Chế độ Sophos RED nào phù hợp với mạng chi nhánh của bạn?

Sophos RED là một vai trò cho site từ xa chứ không phải giao thức VPN, nên so sánh nó với IPsec hay OpenVPN là trả lời sai câu hỏi. Thiết bị mở rộng quyền kiểm soát của tường lửa trung tâm tới chi nhánh, và chế độ bạn chọn quyết định ai cung cấp cổng của chi nhánh, ai cấp phát địa chỉ và lưu lượng nào đi qua đường hầm. Ba câu trả lời đó quan trọng hơn tên các chế độ. Ghi chúng ra trước biến một lựa chọn sản phẩm thành quyết định thiết kế.

RED là vai trò, không phải giao thức

Một thiết bị RED kết nối chi nhánh với Sophos Firewall trung tâm, và cấu hình của tường lửa quyết định chi nhánh trở thành gì. Đường hầm chỉ là chi tiết triển khai của kết nối đó, không phải điểm cuối VPN đa dụng có thể nhắm tới bất kỳ đối tác nào.

Cách đặt vấn đề đó quan trọng vì RED không thể hoán đổi với một đối tác IPsec tùy ý. Nó chờ tường lửa trung tâm quản lý, và các chế độ được hỗ trợ mô tả nó tiếp quản bao nhiêu phần của chi nhánh. Coi nó như một điểm cuối đường hầm thông thường tạo ra kỳ vọng mà sản phẩm chưa bao giờ hứa. Coi nó như một vai trò sinh ra những câu hỏi thực sự quyết định thiết kế.

Ba điều kiện dưới đây thay đổi câu trả lời, và tất cả đều về quyền sở hữu chứ không phải mã hóa.

Ba điều kiện chọn chế độ

Hỏi ai sở hữu cổng của chi nhánh, ai vận hành DHCP và DNS cho các máy khách của chi nhánh, và liệu lối ra internet cục bộ có phải sống sót khi đường hầm đứt.

Standard/Unified trả lời cả ba giống nhau: tường lửa trung tâm sở hữu LAN của chi nhánh, gồm cả nhiệm vụ cổng và DHCP, và lưu lượng đi qua đường hầm. Standard/Split giữ quản lý trung tâm và chỉ gửi qua đường hầm những mạng đã cấu hình. Transparent/Split để mạng chi nhánh hiện hữu tự quản cổng và địa chỉ của nó, và chỉ chuyển hướng lưu lượng được chọn vào đường hầm. Ba chế độ, ba chủ sở hữu khác nhau.

Đọc cột giữa trước, vì nó quyết định bao nhiêu phần của chi nhánh còn hoạt động khi không có đường hầm.

Ai sở hữu cổng của chi nhánh và DHCP

Trong cách bố trí hợp nhất, chi nhánh không có cổng độc lập, điều này đơn giản hóa cấu hình và tập trung sự cố vào một chỗ. Sự tập trung đó ổn khi chi nhánh nhỏ và tường lửa trung tâm có độ sẵn sàng cao.

Trong triển khai trong suốt, chi nhánh giữ bộ định tuyến riêng và RED nằm trên đường đi để chuyển hướng lưu lượng được chọn. Điều đó giữ quyền kiểm soát cục bộ và thêm một thiết bị mà vị trí trên đường đi nay quan trọng với mọi luồng bị chuyển hướng. Ghi lại nó nằm ở đâu, vì thay đổi sau này ở bộ định tuyến chi nhánh có thể âm thầm bỏ qua nó. Không cách bố trí nào thắng chung; chúng chia trách nhiệm khác nhau.

Quyền sở hữu địa chỉ là phần cần ghi ra, vì hai máy chủ DHCP trên cùng một phân đoạn tạo ra lỗi gián đoạn được báo là sự cố VPN.

Điều gì xảy ra khi đường hầm sụp

Vận hành Split thường được đọc như một lời hứa rằng internet cục bộ tiếp tục chạy trong lúc đường hầm gặp sự cố, và cách đọc đó không an toàn. Hành vi chính xác phụ thuộc vào chế độ đã chọn, firmware và thiết bị, nên nó thuộc tiêu chí nghiệm thu chứ không phải giả định.

Quyết định chi nhánh còn phải làm gì khi không có đường hầm: tới máy in cục bộ, phân giải tên, nhận thanh toán hay không làm gì cả. Sau đó cố ý kiểm tra trạng thái đó bằng cách chặn đường hầm và quan sát chi nhánh. Một chi nhánh âm thầm mất DNS tệ hơn một chi nhánh thất bại ồn ào, vì cuộc gọi tới bộ phận hỗ trợ đến vài giờ sau. Ghi kết quả quan sát vào hồ sơ thiết kế.

Sự phụ thuộc trung tâm giống nhau ở mọi chế độ: ai đó phải sở hữu đường khôi phục của chính thiết bị.

Viết hợp đồng chi nhánh trước khi triển khai

Một hợp đồng chi nhánh gói trong một trang: chủ sở hữu, nguồn địa chỉ, tiền tố đi qua đường hầm, chính sách ra ngoài và hành vi khi sự cố mà bạn đã chấp nhận.

Sau đó xác minh kết quả đã triển khai chứ không phải kết quả dự định. Kiểm tra địa chỉ của máy khách chi nhánh, cổng mặc định của nó, tiền tố nào được phân giải qua đường hầm và cái gì còn trả lời khi đường hầm bị chặn. Tương thích, khả năng tới và cấp phép đều cần đối chiếu với tài liệu hiện hành của nhà cung cấp cho đúng model, vì tên sản phẩm không bảo đảm chế độ. Giữ trang đó cùng hồ sơ thiết bị để kỹ sư tiếp theo thừa hưởng các quyết định chứ không phải sơ đồ.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Lặp lại khối đó với đường hầm bị chặn, và khác biệt giữa hai lần chạy chính là hành vi khi sự cố mà bạn thực sự đã mua.