بوابة VLAN أولًا، ثم قرار مخرج VPN

تحتاج شبكتا VLAN إلى مخرجي VPN مختلفين، والسؤال الأول ليس أي سياسة تُكتب بل أي جهاز يجيب عن البوابة الافتراضية. إذا كان المبدّل يوجّه بين شبكتي VLAN، فقد تصف قاعدة جدار الحماية مسارًا لا تسلكه الحزم أبدًا. تفحّص الطوبولوجيا قبل لمس سياسة الخروج.

الخطوة الأولى: اعثر على البوابة التي تستخدمها كل شبكة VLAN

اسأل كل عميل عن بوابته، واسأل المبدّل أي واجهة تملك شبكة VLAN. تحدد البوابة الافتراضية أول قرار توجيه لحركة المرور الخارجة من الشبكة الفرعية، لذلك تحدد أيضًا أي جهاز يستطيع تطبيق سياسة.

ip route show default
show ip interface brief

ثمة تصميمان متماسكان شائعان. إما أن يملك جدار الحماية واجهات VLAN ويوجّه بينها، أو يملكها المبدّل متعدد الطبقات ويوجّه محليًا ويرسل الوجهات الخارجية فقط إلى جدار الحماية. كلاهما يعمل، وكلاهما يضع السياسة في مكان مختلف.

اختر أحدهما عن قصد، لأن التصميم المختلط هو ما يجعل القواعد تنتهي على الجهاز الخطأ.

الخطوة الثانية: قرّر أين تعيش السياسة المحلية

إذا كان المبدّل يوجّه بين الموظفين والمختبر، فلا تستطيع قاعدة جدار الحماية تفتيش تبادل لا يصل إلى جدار الحماية أبدًا. يجب أن تعيش السياسة المحلية في ضوابط الوصول الخاصة بالمبدّل، أو يجب توجيه حركة المرور عبر نقطة تفتيش عن قصد.

للخيار المعاكس كلفة أيضًا. جعل جدار الحماية بوابة لكل شبكة VLAN يضع الحركة الموجّهة محليًا ضمن خطة سعة ذلك الجهاز وتوافره، فيصبح إعادة تشغيل جدار الحماية انقطاعًا بين شبكتي VLAN. قيّم العتاد الفعلي بدلًا من افتراض أن المبدّلات بلا حالة أو أن جدران الحماية بطيئة. تخطيط السعة أسهل عندما لا يكون الجهاز الذي تعيد تشغيله هو أيضًا المسار بين شبكتين فرعيتين مزدحمتين.

المهم هو ما إذا كانت السياسة المختارة تقع على المسار الذي تتبعه الحزم فعليًا.

الخطوة الثالثة: امنح الجهازين مسار عبور واحدًا

عندما يوجّه المبدّل، تُبقي شبكة عبور واحدة الطوبولوجيا مقروءة، بدلًا من تعليق الصندوقين على كل شبكة VLAN عميلة كموجّهين متنافسين. يملك المبدّل الشبكات الفرعية للعملاء ويملك جدار الحماية الخارج.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

يرسل المبدّل الوجهات الخارجية إلى عنوان العبور لدى جدار الحماية، ولدى جدار الحماية مسارات عودة إلى بادئتي العميلين عبر المبدّل. أبقِ وصول الإدارة وإعدادات بوابة DHCP وعضوية VLAN سليمة أثناء الترحيل، لأن هذه الثلاثة هي ما يحوّل انتقالًا نظيفًا إلى بعد ظهر كامل بكابل طرفية.

تصميم العبور يجعل أيضًا استبدال جدار الحماية التالي تغييرًا في التوجيه بدلًا من مشروع إعادة تمديد.

الخطوة الرابعة: اختر المخرج من المصدر الذي يصل

مع التوجيه العادي وعدم وجود ترجمة للمصدر في المنتصف، يتلقى جدار الحماية عنوان الموظفين أو المختبر الأصلي على واجهة العبور. تصل شبكتا VLAN عبر رابط واحد، وتبقى هويتاهما في IP محفوظة بذلك.

عبّر عن اختيار VPN باستخدام عنوان المصدر هذا والوجهات المقصودة على مسار الدخول الفعلي. تميّز وثائق القواعد في OPNsense بين إعداد البوابة الافتراضية، الذي يتبع توجيه النظام، وبوابة صريحة، التي تستدعي التوجيه القائم على السياسة. استخدم الصيغة الصريحة عندما يعتمد الاختيار على مصدر الحزمة. لا سبب للمسار الافتراضي العادي للنظر إلى المصدر إطلاقًا.

أبقِ الوجهات المحلية خارج قاعدة خروج واسعة أكثر من اللازم، وتحقق من طراز البوابة المدعوم لإصدارك.

الخطوة الخامسة: أثبت كلا المسارين

اكتب النتيجة في جملتين: حركة الموظفين إلى الوجهات المعتمدة تخرج عبر المخرج A، وحركة المختبر إلى الوجهات المعتمدة تخرج عبر المخرج B. أضف مسارات العودة وقواعد الترجمة والسلوك المقصود عند تعطل مخرج.

traceroute -n 198.51.100.10

ثم اختبر خدمة محلية بين شبكتي VLAN بشكل منفصل، لأنها تمارس قرارًا مختلفًا في التصميم نفسه.

تدفق جديد من كل شبكة VLAN، وخدمة محلية عاملة، ومسار انقطاع موثّق تثبت التصميم معًا؛ بينما يثبت نجاح ping واحد فقط أن مسارًا واحدًا كان موجودًا في تلك اللحظة.