আগে VLAN গেটওয়ে, তারপর VPN এক্সিটের সিদ্ধান্ত

দুটি VLAN-এর আলাদা VPN এক্সিট দরকার, আর প্রথম প্রশ্নটি কোন নীতি লিখবেন তা নয়, বরং কোন ডিভাইস ডিফল্ট গেটওয়ের উত্তর দেয় তা। যদি একটি সুইচ VLAN-গুলোর মধ্যে রাউট করে, তাহলে ফায়ারওয়াল নিয়ম এমন পথ বর্ণনা করতে পারে যা দিয়ে প্যাকেট কখনো যায় না। এক্সিট নীতি ছোঁয়ার আগে টপোলজি ঘুরে দেখুন।

প্রথম ধাপ: প্রতিটি VLAN কোন গেটওয়ে ব্যবহার করে তা খুঁজুন

প্রতিটি ক্লায়েন্টকে তার গেটওয়ে জিজ্ঞাসা করুন, আর সুইচকে জিজ্ঞাসা করুন কোন ইন্টারফেস VLAN-এর মালিক। ডিফল্ট গেটওয়ে সাবনেট ছাড়া ট্রাফিকের প্রথম রাউটিং সিদ্ধান্ত ঠিক করে, তাই কোন ডিভাইস নীতি প্রয়োগ করতে পারবে তাও ঠিক করে।

ip route show default
show ip interface brief

দুটি সুসংগত লেআউট সাধারণ। হয় ফায়ারওয়াল VLAN ইন্টারফেসগুলোর মালিক এবং তাদের মধ্যে রাউট করে; নয়তো মাল্টিলেয়ার সুইচ তাদের মালিক এবং স্থানীয়ভাবে রাউট করে, কেবল বাহ্যিক গন্তব্যগুলো ফায়ারওয়ালে পাঠায়। দুটোই কাজ করে, আর তারা নীতিকে ভিন্ন জায়গায় রাখে।

সচেতনভাবে একটি বেছে নিন, কারণ মিশ্র লেআউটই নিয়মগুলোকে ভুল ডিভাইসে ফেলার উপায়।

দ্বিতীয় ধাপ: স্থানীয় নীতি কোথায় থাকবে তা ঠিক করুন

যদি সুইচ কর্মী ও ল্যাবের মধ্যে রাউট করে, তাহলে ফায়ারওয়াল নিয়ম এমন বিনিময় পরীক্ষা করতে পারে না যা কখনো ফায়ারওয়ালে পৌঁছায় না। স্থানীয় নীতি সুইচের নিজস্ব অ্যাক্সেস নিয়ন্ত্রণে থাকতে হবে, নয়তো ট্রাফিককে ইচ্ছাকৃতভাবে একটি পরিদর্শন বিন্দু দিয়ে চালাতে হবে।

উল্টো বাছাইয়েরও খরচ আছে। প্রতিটি VLAN-এর জন্য ফায়ারওয়ালকে গেটওয়ে বানানো স্থানীয় রাউটেড ট্রাফিককে সেই অ্যাপ্লায়েন্সের ক্ষমতা ও প্রাপ্যতা পরিকল্পনায় ফেলে, তাই ফায়ারওয়াল রিবুট VLAN-গুলোর মধ্যে বিভ্রাট হয়ে ওঠে। সুইচ স্টেটলেস বা ফায়ারওয়াল ধীর—এমন ধরে নেওয়ার বদলে প্রকৃত হার্ডওয়্যার মূল্যায়ন করুন। ক্যাপাসিটি প্ল্যানিং সহজ হয় যখন আপনি যে ডিভাইসটি রিবুট করেন সেটিই দুটি ব্যস্ত সাবনেটের মধ্যবর্তী পথ নয়।

