VLAN-hekway eerste, dan die VPN-uitgangsbesluit

Twee VLAN's het verskillende VPN-uitgange nodig, en die eerste vraag is nie watter beleid om te skryf nie, maar watter toestel die verstekhekway beantwoord. As 'n skakelaar tussen die VLAN's roeteer, kan 'n firewall-reel 'n pad beskryf wat die pakkette nooit volg nie. Stap die topologie deur voordat jy aan die uitgangsbeleid raak.

Stap een: vind die hekway wat elke VLAN gebruik

Vra elke kliënt na sy hekway, en vra die skakelaar watter koppelvlak die VLAN besit. Die verstekhekway bepaal die eerste roeteerbesluit vir verkeer wat die subnet verlaat, so dit bepaal ook watter toestel 'n beleid kan toepas.

ip route show default
show ip interface brief

Twee samehangende uitlegte is algemeen. Die firewall besit die VLAN-koppelvlakke en roeteer tussen hulle; of die multilaag-skakelaar besit hulle en roeteer plaaslik, en stuur net eksterne bestemmings na die firewall. Albei werk, en hulle plaas die beleid op verskillende plekke.

Kies een doelbewus, want 'n gemengde uitleg is hoe reëls op die verkeerde toestel beland.

Stap twee: besluit waar plaaslike beleid woon

As die skakelaar tussen personeel en laboratorium roeteer, kan 'n firewall-reel nie 'n uitruiling inspekteer wat nooit die firewall bereik nie. Plaaslike beleid moet in die skakelaar se eie toegangsbeheer woon, of die verkeer moet doelbewus deur 'n inspeksiepunt gelei word.

Die omgekeerde keuse het ook 'n koste. Om die firewall die hekway vir elke VLAN te maak, plaas plaaslike geroteerde verkeer in daardie toestel se kapasiteit- en beskikbaarheidsplan, so 'n herlaai van die firewall word 'n onderbreking tussen VLAN's. Evalueer die werklike hardeware eerder as om aan te neem skakelaars is toestandloos of firewalls is stadig. Kapasiteitsbeplanning is makliker wanneer die toestel wat jy herlaai nie ook die pad tussen twee besige subnette is nie.

Wat saak maak, is of die gekose beleid op die pad sit wat die pakkette werklik volg.

Stap drie: gee die twee toestelle een deurvoer

Wanneer die skakelaar roeteer, hou 'n enkele deurvoer-subnet die topologie leesbaar, in plaas daarvan om albei bokse as mededingende roeteerders aan elke kliënt-VLAN te hang. Die skakelaar besit die kliëntsubnette en die firewall besit die buitewêreld.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Die skakelaar stuur eksterne bestemmings na die firewall se deurvoeradres, en die firewall het terugroetes na albei kliëntvoorvoegsels deur die skakelaar. Hou bestuurstoegang, DHCP-hekway-instellings en VLAN-lidmaatskap ongeskonde tydens die migrasie, want daardie drie is wat 'n skoon oorskakeling in 'n middag met 'n konsolekabel verander.

'n Deurvoerontwerp maak ook die volgende firewall-vervanging 'n roeteerverandering eerder as 'n herbedradingsprojek.

Stap vier: kies die uitgang volgens die bron wat aankom

Met gewone roetering en geen brontranslasie tussenin nie, ontvang die firewall die oorspronklike personeel- of laboratoriumadres op die deurvoerkoppelvlak. Albei VLAN's kom oor een skakel, en hul IP-identiteite oorleef dit.

Druk die VPN-keuse uit met daardie bronadres en die beoogde bestemmings op die werklike inkompad. OPNsense se reeldokumentasie onderskei 'n verstekhekway-instelling, wat stelselroetering volg, van 'n eksplisiete hekway, wat beleidsgebaseerde roetering gebruik. Gebruik die eksplisiete vorm wanneer die keuse afhang van waar die pakket vandaan kom. 'n Normale verstekroete het geen rede om na die bron te kyk nie.

Hou plaaslike bestemmings buite 'n te bree uitgangsreel, en kontroleer die ondersteunde hekwaymodel vir die weergawe wat jy gebruik.

Stap vyf: bewys albei paaie

Skryf die resultaat as twee sinne: personeelverkeer na goedgekeurde bestemmings verlaat deur uitgang A, en laboratoriumverkeer na goedgekeurde bestemmings verlaat deur uitgang B. Voeg die terugroetes, die translasiereels en die beoogde gedrag by wanneer 'n uitgang af is.

traceroute -n 198.51.100.10

Toets dan 'n plaaslike diens tussen VLAN's afsonderlik, want dit oefen 'n ander besluit in dieselfde ontwerp.

'n Vars vloei van elke VLAN, 'n werkende plaaslike diens en 'n gedokumenteerde onderbrekingspad bewys saam die ontwerp; 'n enkele suksesvolle ping bewys net dat een pad op daardie oomblik bestaan het.