Porth VLAN yn gyntaf, yna'r penderfyniad allanfa VPN

Mae angen allanfeydd VPN gwahanol ar ddwy VLAN, a'r cwestiwn cyntaf yw nid pa bolisi i'w ysgrifennu ond pa ddyfais sy'n ateb y porth diofyn. Os yw switsh yn llwybro rhwng y VLANau, gall rheol wal dân ddisgrifio llwybr nad yw'r pecynnau byth yn ei ddilyn. Cerddwch y topoleg cyn cyffwrdd â'r polisi allanfa.

Cam un: darganfyddwch y porth y mae pob VLAN yn ei ddefnyddio

Gofynnwch i bob cleient am ei borth, a gofynnwch i'r switsh pa ryngwyneb sy'n berchen ar y VLAN. Mae'r porth diofyn yn pennu'r penderfyniad llwybro cyntaf ar gyfer traffig sy'n gadael yr is-rwydwaith, felly mae hefyd yn pennu pa ddyfais all gymhwyso polisi.

ip route show default
show ip interface brief

Mae dau gynllun cydlynol yn gyffredin. Naill ai mae'r wal dân yn berchen ar ryngwynebau VLAN ac yn llwybro rhyngddynt; neu mae'r switsh aml-haen yn berchen arnynt ac yn llwybro'n lleol, gan anfon dim ond cyrchfannau allanol i'r wal dân. Mae'r ddau yn gweithio, ac maent yn gosod y polisi mewn gwahanol leoedd.

Dewiswch un yn fwriadol, oherwydd cynllun cymysg yw'r ffordd y mae rheolau yn gorffen ar y ddyfais anghywir.

Cam dau: penderfynwch ble mae'r polisi lleol yn byw

Os yw'r switsh yn llwybro rhwng staff a labordy, ni all rheol wal dân archwilio cyfnewid nad yw byth yn cyrraedd y wal dân. Rhaid i'r polisi lleol fyw yng rheolaethau mynediad y switsh ei hun, neu rhaid arwain y traffig drwy bwynt archwilio yn fwriadol.

Mae gan y dewis gwrthdro gost hefyd. Mae gwneud y wal dân yn borth ar gyfer pob VLAN yn rhoi traffig llwybro lleol yng nghynllun capasiti ac argaeledd y teclyn hwnnw, felly mae ailgychwyn wal dân yn dod yn golled rhwng VLANau. Gwerthuswch y caledwedd go iawn yn hytrach na chymryd yn ganiataol fod switshis yn ddi-gyflwr neu fod waliau tân yn araf. Mae cynllunio capasiti yn haws pan nad yw'r ddyfais rydych yn ei hailgychwyn hefyd yn llwybr rhwng dau is-rwydwaith prysur.

Y peth sy'n bwysig yw a yw'r polisi a ddewiswyd yn eistedd ar y llwybr y mae'r pecynnau yn ei ddilyn mewn gwirionedd.

Cam tri: rhowch un tramwyfan i'r ddwy ddyfais

Pan fydd y switsh yn llwybro, mae un is-rwydwaith tramwyfan yn cadw'r topoleg yn ddarllenadwy, yn hytrach na chrog crogi'r ddwy flwch oddi ar bob VLAN cleient fel llwybryddion cystadleuol. Mae'r switsh yn berchen ar yr is-rwydweithiau cleient a'r wal dân yn berchen ar y tu allan.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Mae'r switsh yn anfon cyrchfannau allanol i gyfeiriad tramwyfan y wal dân, ac mae gan y wal dân lwybrau dychwelyd i'r ddau ragddodiad cleient drwy'r switsh. Cadwch fynediad rheoli, gosodiadau porth DHCP ac aelodaeth VLAN yn gyfan yn ystod y mudo, oherwydd y tri hyn sy'n troi newid glân yn brynhawn gyda chebl consol.

Mae cynllun tramwyfan hefyd yn gwneud y disodli wal dân nesaf yn newid llwybro yn hytrach na phrosiect ailwifo.

Cam pedwar: dewiswch yr allanfa o'r ffynhonnell sy'n cyrraedd

Gyda llwybro cyffredin a heb gyfieithu ffynhonnell rhyngddynt, mae'r wal dân yn derbyn cyfeiriad gwreiddiol y staff neu'r labordy ar y rhyngwyneb tramwyfan. Mae'r ddwy VLAN yn cyrraedd dros un cyswllt, ac mae eu hunaniaethau IP yn goroesi hynny.

Mynegwch y dewis VPN gan ddefnyddio'r cyfeiriad ffynhonnell hwnnw a'r cyrchfannau arfaethedig ar y llwybr mynediad gwirioneddol. Mae dogfennaeth rheolau OPNsense yn gwahaniaethu rhwng gosodiad porth diofyn, sy'n dilyn llwybro'r system, a phorth penodol, sy'n mynnu llwybro yn seiliedig ar bolisi. Defnyddiwch y ffurf benodol pan fydd y dewis yn dibynnu ar o ble y daeth y pecyn. Nid oes rheswm i lwybr diofyn arferol edrych ar y ffynhonnell o gwbl.

Cadwch gyrchfannau lleol y tu allan i reol allanfa sy'n rhy eang, a gwiriwch y model porth a gefnogir ar gyfer y datganiad rydych yn ei redeg.

Cam pump: profwch y ddau lwybr

Ysgrifennwch y canlyniad fel dwy frawddeg: mae traffig staff i gyrchfannau a gymeradwywyd yn gadael drwy allanfa A, ac mae traffig labordy i gyrchfannau a gymeradwywyd yn gadael drwy allanfa B. Ychwanegwch y llwybrau dychwelyd, y rheolau cyfieithu a'r ymddygiad arfaethedig pan fydd allanfa i lawr.

traceroute -n 198.51.100.10

Yna profwch wasanaeth lleol rhwng VLANau ar wahân, oherwydd mae'n arfer penderfyniad gwahanol yn yr un cynllun.

Mae llif ffres o bob VLAN, gwasanaeth lleol sy'n gweithio a llwybr methiant wedi'i ddogfennu gyda'i gilydd yn profi'r cynllun; mae un ping llwyddiannus yn profi yn unig fod un llwybr wedi bodoli ar y pryd.