Първо шлюзът на VLAN, после решението за изход на VPN

Устройството, което притежава шлюза по подразбиране, решава къде може да се прилага политика за изход. Прекарайте двете VLAN през един транзит и избирайте изхода по източник.

Две VLAN се нуждаят от различни изходи на VPN и първият въпрос не е коя политика да се напише, а кое устройство отговаря за шлюза по подразбиране. Ако комутатор маршрутизира между VLAN, правило на защитната стена може да опише път, по който пакетите никога не минават. Разгледайте топологията, преди да пипате политиката за изход.

Първа стъпка: намерете шлюза, който използва всяка VLAN

Попитайте всеки клиент за неговия шлюз и попитайте комутатора кой интерфейс притежава VLAN. Шлюзът по подразбиране определя първото решение за маршрутизиране на трафика, напускащ подмрежата, затова определя и кое устройство може да приложи политика.

ip route show default
show ip interface brief

Чести са две последователни схеми. Защитната стена притежава VLAN интерфейсите и маршрутизира между тях; или многослойният комутатор ги притежава и маршрутизира локално, изпращайки само външни дестинации към защитната стена. И двете работят и поставят политиката на различни места.

Изберете една съзнателно, защото смесената схема е начинът, по който правилата се озовават на грешното устройство.

Втора стъпка: решете къде живее локалната политика

Ако комутаторът маршрутизира между служители и лаборатория, правило на защитната стена не може да инспектира обмен, който никога не достига до защитната стена. Локалната политика трябва да живее в собствения контрол на достъпа на комутатора или трафикът трябва съзнателно да бъде насочен през точка за инспекция.

Обратният избор също има цена. Превръщането на защитната стена в шлюз за всяка VLAN поставя локалния маршрутизиран трафик в плана за капацитет и наличност на това устройство, така че рестартирането на защитната стена става прекъсване между VLAN. Оценявайте реалния хардуер, вместо да предполагате, че комутаторите са безсъстояниеви или че защитните стени са бавни. Планирането на капацитета е по-лесно, когато устройството, което рестартирате, не е и пътят между две натоварени подмрежи.

Важно е дали избраната политика стои на пътя, по който пакетите действително минават.

Трета стъпка: дайте на двете устройства един транзит

Когато комутаторът маршрутизира, една транзитна подмрежа запазва топологията четима, вместо да окачва двете кутии на всяка клиентска VLAN като съперничещи маршрутизатори. Комутаторът притежава клиентските подмрежи, а защитната стена притежава външната страна.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Комутаторът изпраща външните дестинации към транзитния адрес на защитната стена, а защитната стена има обратни маршрути към двата клиентски префикса през комутатора. Запазете достъпа за управление, настройките на шлюза по DHCP и членството във VLAN непокътнати по време на миграцията, защото тези три са това, което превръща чистото превключване в следобед с конзолен кабел.

Транзитната схема също прави следващата подмяна на защитната стена промяна в маршрутизацията, а не проект за преокабеляване.

Четвърта стъпка: изберете изхода по пристигащия източник

При обикновена маршрутизация и без транслация на източника помежду, защитната стена получава оригиналния адрес на служителите или лабораторията на транзитния интерфейс. Двете VLAN пристигат по една връзка и техните IP идентичности го запазват.

Изразете избора на VPN чрез този адрес на източника и предвидените дестинации по действителния път на влизане. Документацията за правилата на OPNsense разграничава настройка на шлюз по подразбиране, която следва системната маршрутизация, от явен шлюз, който задейства маршрутизация въз основа на политика. Използвайте явната форма, когато изборът зависи от това откъде е дошъл пакетът. Обикновеният маршрут по подразбиране няма причина да гледа източника.

Дръжте локалните дестинации извън прекалено широко правило за изход и проверете поддържания модел шлюз за вашата версия.

Пета стъпка: докажете двата пътя

Запишете резултата като две изречения: трафикът на служителите към одобрени дестинации излиза през изход A, а трафикът на лабораторията към одобрени дестинации излиза през изход B. Добавете обратните маршрути, правилата за транслация и предвиденото поведение, когато изход е недостъпен.

traceroute -n 198.51.100.10

След това тествайте локална услуга между VLAN отделно, защото тя упражнява различно решение в същата схема.

Нов поток от всяка VLAN, работеща локална услуга и документиран път при отказ заедно доказват схемата; един успешен ping доказва само, че в този момент е съществувал един път.

Подобни статии