Filial quyi tarmog'ini bosh ofisning SonicWall internet chiqishi orqali yo'naltiring

Filial telefonlari bosh ofis orqali chiqishi kerak, filial noutbuklari esa mahalliy WAN dan foydalanishda davom etadi, va faqat marshrutlash siyosati buni ta'minlamaydi. Filial marshruti tunnelni tanlashi mumkin, lekin tunnel siyosati trafikni qabul qilishi kerak, bosh ofis uni uzatishi va tarjima qilishi kerak, javob esa xuddi shu yo'l bilan qaytishi kerak. Shu uchtadan birortasi o'tkazib yuborilsa, alomat tunnel faol bo'lganda aynan internetni yo'qotadigan mijozlarning kichik guruhi bo'ladi.

Selektordan boshlang, marshrutdan emas

Marshrutlash siyosati manba bo'yicha mos keladi, shuning uchun manba hamma narsadan oldin barqaror bo'lishi kerak. Tanlangan qurilmalarni administrator saqlaydigan manzil guruhiga yoki yaxshiroq, a'zoligi qurilma rolini kuzatadigan ajratilgan segmentga joylashtiring. Oddiy DHCP almashinuvi mos keladigan manzilni boshqa mashinaga ko'chirishi mumkin bo'lganda, siyosat jimgina noto'g'ri mijozni tanlaydi, va birinchi xabar odatda sekin ko'rish haqida bo'ladi, bu aslida aylanma yo'ldir.

Guruhni u xizmat qiladigan siyosat nomi bilan nomlang, qavat yoki bo'lim nomi bilan emas, chunki marshrut qoidasi ikkalasidan ham uzoq yashaydi. Unda qaysi qurilmalar borligini va kim bittasini qo'shishi mumkinligini yozib qo'ying.

Filial siyosatini qo'shing, so'ng uning tartibini himoya qiling

Filial SonicWall da marshrut siyosati manba guruhini tanlaydi, mo'ljallangan manzillarni nomlaydi va tunnel interfeysini shlyuz sifatida o'rnatadi, qo'llab-quvvatlanadigan tunnel interfeysi dizayni aynan shu uchun mavjud. Mahalliy va xususiy manzil qoidalarini keng internet qoidasidan yuqori tuting, chunki birinchi moslik yutadi, va tunnelga itarilgan xususiy prefiks bosh ofisga faqat tashlab yuborilish uchun yetib boradi. Firewall ning o'z VPN hamkoriga marshrutini ham saqlang, aks holda tunnel transporti u bog'liq bo'lgan siyosatga ergashadi. Bularning hech biri sizni har bir mavjud siyosatga asoslangan tunnelni o'zgartirishga majburlamaydi; tunnel interfeysi bir nechtasidan biri qo'llab-quvvatlanadigan tanlovdir.

Tartib tasodifan o'zgaradigan qismdir. Har qanday istisno qo'shuvchi uni keng qoida ustiga kiritishi kerak, va keng qoidani tahrirlovchi bitta saqlash bilan butun dizaynni teskari aylantirishi mumkin. Mo'ljallangan tartibni siyosat yoniga yozing va mikrodastur yangilanishlaridan keyin yana tekshiring, chunki interfeys nomlash va siyosat ko'rsatilishi versiyalar orasida haqiqatan o'zgaradi.

Yo'lni bosh ofisda tugating

Bosh ofisdagi tunnel siyosati endi filial marshruti tanlaydigan trafikni qabul qilishi kerak. Bosh ofisning xususiy LAN i bilan cheklangan ofislararo tanlagich o'zboshimchalik bilan ommaviy manzillarni tashishga ruxsat emas, shuning uchun siyosatga filial manbasi va siz haqiqatan nazarda tutgan manzil diapazoni kerak. So'ng bosh ofis kelayotgan trafikni o'z kirish qoidalari bo'yicha internet uplinkiga uzatadi, va SonicWall ning markaziy chiqish misoli markaziy WAN da uzoq tarmoq uchun manba tarjimasini o'z ichiga oladi. Bu tarjimasiz uzoq tomon xususiy filial manzilini ko'radi va unga qaytish marshruti yo'q.

Javoblar shartnomaning ikkinchi yarmi. Ular tunnel orqali yoki ular uchun yaratilgan holatli tarjima orqali qaytishi kerak, va xususiy saytlar trafigi ommaviy chiqishdan boshqacha NAT ishlovini talab qilishi mumkin. Bu qoidalarni ajratib turadigan holda saqlang, chunki har bir ichki manbani yashiruvchi bitta keng tarjima qoidasi keyingi jurnal yozish va muammolarni hal qilishni o'qishni ancha qiyinlashtiradi.

Tunnel yiqilganda guruh nima qilishini hal qiling

Agar markaziy chiqish afzallik emas, talab bo'lsa, mahalliy WAN ga qaytish foydalanuvchilar onlayn qolsa ham muvofiqlik buzilishidir. SonicOS tanlangan trafikning istalmagan muqobil yo'lga tushishini oldini olishning qo'llab-quvvatlanadigan usuli sifatida tunnel interfeysini tashlaydigan marshrutni hujjatlashtiradi.

Ushbu marshrutning qamrovi va ustuvorligini o'rnatilgan versiyaga moslang, va yorliqqa ishonish o'rniga tunnelni tushirib sinab ko'ring. Hech qachon mahalliy chiqmasligi kerak bo'lgan guruh yopiq holda muvaffaqiyatsiz bo'lishi kerak, mavjudlik muhimroq bo'lgan guruh esa qonuniy ravishda orqaga qaytishi mumkin; ikkalasi ham qaror, va hech biri sukut bo'yicha sodir bo'lmasligi kerak.

Uchta mijozdan tekshiring, so'ng toza qaytaring

Markaziy shlyuzga ping noto'g'ri narsani sinaydi, chunki u tanlangan mijozdan emas, firewall dan kelib chiqadi. Buning o'rniga qurilmalardan sinab ko'ring, va ulardan uchtasini sinang: tanlangan qurilma, mahalliy qolishi kerak bo'lgan oddiy qurilma, va mahalliy xizmatlarga bog'liq bo'lgan biri.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Ommaviy so'rov aslida qayerda paydo bo'lganini solishtiring. Tanlangan mijoz internetga bosh ofisning chiqishi orqali yetishi kerak, oddiy mijoz esa uzoq tomonda filialning o'z manzilini hali ham ko'rsatishi kerak; 203.0.113.10 sizga muhim bo'lgan manzil o'rnida ishlatiladigan hujjat manzilidir. Xuddi shu bosqichga DNS ni ham qo'shing, chunki filial hal qiluvchisidan so'raydigan mijoz routerdan kelib chiqqan boshqa manbali qidiruvni va shu sababli boshqa marshrutni hosil qilishi mumkin.

Qaytarish saqlangan siyosat tartibi va manzil guruhidir. Oldingi tartibni tiklang, guruhni siyosatdan olib tashlang, va ikkala qurilma sinfini qayta sinab ko'ring. Eksport qilingan konfiguratsiyani o'zgarish yozuvi bilan birga saqlang, chunki keyingi muhandis qaysi qoida keng bo'lganini bilishi kerak, kimdir uni tahrirlashidan oldin.