Nejprve brána VLAN, potom rozhodnutí o výstupu VPN

Dvě VLAN potřebují různé výstupy VPN a první otázka není, jakou politiku napsat, ale které zařízení odpovídá na výchozí bránu. Pokud přepínač routuje mezi VLAN, může pravidlo firewallu popsat cestu, kterou pakety nikdy nejdou. Projděte topologii, než se dotknete výstupní politiky.

První krok: najděte bránu, kterou každá VLAN používá

Zeptejte se každého klienta na jeho bránu a zeptejte se přepínače, které rozhraní VLAN vlastní. Výchozí brána určuje první rozhodnutí o směrování provozu opouštějícího podsíť, takže také určuje, které zařízení může politiku uplatnit.

ip route show default
show ip interface brief

Běžná jsou dvě souvislá uspořádání. Firewall vlastní rozhraní VLAN a routuje mezi nimi; nebo vícevrstvý přepínač je vlastní a routuje lokálně a posílá do firewallu pouze externí cíle. Obě fungují a umisťují politiku na různá místa.

Vyberte jedno záměrně, protože smíšené uspořádání je způsob, jak pravidla skončí na nesprávném zařízení.

Druhý krok: rozhodněte, kde žije místní politika

Pokud přepínač routuje mezi zaměstnanci a laboratoří, pravidlo firewallu nemůže prohlížet výměnu, která se k firewallu nikdy nedostane. Místní politika musí žít ve vlastních přístupových kontrolách přepínače, nebo musí být provoz záměrně veden přes kontrolní bod.

Opačná volba má také cenu. Udělat z firewallu bránu pro každou VLAN staví lokálně routovaný provoz do plánu kapacity a dostupnosti tohoto zařízení, takže restart firewallu se stane výpadkem mezi VLAN. Hodnoťte skutečný hardware, místo abyste předpokládali, že přepínače jsou bezstavové nebo že firewally jsou pomalé. Plánování kapacity je snazší, když zařízení, které restartujete, není zároveň cestou mezi dvěma vytíženými podsítěmi.

Záleží na tom, zda zvolená politika leží na cestě, kterou pakety skutečně jdou.

Třetí krok: dejte oběma zařízením jeden tranzit

Když přepínač routuje, jediná tranzitní podsíť udržuje topologii čitelnou, místo aby obě krabice visely na každé klientské VLAN jako soupeřící routery. Přepínač vlastní klientské podsítě a firewall vlastní vnější stranu.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Přepínač posílá externí cíle na tranzitní adresu firewallu a firewall má zpětné trasy do obou klientských prefixů přes přepínač. Během migrace zachovejte přístup pro správu, nastavení brány DHCP a členství ve VLAN, protože právě tyto tři věci mění čisté přepnutí v odpoledne s konzolovým kabelem.

Tranzitní návrh také dělá z příští výměny firewallu změnu směrování, nikoli projekt přepojování.

Čtvrtý krok: vyberte výstup podle přicházejícího zdroje

Při běžném směrování a bez překladu zdroje mezi tím obdrží firewall na tranzitním rozhraní původní adresu zaměstnanců nebo laboratoře. Obě VLAN přicházejí přes jedno spojení a jejich IP identity to přežijí.

Vyjádřete volbu VPN pomocí této zdrojové adresy a zamýšlených cílů na skutečné vstupní cestě. Dokumentace pravidel OPNsense rozlišuje nastavení výchozí brány, které následuje systémové směrování, od explicitní brány, která vyvolává směrování založené na politice. Použijte explicitní formu, když volba závisí na tom, odkud paket přišel. Běžná výchozí trasa nemá důvod se na zdroj vůbec dívat.

Držte místní cíle mimo příliš široké výstupní pravidlo a zkontrolujte podporovaný model brány pro verzi, kterou provozujete.

Pátý krok: dokažte obě cesty

Zapište výsledek jako dvě věty: provoz zaměstnanců do schválených cílů vychází výstupem A a provoz laboratoře do schválených cílů vychází výstupem B. Přidejte zpětné trasy, pravidla překladu a zamýšlené chování, když je výstup nedostupný.

traceroute -n 198.51.100.10

Poté samostatně otestujte místní službu mezi VLAN, protože procvičuje jiné rozhodnutí ve stejném návrhu.

Čerstvý tok z každé VLAN, fungující místní služba a zdokumentovaná cesta při výpadku společně dokazují návrh; jediný úspěšný ping dokazuje jen to, že v tu chvíli existovala jedna cesta.