Əvvəlcə VLAN şlüzü, sonra VPN çıxışı qərarı

İki VLAN fərqli VPN çıxışlarına ehtiyac duyur və ilk sual hansı siyasətin yazılacağı deyil, hansı cihazın defolt şlüzü cavablandırdığıdır. Əgər kommutator VLAN-lar arasında marşrutlaşdırırsa, firewall qaydası paketlərin heç vaxt getmədiyi yolu təsvir edə bilər. Çıxış siyasətinə toxunmadan əvvəl topologiyanı gəzin.

Birinci addım: hər VLAN-ın istifadə etdiyi şlüzü tapın

Hər klientdən şlüzünü soruşun və kommutatordan hansı interfeysin VLAN-a sahib olduğunu soruşun. Defolt şlüz alt şəbəkəni tərk edən trafik üçün ilk marşrutlaşdırma qərarını müəyyən edir, buna görə də hansı cihazın siyasət tətbiq edə biləcəyini də müəyyən edir.

ip route show default
show ip interface brief

İki ardıcıl sxem geniş yayılmışdır. Ya firewall VLAN interfeyslərinə sahibdir və onlar arasında marşrutlaşdırır; ya da çoxqatlı kommutator onlara sahibdir və yerli olaraq marşrutlaşdırır, yalnız xarici təyinatları firewall-a göndərir. Hər ikisi işləyir və siyasəti fərqli yerlərə qoyur.

Birini qəsdən seçin, çünki qarışıq sxem qaydaların səhv cihazda bitməsinin yoludur.

İkinci addım: yerli siyasətin harada yaşadığını qərarlaşdırın

Əgər kommutator işçilər və laboratoriya arasında marşrutlaşdırırsa, firewall qaydası firewall-a heç vaxt çatmayan mübadiləni yoxlaya bilməz. Yerli siyasət kommutatorun öz giriş nəzarətində yaşamalıdır, ya da trafik qəsdən yoxlama nöqtəsindən keçirilməlidir.

Əks seçimin də qiyməti var. Firewall-u hər VLAN üçün şlüz etmək yerli marşrutlaşdırılmış trafiki həmin cihazın tutum və əlçatanlıq planına daxil edir, buna görə firewall-un yenidən başladılması VLAN-lar arası fasiləyə çevrilir. Kommutatorların vəziyyətsiz və ya firewall-ların yavaş olduğunu fərz etmək əvəzinə real avadanlığı qiymətləndirin. Yenidən başlatdığınız cihaz eyni zamanda iki məşğul alt şəbəkə arasındakı yol deyilsə, tutum planlaması daha asandır.

Vacib olan seçilmiş siyasətin paketlərin həqiqətən getdiyi yolda olub-olmadığıdır.

Üçüncü addım: iki cihaza bir tranzit verin

Kommutator marşrutlaşdırdıqda, tək tranzit alt şəbəkə topologiyanı oxunaqlı saxlayır, hər iki qutunu rəqib marşrutlaşdırıcı kimi hər klient VLAN-ına asmaq əvəzinə. Kommutator klient alt şəbəkələrinə, firewall isə xaricə sahibdir.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Kommutator xarici təyinatları firewall-un tranzit ünvanına göndərir və firewall-un kommutator vasitəsilə hər iki klient prefiksinə qayıdış marşrutları var. Miqrasiya zamanı idarəetmə girişini, DHCP şlüz parametrlərini və VLAN üzvlüyünü toxunulmaz saxlayın, çünki bu üçü təmiz keçidi konsol kabeli ilə bir günortaya çevirən şeydir.

Tranzit dizaynı həmçinin növbəti firewall əvəzlənməsini yenidən kabel çəkmə layihəsi deyil, marşrutlaşdırma dəyişikliyinə çevirir.

Dördüncü addım: çıxışı gələn mənbədən seçin

Adi marşrutlaşdırma və arada mənbə tərcüməsi olmadan firewall tranzit interfeysində orijinal işçi və ya laboratoriya ünvanını alır. Hər iki VLAN bir linkdən gəlir və onların IP kimlikləri bunu saxlayır.

VPN seçimini həmin mənbə ünvanı və faktiki giriş yolundakı nəzərdə tutulan təyinatlar ilə ifadə edin. OPNsense-in qayda sənədləri sistem marşrutlaşdırmasına uyğun defolt şlüz parametrini siyasət əsaslı marşrutlaşdırmanı işə salan açıq şlüzdən fərqləndirir. Seçim paketin haradan gəldiyindən asılı olduqda açıq formadan istifadə edin. Adi defolt marşrutun mənbəyə baxmağa heç bir səbəbi yoxdur.

Yerli təyinatları həddindən artıq geniş çıxış qaydasından kənarda saxlayın və istifadə etdiyiniz buraxılış üçün dəstəklənən şlüz modelini yoxlayın.

Beşinci addım: hər iki yolu sübut edin

Nəticəni iki cümlə kimi yazın: təsdiqlənmiş təyinatlarga işçi trafiki A çıxışından, təsdiqlənmiş təyinatlarga laboratoriya trafiki B çıxışından çıxır. Qayıdış marşrutlarını, tərcümə qaydalarını və çıxış sıradan çıxdıqda nəzərdə tutulan davranışı əlavə edin.

traceroute -n 198.51.100.10

Sonra yerli VLAN-lar arası xidməti ayrıca yoxlayın, çünki o, eyni dizaynda fərqli bir qərarı işə salır.

Hər VLAN-dan təzə axın, işlək yerli xidmət və sənədləşdirilmiş fasilə yolu birlikdə dizaynı sübut edir; bir uğurlu ping yalnız həmin anda bir yolun mövcud olduğunu sübut edir.