Спачатку шлюз VLAN, потым рашэнне пра выхад VPN

Дзве VLAN патрабуюць розных выхадаў VPN, і першае пытанне не ў тым, якую палітыку пісаць, а ў тым, якая прылада адказвае за шлюз па змаўчанні. Калі камутатар маршрутызуе паміж VLAN, правіла міжсеткавага экрана можа апісаць шлях, якім пакеты ніколі не пойдуць. Прайдзіце тапалогію, перш чым кранаць палітыку выхаду.

Крок першы: знайдзіце шлюз, які выкарыстоўвае кожная VLAN

Спытайце кожнага кліента пра яго шлюз і спытайце камутатар, які інтэрфейс валодае VLAN. Шлюз па змаўчанні вызначае першае рашэнне маршрутызацыі для трафіку, які пакідае падсетку, таму ён таксама вызначае, якая прылада можа прымяніць палітыку.

ip route show default
show ip interface brief

Дзве ўзгодненыя схемы сустракаюцца часта. Або міжсеткавы экран валодае інтэрфейсамі VLAN і маршрутызуе паміж імі; або шматузроўневы камутатар валодае імі і маршрутызуе лакальна, адпраўляючы толькі знешнія прызначэнні на міжсеткавы экран. Абедзве працуюць, і яны змяшчаюць палітыку ў розных месцах.

Выбірайце адну свядома, бо змяшаная схема — гэта тое, як правілы трапляюць не на тую прыладу.

Крок другі: вырашыце, дзе жыве лакальная палітыка

Калі камутатар маршрутызуе паміж супрацоўнікамі і лабараторыяй, правіла міжсеткавага экрана не можа праверыць абмен, які ніколі не дасягае міжсеткавага экрана. Лакальная палітыка павінна жыць ва ўласных сродках кантролю доступу камутатара, альбо трафік трэба свядома накіраваць праз пункт праверкі.

Адваротны выбар таксама мае кошт. Прызначэнне міжсеткавага экрана шлюзам для кожнай VLAN змяшчае лакальны маршрутызаваны трафік у план ёмістасці і даступнасці гэтай прылады, таму перазапуск міжсеткавага экрана становіцца перапынкам паміж VLAN. Ацэньвайце рэальнае абсталяванне, а не ўяўляйце, што камутатары бязстанныя або міжсеткавыя экраны павольныя. Планаванне ёмістасці прасцей, калі прылада, якую вы перазапускаеце, не з'яўляецца таксама шляхам паміж двума занятымі падсеткамі.

Важна тое, ці знаходзіцца абраная палітыка на шляху, якім пакеты сапраўды ідуць.

Крок трэці: дайце дзвюм прыладам адзін транзіт

Калі камутатар маршрутызуе, адна транзітная падсетка захоўвае тапалогію чытэльнай, замест таго каб чапляць абодва блокі да кожнай кліенцкай VLAN як канкуруючыя маршрутызатары. Камутатар валодае кліенцкімі падсеткамі, а міжсеткавы экран валодае знешнім бокам.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Камутатар адпраўляе знешнія прызначэнні на транзітны адрас міжсеткавага экрана, а міжсеткавы экран мае зваротныя маршруты да абодвух кліенцкіх прэфіксаў праз камутатар. Захавайце доступ да кіравання, налады шлюза DHCP і членства VLAN нязменнымі падчас міграцыі, бо менавіта гэтыя тры ператвараюць чыстае пераключэнне ў пасляабедзенны час з кансольным кабелем.

Транзітная схема таксама робіць наступную замену міжсеткавага экрана змяненнем маршрутызацыі, а не праектам перапракладкі.

Крок чацвёрты: выбірайце выхад па крыніцы, якая прыходзіць

Пры звычайнай маршрутызацыі і без трансляцыі крыніцы паміж, міжсеткавы экран атрымлівае зыходны адрас супрацоўнікаў або лабараторыі на транзітным інтэрфейсе. Абедзве VLAN прыходзяць праз адно злучэнне, і іх IP-ідэнтычнасць гэта перажывае.

Выкажыце выбар VPN з дапамогай гэтага адраса крыніцы і меркаваных прызначэнняў на фактычным шляху ўваходу. Дакументацыя па правілах OPNsense адрознівае наладу шлюза па змаўчанні, якая ідзе за сістэмнай маршрутызацыяй, ад яўнага шлюза, які выклікае маршрутызацыю на аснове палітык. Выкарыстоўвайце яўную форму, калі выбар залежыць ад таго, адкуль прыйшоў пакет. Звычайны маршрут па змаўчанні не мае прычын глядзець на крыніцу.

Трымайце лакальныя прызначэнні па-за занадта шырокім правілам выхаду і праверце падтрымоўваную мадэль шлюза для вашай версіі.

Крок пяты: дакажыце абодва шляхі

Запішыце вынік двума сказамі: трафік супрацоўнікаў да ўхваленых прызначэнняў выходзіць праз выхад A, а трафік лабараторыі да ўхваленых прызначэнняў выходзіць праз выхад B. Дадайце зваротныя маршруты, правілы трансляцыі і меркаваныя паводзіны, калі выхад недаступны.

traceroute -n 198.51.100.10

Затым асобна праверце лакальную паслугу паміж VLAN, бо яна задзейнічае іншае рашэнне ў той жа схеме.

Свежы паток з кожнай VLAN, працуючая лакальная паслуга і дакументаваны шлях пры збоі разам даказваюць схему; адзін паспяховы ping даказвае толькі тое, што ў той момант існаваў адзін шлях.