哪种 Sophos RED 模式适合你的分支机构网络？

Sophos RED 是远程站点的一种角色，而不是 VPN 协议，因此把它与 IPsec 或 OpenVPN 相比，回答的是错误的问题。设备把中央防火墙的控制延伸到分支机构，而你所选的模式决定了谁来提供分支网关、谁来分发地址，以及哪些流量经过隧道。这三个答案比模式名称更重要。先把它们写下来，产品选型就变成了设计决策。

RED 是角色，不是协议

RED 设备把分支机构接入中央 Sophos Firewall，而分支机构的最终形态由防火墙的配置决定。隧道只是这次接入的实现细节，并不是可以指向任意对端的通用 VPN 端点。

这种定位很重要，因为 RED 不能与任意 IPsec 对端互换。它期待由中央防火墙来管理自己，而受支持的模式描述它接管分支机构的哪些部分。把它当作普通隧道端点，会产生产品从未承诺过的预期。把它当作一种角色，才会引出真正决定设计的问题。

下面三个条件会改变答案，它们全都关乎归属，而不是加密。

决定模式的三个条件

先问分支网关归谁、谁为分支客户端运行 DHCP 和 DNS，以及本地互联网出口是否必须在隧道中断时存活。

Standard/Unified 对三者的回答相同：中央防火墙拥有分支机构的局域网，包括网关与 DHCP 职责，流量经过隧道。Standard/Split 保留集中管理，只把已配置的网络送入隧道。Transparent/Split 让现有分支网络继续掌管自己的网关和地址，只把选定的流量引入隧道。三种模式，三种不同的归属。

先看中间那一列，因为它决定隧道消失时分支机构还有多少部分能工作。

分支网关与 DHCP 归谁

在统一式部署中，分支机构没有独立网关，这简化了配置，也把故障集中到一处。当分支机构规模较小、且中央防火墙具备高可用性时，这种集中是合适的。

在透明式部署中，分支机构保留自己的路由器，RED 串在路径上以改道选定流量。这保住了本地控制权，也增加了一台设备，而它在路径中的位置现在对每一条被改道的流都很重要。记录它所在的位置，因为日后改动分支路由器可能悄悄绕过它。两种部署方式没有普遍高下之分，它们对责任的分配方式不同。

地址归属是必须写下来的部分，因为同一网段上的两台 DHCP 服务器会造成间歇性故障，而这类故障常被报成 VPN 问题。

隧道断掉时会发生什么

Split 运行常被读成一句承诺：隧道故障期间本地互联网照常工作，而这种读法并不安全。确切行为取决于所选模式、固件和设备，因此它属于验收标准，而不属于假设。

先决定没有隧道时分支机构还必须做什么：访问本地打印机、解析名称、收款，或者什么都不做。然后刻意验证那种状态：阻断隧道，观察分支机构。悄悄丢失 DNS 的分支机构比大声失败的分支机构更糟，因为求助电话要在几小时后才来。把观察到的结果写进设计记录。

中央依赖在每种模式下都一样：必须有人负责设备本身的恢复路径。

部署前先写分支机构契约

分支契约一页纸就够：归属方、地址来源、经隧道的网段前缀、出口策略，以及你已接受的故障行为。

然后验证实际部署的结果，而不是设想的结果。检查分支客户端地址、默认网关、哪些前缀经隧道解析，以及隧道被阻断时还有什么在应答。兼容性、可达性和授权都需要对照厂商当前文档核对到确切型号，因为产品名称并不保证某种模式。把这一页与设备记录放在一起，让下一位工程师继承的是决策而不是示意图。

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

在阻断隧道的状态下重跑那段命令，两次运行的差异就是你真正买到的故障行为。