Primer la passarel·la de la VLAN, després la decisió de sortida de la VPN

Dues VLAN necessiten sortides VPN diferents, i la primera pregunta no és quina política escriure sinó quin dispositiu respon a la passarel·la per defecte. Si un commutador encamina entre les VLAN, una regla de tallafoc pot descriure un camí que els paquets mai no fan. Recorreu la topologia abans de tocar la política de sortida.

Primer pas: trobeu la passarel·la que fa servir cada VLAN

Pregunteu a cada client per la seva passarel·la, i pregunteu al commutador quina interfície posseeix la VLAN. La passarel·la per defecte determina la primera decisió d'encaminament del trànsit que surt de la subxarxa, així que també determina quin dispositiu pot aplicar una política.

ip route show default
show ip interface brief

Són habituals dos dissenys coherents. El tallafoc posseeix les interfícies VLAN i encamina entre elles; o el commutador multicapa les posseeix i encamina localment, enviant només les destinacions externes al tallafoc. Tots dos funcionen, i situen la política en llocs diferents.

Trieu-ne un deliberadament, perquè un disseny mixt és com les regles acaben al dispositiu equivocat.

Segon pas: decidiu on viu la política local

Si el commutador encamina entre el personal i el laboratori, una regla de tallafoc no pot inspeccionar un intercanvi que mai no arriba al tallafoc. La política local ha de viure als controls d'accés propis del commutador, o el trànsit s'ha de desviar expressament per un punt d'inspecció.

L'opció inversa també té un cost. Fer del tallafoc la passarel·la de cada VLAN posa el trànsit encaminat local dins del pla de capacitat i disponibilitat d'aquest aparell, així que reiniciar el tallafoc es converteix en una interrupció entre VLAN. Avalueu el maquinari real en lloc de suposar que els commutadors no tenen estat o que els tallafocs són lents. La planificació de capacitat és més fàcil quan el dispositiu que reinicieu no és també el camí entre dues subxarxes ocupades.

El que importa és si la política triada se situa al camí que els paquets segueixen realment.

Tercer pas: doneu als dos dispositius un sol trànsit

Quan el commutador encamina, una sola subxarxa de trànsit manté la topologia llegible, en lloc de penjar les dues caixes de cada VLAN de client com a encaminadors rivals. El commutador posseeix les subxarxes de client i el tallafoc posseeix l'exterior.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

El commutador envia les destinacions externes a l'adreça de trànsit del tallafoc, i el tallafoc té rutes de retorn a tots dos prefixos de client a través del commutador. Manteniu intactes l'accés de gestió, la configuració de passarel·la DHCP i la pertinença a la VLAN durant la migració, perquè aquestes tres coses són les que converteixen una commutació neta en una tarda amb un cable de consola.

Un disseny de trànsit també fa que la propera substitució del tallafoc sigui un canvi d'encaminament en lloc d'un projecte de recablejat.

Quart pas: trieu la sortida segons l'origen que arriba

Amb encaminament ordinari i sense traducció d'origen entremig, el tallafoc rep l'adreça original del personal o del laboratori a la interfície de trànsit. Les dues VLAN arriben per un sol enllaç, i les seves identitats IP ho sobreviuen.

Expresseu l'elecció de VPN amb aquesta adreça d'origen i les destinacions previstes al camí d'entrada real. La documentació de regles d'OPNsense distingeix una configuració de passarel·la per defecte, que segueix l'encaminament del sistema, d'una passarel·la explícita, que invoca l'encaminament basat en polítiques. Feu servir la forma explícita quan l'elecció depèn d'on ve el paquet. Una ruta per defecte normal no té cap motiu per mirar l'origen.

Manteniu les destinacions locals fora d'una regla de sortida massa àmplia, i comproveu el model de passarel·la compatible amb la versió que executeu.

Cinquè pas: demostreu tots dos camins

Escriviu el resultat en dues frases: el trànsit del personal cap a destinacions aprovades surt per la sortida A, i el trànsit del laboratori cap a destinacions aprovades surt per la sortida B. Afegiu les rutes de retorn, les regles de traducció i el comportament previst quan una sortida està caiguda.

traceroute -n 198.51.100.10

Després proveu per separat un servei local entre VLAN, perquè exerceix una decisió diferent dins del mateix disseny.

Un flux nou de cada VLAN, un servei local que funciona i un camí de fallada documentat demostren junts el disseny; un sol ping correcte només demostra que en aquell moment existia un camí.