Qaysi Sophos RED rejimi filial tarmog'ingizga mos keladi?

Sophos RED VPN protokoli emas, olis saytning roli, shuning uchun uni IPsec yoki OpenVPN bilan solishtirish noto'g'ri savolga javob beradi. Qurilma markaziy fayervol nazoratini filialga kengaytiradi, tanlagan rejimingiz esa filial shlyuzini kim ta'minlashini, manzillarni kim tarqatishini va qaysi trafik tunnel orqali o'tishini belgilaydi. Bu uch javob rejim nomlaridan muhimroq. Ularni avval yozib qo'yish mahsulot tanlovini dizayn qaroriga aylantiradi.

RED — rol, protokol emas

RED qurilmasi filialni markaziy Sophos Firewall bilan bog'laydi, filial nima bo'lishini esa fayervol konfiguratsiyasi belgilaydi. Tunnel bu bog'lanishning amalga oshirish tafsiloti, har qanday sherikga yo'naltirsa bo'ladigan umumiy maqsadli VPN oxirgi nuqtasi emas.

Bu ramka muhim, chunki RED ixtiyoriy IPsec sherigi bilan almashtirilmaydi. U markaziy fayervol uni boshqarishini kutadi, qo'llab-quvvatlanadigan rejimlar esa filialning qancha qismini olishini tavsiflaydi. Uni oddiy tunnel oxirgi nuqtasi deb qarash mahsulot hech qachon va'da qilmagan umidlarni tug'diradi. Uni rol deb qarash esa dizaynni haqiqatan belgilaydigan savollarni keltirib chiqaradi.

Quyidagi uch shart javobni o'zgartiradi va ularning barchasi shifrlashga emas, egalikka oid.

Rejimni tanlaydigan uch shart

Filial shlyuzi kimga tegishli, filial mijozlari uchun DHCP va DNS ni kim yuritadi va mahalliy internet chiqishi tunnel uzilishiga bardosh berishi kerakmi, so'rang.

Standard/Unified uchalasiga bir xil javob beradi: markaziy fayervol shlyuz va DHCP vazifalarini qo'shgan holda filialning lokal tarmog'iga ega, trafik tunnel orqali o'tadi. Standard/Split markaziy boshqaruvni saqlaydi va tunnel orqali faqat sozlangan tarmoqlarni yuboradi. Transparent/Split mavjud filial tarmog'iga o'z shlyuzi va manzillarini boshqarish imkonini beradi va tunnelga faqat tanlangan trafikni yo'naltiradi. Uch rejim, uch xil egasi.

Avval o'rta ustunni o'qing, chunki tunnel yo'q bo'lganda filialning qancha qismi ishlashini o'sha belgilaydi.

Filial shlyuzi va DHCP kimga tegishli

Birlashtirilgan joylashuvda filialning alohida shlyuzi yo'q, bu konfiguratsiyani soddalashtiradi va nosozlikni bir joyga jamlaydi. Filial kichik bo'lsa va markaziy fayervol yuqori foydalanish imkoniyatiga ega bo'lsa, bunday jamlash ma'qul.

Shaffof o'rnatishda filial o'z routerini saqlaydi va tanlangan trafikni yo'naltirish uchun RED yo'lda o'tiradi. Bu mahalliy nazoratni saqlaydi va yo'ldagi o'rni endi har bir yo'naltirilgan oqim uchun muhim bo'lgan qurilmani qo'shadi. U qayerda o'tirishini hujjatlashtiring, chunki keyinchalik filial routeridagi o'zgarish uni jimgina chetlab o'tishi mumkin. Ikkala joylashuv ham umuman g'alaba qozonmaydi; ular mas'uliyatni turlicha taqsimlaydi.

Manzillarga egalik yozib qo'yilishi kerak bo'lgan qism, chunki bitta segmentdagi ikkita DHCP serveri VPN muammosi deb xabar qilinadigan vaqti-vaqti bilan nosozliklar keltiradi.

Tunnel yiqilganda nima bo'ladi

Split ishi ko'pincha tunnel nosozligi vaqtida mahalliy internet ishlashda davom etadi degan va'da sifatida o'qiladi va bunday o'qish xavfsiz emas. Aniq xatti-harakat tanlangan rejimga, mikrodasturga va qurilmaga bog'liq, shuning uchun u qabul mezonlariga tegishli, taxminga emas.

Tunnelsiz filial hali nima qilishi kerakligini hal qiling: mahalliy printerlarga yetish, nomlarni hal qilish, to'lovlarni qabul qilish yoki hech narsa. So'ngra tunneldi to'sib, filialni kuzatib o'sha holatni ataylab sinab ko'ring. DNS ni jimgina yo'qotadigan filial baland ovozda ishdan chiqqanidan yomonroq, chunki yordam xizmatiga qo'ng'iroq soatlardan keyin keladi. Kuzatilgan natijani dizayn yozuviga yozing.

Markaziy bog'liqlik har bir rejimda bir xil: kimdir qurilmaning o'z tiklanish yo'liga ega bo'lishi kerak.

O'rnatishdan oldin filial shartnomasini yozing

Filial shartnomasi bitta sahifaga sig'adi: egalar, manba manzillari, tunnel bo'ylab o'tadigan prefikslar, chiqish siyosati va siz qabul qilgan uzilish xatti-harakati.

So'ngra mo'ljallanganni emas, o'rnatilgan natijani tekshiring. Filial mijozining manzilini, uning standart shlyuzini, qaysi prefikslar tunnel orqali hal qilinishini va tunnel to'silganida nima hali javob berishini tekshiring. Moslik, yetib borish va litsenziya hammasi aniq model uchun yetkazib beruvchining joriy hujjatlari bilan solishtirilishi kerak, chunki mahsulot nomi rejimga kafolat bermaydi. O'sha sahifani qurilma yozuvi bilan birga saqlang, shunda keyingi muhandis sxemani emas, qarorlarni meros oladi.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Tunnel to'silgan holatda o'sha blokni qayta ishga tushiring, ikki ishga tushirish orasidagi farq esa siz haqiqatan sotib olgan uzilish xatti-harakatidir.