключає філіал до центрального Sophos Firewall, і саме конфігурація міжмережевого екрана визначає, чим стає філіал. Тунель — деталь реалізації цього підключення, а не універсальна кінцева точка VPN, яку можна спрямувати на будь-якого партнера.
Таке формулювання важливе, тому що RED не є взаємозамінним із довільним партнером IPsec. Він очікує, що центральний міжмережевий екран ним керуватиме, а підтримувані режими описують, яку частину філіалу він бере на себе. Якщо вважати його звичайною кінцевою точкою тунелю, виникають очікування, яких продукт ніколи не обіцяв. Якщо вважати його роллю, з'являються питання, які справді визначають проєкт.
Три умови нижче змінюють відповідь, і всі вони про власність, а не про шифрування.
Три умови, які вибирають режим
Запитайте, кому належить шлюз філіалу, хто обслуговує DHCP і DNS для клієнтів філіалу і чи має локальний вихід в інтернет пережити обрив тунелю.
Standard/Unified відповідає на всі три однаково: центральний міжмережевий екран володіє локальною мережею філіалу, включно із завданнями шлюзу та DHCP, а трафік іде через тунель. Standard/Split зберігає центральне керування і надсилає через тунель лише налаштовані мережі. Transparent/Split залишає наявній мережі філіалу її власний шлюз і адреси та спрямовує в тунель лише вибраний трафік. Три режими, три різні власники.
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
Спочатку прочитайте середній стовпець, бо він визначає, яка частина філіалу ще працює, коли тунелю немає.
Кому належать шлюз філіалу та DHCP
У об'єднаній схемі філіал не має самостійного шлюзу, що спрощує налаштування і концентрує відмову. Така концентрація нормальна, коли філіал невеликий, а центральний міжмережевий екран має високу доступність.
У прозорому розгортанні філіал зберігає свій маршрутизатор, а RED стоїть у розриві, щоб перенаправляти вибраний трафік. Це зберігає локальний контроль і додає пристрій, чиє місце в шляху тепер важливе для кожного перенаправленого потоку. Задокументуйте, де він стоїть, бо пізніша зміна маршрутизатора філіалу може непомітно його обійти. Жодна схема не виграє загалом; вони по-різному розподіляють відповідальність.
Власність адрес — це частина, яку треба записати, бо два сервери DHCP в одному сегменті дають періодичні збої, які повідомляють як проблеми VPN.
Що відбувається, коли тунель падає
Роботу Split часто читають як обіцянку, що локальний інтернет продовжує працювати під час відмови тунелю, і таке читання небезпечне. Точна поведінка залежить від вибраного режиму, прошивки та пристрою, тому її місце в критеріях приймання, а не в припущенні.
Визначте, що філіал має робити без тунелю: діставатися локальних принтерів, розв'язувати імена, приймати платежі або нічого. Потім перевірте цей стан навмисно, заблокувавши тунель і спостерігаючи за філіалом. Філіал, який тихо втрачає DNS, гірший за той, що гучно відмовляє, бо дзвінок до підтримки надходить через години. Запишіть спостережений результат у проєктний запис.
Центральна залежність однакова в усіх режимах: хтось має володіти шляхом відновлення самого пристрою.
Запишіть договір про філіал до розгортання
Договір про філіал уміщується на одній сторінці: власники, джерела адрес, префікси через тунель, політика виходу та прийнята поведінка під час обриву.
Потім перевіряйте розгорнутий результат, а не задуманий. Перевірте адресу клієнта філіалу, його шлюз за замовчуванням, які префікси розв'язуються через тунель і що ще відповідає, коли тунель заблоковано. Сумісність, доступність і ліцензування треба звіряти з поточною документацією постачальника для точної моделі, бо назва продукту не гарантує режим. Тримайте цю сторінку разом із записом про пристрій, щоб наступний інженер успадкував рішення, а не схему.
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleПовторіть цей блок із заблокованим тунелем, і різниця між двома запусками — це поведінка під час обриву, яку ви справді купили.