Prvo gateway na VLAN-u, zatim odluka o VPN izlazu

Dva VLAN-a trebaju različite VPN izlaze, a prvo pitanje nije koju politiku pisati nego koji uređaj odgovara na podrazumijevani gateway. Ako preklopnik usmjerava između VLAN-ova, pravilo firewall-a može opisati put kojim paketi nikada ne idu. Prođite topologiju prije nego dirnete politiku izlaza.

Prvi korak: pronađite gateway koji koristi svaki VLAN

Pitajte svakog klijenta za njegov gateway i pitajte preklopnik koje sučelje posjeduje VLAN. Podrazumijevani gateway određuje prvu odluku usmjeravanja za promet koji napušta podmrežu, pa određuje i koji uređaj može primijeniti politiku.

ip route show default
show ip interface brief

Uobičajena su dva skladna rasporeda. Firewall posjeduje VLAN sučelja i usmjerava između njih; ili višeslojni preklopnik posjeduje njih i usmjerava lokalno, šaljući samo vanjska odredišta firewall-u. Oba rade i smještaju politiku na različita mjesta.

Odaberite jedan namjerno, jer mješoviti raspored je način na koji pravila završe na pogrešnom uređaju.

Drugi korak: odlučite gdje živi lokalna politika

Ako preklopnik usmjerava između osoblja i laboratorije, pravilo firewall-a ne može pregledati razmjenu koja nikada ne stigne do firewall-a. Lokalna politika mora živjeti u vlastitim kontrolama pristupa preklopnika, ili se promet mora namjerno usmjeriti kroz točku pregleda.

Obrnuti izbor također ima cijenu. Postavljanje firewall-a kao gateway-a za svaki VLAN stavlja lokalni usmjereni promet u plan kapaciteta i dostupnosti tog uređaja, pa ponovno pokretanje firewall-a postaje prekid između VLAN-ova. Procijenite stvarni hardver umjesto da pretpostavljate da su preklopnici bez stanja ili da su firewall-i spori. Planiranje kapaciteta lakše je kada uređaj koji ponovno pokrećete nije i put između dvije zauzete podmreže.

Važno je nalazi li se odabrana politika na putu kojim paketi stvarno idu.

Treći korak: dajte dvama uređajima jedan tranzit

Kada preklopnik usmjerava, jedna tranzitna podmreža drži topologiju čitljivom, umjesto da objema kutijama objesi svaki klijentski VLAN kao suparničke usmjerivače. Preklopnik posjeduje klijentske podmreže, a firewall posjeduje vanjsku stranu.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Preklopnik šalje vanjska odredišta na tranzitnu adresu firewall-a, a firewall ima povratne rute do oba klijentska prefiksa kroz preklopnik. Održite upravljački pristup, DHCP postavke gateway-a i članstvo u VLAN-u netaknutima tijekom migracije, jer to troje pretvara čistu zamjenu u poslijepodne s konzolnim kablom.

Tranzitni dizajn također čini sljedeću zamjenu firewall-a promjenom usmjeravanja, a ne projektom ponovnog kabliranja.

Četvrti korak: odaberite izlaz prema izvoru koji dolazi

Uz obično usmjeravanje i bez prevođenja izvora između, firewall prima izvornu adresu osoblja ili laboratorije na tranzitnom sučelju. Oba VLAN-a dolaze preko jedne veze i njihovi IP identiteti to preživljavaju.

Izrazite izbor VPN-a koristeći tu izvornu adresu i namjeravana odredišta na stvarnom ulaznom putu. Dokumentacija o pravilima OPNsense razlikuje postavku podrazumijevanog gateway-a, koja slijedi sistemsko usmjeravanje, od eksplicitnog gateway-a, koji pokreće usmjeravanje temeljeno na politici. Upotrijebite eksplicitni oblik kada izbor ovisi o tome odakle je paket došao. Obična podrazumijevana ruta nema razloga gledati izvor.

Držite lokalna odredišta izvan preširokog pravila izlaza i provjerite podržani model gateway-a za izdanje koje pokrećete.

Peti korak: dokažite oba puta

Zapišite rezultat u dvije rečenice: promet osoblja prema odobrenim odredištima izlazi kroz izlaz A, a promet laboratorije prema odobrenim odredištima izlazi kroz izlaz B. Dodajte povratne rute, pravila prevođenja i namjeravano ponašanje kada je izlaz nedostupan.

traceroute -n 198.51.100.10

Zatim odvojeno testirajte lokalnu uslugu između VLAN-ova, jer ona vježba drugu odluku u istom dizajnu.

Svjež tok sa svakog VLAN-a, ispravna lokalna usluga i dokumentiran put pri ispadu zajedno dokazuju dizajn; jedan uspješan ping dokazuje samo da je jedan put postojao u tom trenutku.