Πρώτα η πύλη VLAN, μετά η απόφαση εξόδου VPN

Δύο VLAN χρειάζονται διαφορετικές εξόδους VPN, και το πρώτο ερώτημα δεν είναι ποια πολιτική θα γραφτεί αλλά ποια συσκευή απαντά στην προεπιλεγμένη πύλη. Αν ένας μεταγωγέας δρομολογεί μεταξύ των VLAN, ένας κανόνας τείχους προστασίας μπορεί να περιγράψει μια διαδρομή που τα πακέτα δεν παίρνουν ποτέ. Διαβείτε την τοπολογία πριν αγγίξετε την πολιτική εξόδου.

Πρώτο βήμα: βρείτε την πύλη που χρησιμοποιεί κάθε VLAN

Ρωτήστε κάθε πελάτη για την πύλη του και ρωτήστε τον μεταγωγέα ποια διεπαφή κατέχει το VLAN. Η προεπιλεγμένη πύλη καθορίζει την πρώτη απόφαση δρομολόγησης για την κίνηση που φεύγει από το υποδίκτυο, άρα καθορίζει και ποια συσκευή μπορεί να εφαρμόσει πολιτική.

ip route show default
show ip interface brief

Δύο συνεκτικές διατάξεις είναι συνηθισμένες. Είτε το τείχος προστασίας κατέχει τις διεπαφές VLAN και δρομολογεί μεταξύ τους, είτε ο πολυεπίπεδος μεταγωγέας τις κατέχει και δρομολογεί τοπικά, στέλνοντας μόνο εξωτερικούς προορισμούς στο τείχος προστασίας. Και οι δύο λειτουργούν, και τοποθετούν την πολιτική σε διαφορετικά σημεία.

Επιλέξτε μία σκόπιμα, γιατί η μικτή διάταξη είναι ο τρόπος με τον οποίο οι κανόνες καταλήγουν στη λάθος συσκευή.

Δεύτερο βήμα: αποφασίστε πού ζει η τοπική πολιτική

Αν ο μεταγωγέας δρομολογεί μεταξύ προσωπικού και εργαστηρίου, ένας κανόνας τείχους προστασίας δεν μπορεί να επιθεωρήσει μια ανταλλαγή που δεν φτάνει ποτέ στο τείχος προστασίας. Η τοπική πολιτική πρέπει να ζει στους δικούς του ελέγχους πρόσβασης του μεταγωγέα, ή η κίνηση πρέπει να οδηγηθεί σκόπιμα μέσα από σημείο επιθεώρησης.

Η αντίστροφη επιλογή έχει επίσης κόστος. Το να γίνει το τείχος προστασίας πύλη για κάθε VLAN βάζει την τοπικά δρομολογούμενη κίνηση στο σχέδιο χωρητικότητας και διαθεσιμότητας αυτής της συσκευής, ώστε μια επανεκκίνηση του τείχους προστασίας να γίνεται διακοπή μεταξύ VLAN. Αξιολογήστε το πραγματικό υλικό αντί να υποθέτετε ότι οι μεταγωγείς δεν έχουν κατάσταση ή ότι τα τείχη προστασίας είναι αργά. Ο σχεδιασμός χωρητικότητας είναι ευκολότερος όταν η συσκευή που επανεκκινείτε δεν είναι επίσης η διαδρομή μεταξύ δύο πολυσύχναστων υποδικτύων.

Αυτό που μετράει είναι αν η επιλεγμένη πολιτική βρίσκεται στη διαδρομή που ακολουθούν πραγματικά τα πακέτα.

Τρίτο βήμα: δώστε στις δύο συσκευές ένα μεταγωγικό δίκτυο

Όταν ο μεταγωγέας δρομολογεί, ένα μόνο υποδίκτυο μεταγωγής κρατά την τοπολογία ευανάγνωστη, αντί να κρεμάει και τα δύο κουτιά σε κάθε VLAN πελάτη ως ανταγωνιστικούς δρομολογητές. Ο μεταγωγέας κατέχει τα υποδίκτυα πελατών και το τείχος προστασίας κατέχει το εξωτερικό.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Ο μεταγωγέας στέλνει τους εξωτερικούς προορισμούς στη διεύθυνση μεταγωγής του τείχους προστασίας, και το τείχος προστασίας έχει διαδρομές επιστροφής και στα δύο προθέματα πελατών μέσω του μεταγωγέα. Κρατήστε την πρόσβαση διαχείρισης, τις ρυθμίσεις πύλης DHCP και τη συμμετοχή σε VLAN άθικτες κατά τη μετάβαση, γιατί αυτά τα τρία μετατρέπουν μια καθαρή αλλαγή σε απόγευμα με καλώδιο κονσόλας.

Ένας σχεδιασμός μεταγωγής κάνει επίσης την επόμενη αντικατάσταση του τείχους προστασίας αλλαγή δρομολόγησης αντί για έργο επανακαλωδίωσης.

Τέταρτο βήμα: επιλέξτε την έξοδο από την πηγή που φτάνει

Με συνηθισμένη δρομολόγηση και χωρίς μετάφραση πηγής ανάμεσα, το τείχος προστασίας λαμβάνει την αρχική διεύθυνση προσωπικού ή εργαστηρίου στη διεπαφή μεταγωγής. Και τα δύο VLAN φτάνουν μέσω ενός συνδέσμου, και οι ταυτότητες IP τους το επιβιώνουν.

Εκφράστε την επιλογή VPN με αυτή τη διεύθυνση πηγής και τους προορισμούς που προορίζονται στην πραγματική διαδρομή εισόδου. Η τεκμηρίωση κανόνων του OPNsense διακρίνει μια ρύθμιση προεπιλεγμένης πύλης, που ακολουθεί τη δρομολόγηση συστήματος, από μια ρητή πύλη, που επικαλείται δρομολόγηση βάσει πολιτικής. Χρησιμοποιήστε τη ρητή μορφή όταν η επιλογή εξαρτάται από το από πού ήρθε το πακέτο. Μια κανονική προεπιλεγμένη διαδρομή δεν έχει κανένα λόγο να κοιτάξει την πηγή.

Κρατήστε τους τοπικούς προορισμούς έξω από έναν υπερβολικά ευρύ κανόνα εξόδου, και ελέγξτε το υποστηριζόμενο μοντέλο πύλης για την έκδοση που εκτελείτε.

Πέμπτο βήμα: αποδείξτε και τις δύο διαδρομές

Γράψτε το αποτέλεσμα ως δύο προτάσεις: η κίνηση του προσωπικού προς εγκεκριμένους προορισμούς φεύγει από την έξοδο A, και η κίνηση του εργαστηρίου προς εγκεκριμένους προορισμούς φεύγει από την έξοδο B. Προσθέστε τις διαδρομές επιστροφής, τους κανόνες μετάφρασης και την επιδιωκόμενη συμπεριφορά όταν μια έξοδος είναι εκτός λειτουργίας.

traceroute -n 198.51.100.10

Στη συνέχεια δοκιμάστε ξεχωριστά μια τοπική υπηρεσία μεταξύ VLAN, γιατί ασκεί διαφορετική απόφαση στο ίδιο σχέδιο.

Μια νέα ροή από κάθε VLAN, μια λειτουργική τοπική υπηρεσία και μια τεκμηριωμένη διαδρομή αστοχίας αποδεικνύουν μαζί το σχέδιο· ένα μόνο επιτυχημένο ping αποδεικνύει μόνο ότι υπήρχε μία διαδρομή εκείνη τη στιγμή.