VLAN-Gateway zuerst, dann die VPN-Ausgangsentscheidung

Zwei VLANs brauchen unterschiedliche VPN-Ausgänge, und die erste Frage ist nicht, welche Richtlinie zu schreiben ist, sondern welches Gerät das Standard-Gateway beantwortet. Wenn ein Switch zwischen den VLANs routet, kann eine Firewall-Regel einen Pfad beschreiben, den die Pakete nie nehmen. Gehen Sie die Topologie durch, bevor Sie die Ausgangsrichtlinie anfassen.

Schritt eins: Finden Sie das Gateway, das jedes VLAN nutzt

Fragen Sie jeden Client nach seinem Gateway und den Switch, welche Schnittstelle das VLAN besitzt. Das Standard-Gateway bestimmt die erste Routingentscheidung für Verkehr, der das Subnetz verlässt, also bestimmt es auch, welches Gerät eine Richtlinie anwenden kann.

ip route show default
show ip interface brief

Zwei stimmige Layouts sind üblich. Entweder besitzt die Firewall die VLAN-Schnittstellen und routet zwischen ihnen, oder der Multilayer-Switch besitzt sie und routet lokal und schickt nur externe Ziele an die Firewall. Beide funktionieren, und sie legen die Richtlinie an unterschiedlichen Stellen ab.

Wählen Sie bewusst eines, denn ein gemischtes Layout ist der Weg, auf dem Regeln beim falschen Gerät landen.

Schritt zwei: Entscheiden Sie, wo die lokale Richtlinie lebt

Wenn der Switch zwischen Mitarbeitern und Labor routet, kann eine Firewall-Regel keinen Austausch prüfen, der die Firewall nie erreicht. Die lokale Richtlinie muss in den eigenen Zugriffskontrollen des Switches leben, oder der Verkehr muss absichtlich über einen Prüfpunkt geführt werden.

Die umgekehrte Wahl hat auch einen Preis. Die Firewall zum Gateway für jedes VLAN zu machen, bringt lokal gerouteten Verkehr in den Kapazitäts- und Verfügbarkeitsplan dieses Geräts, sodass ein Neustart der Firewall zu einem Ausfall zwischen den VLANs wird. Bewerten Sie die tatsächliche Hardware, statt anzunehmen, Switches seien zustandslos oder Firewalls seien langsam. Kapazitätsplanung ist einfacher, wenn das Gerät, das Sie neu starten, nicht zugleich der Pfad zwischen zwei ausgelasteten Subnetzen ist.

Entscheidend ist, ob die gewählte Richtlinie auf dem Pfad liegt, den die Pakete tatsächlich nehmen.

Schritt drei: Geben Sie den beiden Geräten einen Transit

Wenn der Switch routet, hält ein einzelnes Transit-Subnetz die Topologie lesbar, statt beide Boxen als konkurrierende Router an jedes Client-VLAN zu hängen. Der Switch besitzt die Client-Subnetze und die Firewall besitzt die Außenseite.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Der Switch schickt externe Ziele an die Transitadresse der Firewall, und die Firewall hat Rückrouten zu beiden Client-Präfixen über den Switch. Halten Sie Verwaltungszugang, DHCP-Gateway-Einstellungen und VLAN-Mitgliedschaft während der Migration intakt, denn diese drei machen aus einem sauberen Wechsel einen Nachmittag mit Konsolenkabel.

Ein Transit-Design macht auch den nächsten Firewall-Austausch zu einer Routing-Änderung statt zu einem Neuverkabelungsprojekt.

Schritt vier: Wählen Sie den Ausgang nach der ankommenden Quelle

Bei gewöhnlichem Routing und ohne Quellübersetzung dazwischen empfängt die Firewall die ursprüngliche Mitarbeiter- oder Laboradresse auf der Transit-Schnittstelle. Beide VLANs kommen über eine Verbindung an, und ihre IP-Identitäten überstehen das.

Drücken Sie die VPN-Wahl mit dieser Quelladresse und den beabsichtigten Zielen auf dem tatsächlichen Eingangspfad aus. Die Regeldokumentation von OPNsense unterscheidet eine Standard-Gateway-Einstellung, die dem Systemrouting folgt, von einem expliziten Gateway, das richtlinienbasiertes Routing aufruft. Verwenden Sie die explizite Form, wenn die Wahl davon abhängt, woher das Paket kam. Eine normale Standardroute hat keinen Grund, die Quelle überhaupt anzusehen.

Halten Sie lokale Ziele aus einer zu breiten Ausgangsregel heraus und prüfen Sie das unterstützte Gateway-Modell für die von Ihnen betriebene Version.

Schritt fünf: Beweisen Sie beide Pfade

Schreiben Sie das Ergebnis als zwei Sätze: Verkehr der Mitarbeiter zu genehmigten Zielen verlässt das Netz über Ausgang A, und Verkehr des Labors zu genehmigten Zielen verlässt es über Ausgang B. Fügen Sie die Rückrouten, die Übersetzungsregeln und das beabsichtigte Verhalten bei einem Ausfall eines Ausgangs hinzu.

traceroute -n 198.51.100.10

Testen Sie dann einen lokalen Dienst zwischen den VLANs separat, denn er übt eine andere Entscheidung im selben Design aus.

Ein frischer Fluss aus jedem VLAN, ein funktionierender lokaler Dienst und ein dokumentierter Ausfallpfad beweisen zusammen das Design; ein einzelner erfolgreicher Ping beweist nur, dass in diesem Moment ein Pfad existierte.