মূল বিষয় হলো নির্বাচিত নীতিটি প্যাকেটের প্রকৃত পথে আছে কি না।

তৃতীয় ধাপ: দুটি ডিভাইসকে একটি ট্রানজিট দিন

সুইচ যখন রাউট করে, একটি একক ট্রানজিট সাবনেট টপোলজিকে পাঠযোগ্য রাখে, প্রতিদ্বন্দ্বী রাউটার হিসেবে দুটি বাক্সকে প্রতিটি ক্লায়েন্ট VLAN-এ ঝুলিয়ে না রেখে। সুইচ ক্লায়েন্ট সাবনেটগুলোর মালিক আর ফায়ারওয়াল বাইরের দিকের মালিক।

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

সুইচ বাহ্যিক গন্তব্যগুলো ফায়ারওয়ালের ট্রানজিট ঠিকানায় পাঠায়, আর ফায়ারওয়ালের সুইচ হয়ে দুটি ক্লায়েন্ট প্রিফিক্সে ফেরার রুট আছে। মাইগ্রেশনের সময় ম্যানেজমেন্ট অ্যাক্সেস, DHCP গেটওয়ে সেটিংস ও VLAN সদস্যপদ অক্ষত রাখুন, কারণ এই তিনটিই একটি পরিষ্কার কাটওভারকে কনসোল কেবলসহ এক বিকেল বানিয়ে দেয়।

ট্রানজিট ডিজাইন পরবর্তী ফায়ারওয়াল প্রতিস্থাপনকেও রিওয়্যারিং প্রকল্পের বদলে রাউটিং পরিবর্তনে পরিণত করে।

চতুর্থ ধাপ: যে উৎস আসছে তা থেকে এক্সিট বাছুন

সাধারণ রাউটিং এবং মাঝে কোনো উৎস অনুবাদ না থাকলে, ফায়ারওয়াল ট্রানজিট ইন্টারফেসে মূল কর্মী বা ল্যাব ঠিকানাই পায়। দুটি VLAN-ই একটি লিংক দিয়ে আসে, আর তাদের IP পরিচয় তা টিকে যায়।

সেই উৎস ঠিকানা এবং প্রকৃত ইনগ্রেস পথে অভীষ্ট গন্তব্যগুলো ব্যবহার করে VPN বাছাই প্রকাশ করুন। OPNsense-এর নিয়মের ডকুমেন্টেশন ডিফল্ট গেটওয়ে সেটিং, যা সিস্টেম রাউটিং অনুসরণ করে, এবং স্পষ্ট গেটওয়ে, যা নীতি-ভিত্তিক রাউটিং ডাকে, এর মধ্যে পার্থক্য করে। বাছাইটি প্যাকেট কোথা থেকে এসেছে তার উপর নির্ভর করলে স্পষ্ট রূপটি ব্যবহার করুন। সাধারণ ডিফল্ট রুটের উৎসের দিকে তাকানোর কোনো কারণ নেই।

স্থানীয় গন্তব্যগুলো অতিরিক্ত প্রশস্ত এক্সিট নিয়মের বাইরে রাখুন, আর যে রিলিজ চালান তার সমর্থিত গেটওয়ে মডেল যাচাই করুন।

পঞ্চম ধাপ: দুই পথই প্রমাণ করুন

ফলাফল দুটি বাক্যে লিখুন: অনুমোদিত গন্তব্যে কর্মীদের ট্রাফিক A এক্সিট দিয়ে বেরোয়, আর অনুমোদিত গন্তব্যে ল্যাবের ট্রাফিক B এক্সিট দিয়ে বেরোয়। ফেরার রুট, অনুবাদ নিয়ম এবং কোনো এক্সিট ডাউন হলে অভীষ্ট আচরণ যোগ করুন।

traceroute -n 198.51.100.10

তারপর স্থানীয় আন্তঃ-VLAN সেবা আলাদাভাবে পরীক্ষা করুন, কারণ এটি একই ডিজাইনে ভিন্ন একটি সিদ্ধান্ত চালায়।

প্রতিটি VLAN থেকে নতুন ফ্লো, একটি কাজ করা স্থানীয় সেবা এবং নথিভুক্ত বিভ্রাট-পথ একসাথে ডিজাইন প্রমাণ করে; একটি সফল ping কেবল প্রমাণ করে সেই মুহূর্তে একটি পথ ছিল।