Unue la VLAN-enirejo, poste la decido pri la VPN-eliro

Du VLAN-oj bezonas malsamajn VPN-elirojn, kaj la unua demando ne estas, kiun politikon skribi, sed kiu aparato respondecas pri la defaŭlta enirejo. Se komutilo enkursigas inter la VLAN-oj, fajroŝirma regulo povas priskribi vojon, kiun la pakoj neniam prenas. Trairu la topologion antaŭ ol tuŝi la eliran politikon.

Unua paŝo: trovu la enirejon, kiun uzas ĉiu VLAN

Demandu ĉiun klienton pri ĝia enirejo, kaj demandu la komutilon, kiu interfaco posedas la VLAN-on. La defaŭlta enirejo determinas la unuan enkursigan decidon por trafiko lasanta la subreton, do ĝi ankaŭ determinas, kiu aparato povas apliki politikon.

ip route show default
show ip interface brief

Du koheraj aranĝoj oftas. Aŭ la fajroŝirmilo posedas la VLAN-interfacojn kaj enkursigas inter ili, aŭ la plurŝtupa komutilo posedas ilin kaj enkursigas loke, sendante nur eksterajn celojn al la fajroŝirmilo. Ambaŭ funkcias, kaj ili metas la politikon en malsamajn lokojn.

Elektu unu intence, ĉar miksa aranĝo estas la maniero, kiel reguloj finiĝas sur la malĝusta aparato.

Dua paŝo: decidu, kie loĝas la loka politiko

Se la komutilo enkursigas inter dungitaro kaj laboratorio, fajroŝirma regulo ne povas inspekti interŝanĝon, kiu neniam atingas la fajroŝirmilon. La loka politiko devas loĝi en la propraj alirkontroloj de la komutilo, aŭ la trafiko devas esti intence direktita tra inspekta punkto.

La kontraŭa elekto ankaŭ havas koston. Fari la fajroŝirmilon la enirejo por ĉiu VLAN metas loke enkursigitan trafikon en la kapacitan kaj disponeblan planon de tiu aparato, do restartigo de la fajroŝirmilo fariĝas interrompo inter VLAN-oj. Taksi la realan aparataron anstataŭ supozi, ke komutiloj estas senstataj aŭ ke fajroŝirmiloj estas malrapidaj. Kapacita planado estas pli facila, kiam la aparato, kiun vi restartigas, ne estas ankaŭ la vojo inter du okupataj subretoj.

Grave estas, ĉu la elektita politiko situas sur la vojo, kiun la pakoj efektive sekvas.

Tria paŝo: donu al la du aparatoj unu transiton

Kiam la komutilo enkursigas, unu transita subreto tenas la topologion legebla, anstataŭ pendigi ambaŭ skatolojn ĉe ĉiu klienta VLAN kiel rivalaj enkursigiloj. La komutilo posedas la klientajn subretojn kaj la fajroŝirmilo posedas la eksteron.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

La komutilo sendas eksterajn celojn al la transita adreso de la fajroŝirmilo, kaj la fajroŝirmilo havas revenajn vojojn al ambaŭ klientaj prefiksoj tra la komutilo. Konservu administran aliron, DHCP-enirejajn agordojn kaj VLAN-membrecon sendifekte dum la migrado, ĉar tiuj tri estas tio, kio transformas puran transiron en posttagmezon kun konzola kablo.

Transita dezajno ankaŭ faras la sekvan anstataŭigon de la fajroŝirmilo enkursigan ŝanĝon anstataŭ rekabladan projekton.

Kvara paŝo: elektu la eliron laŭ la alvenanta fonto

Kun ordinara enkursigado kaj sen fonta tradukado intere, la fajroŝirmilo ricevas la originan dungitaran aŭ laboratorian adreson sur la transita interfaco. Ambaŭ VLAN-oj alvenas per unu ligilo, kaj iliaj IP-identecoj postvivas tion.

Esprimu la VPN-elekton per tiu fonta adreso kaj la celataj cellokoj sur la fakta enira vojo. La regula dokumentaro de OPNsense distingas defaŭltan enirejan agordon, kiu sekvas sisteman enkursigadon, de eksplicita enirejo, kiu vokas politikan enkursigadon. Uzu la eksplicitan formon, kiam la elekto dependas de tio, de kie venis la pako. Ordinara defaŭlta vojo neniel bezonas rigardi la fonton.

Tenu lokajn celojn ekster tro larĝa elira regulo, kaj kontrolu la subtenatan enirejan modelon por la eldono, kiun vi uzas.

Kvina paŝo: pruvu ambaŭ vojojn

Skribu la rezulton kiel du frazojn: trafiko de dungitaro al aprobitaj celoj eliras tra eliro A, kaj trafiko de la laboratorio al aprobitaj celoj eliras tra eliro B. Aldonu la revenajn vojojn, la tradukajn regulojn kaj la celatan konduton, kiam eliro estas malŝalta.

traceroute -n 198.51.100.10

Poste testu loke inter-VLAN-servon aparte, ĉar ĝi ekzercas alian decidon en la sama dezajno.

Freŝa fluo el ĉiu VLAN, funkcianta loka servo kaj dokumentita panea vojo kune pruvas la dezajnon; unu sukcesa ping pruvas nur, ke unu vojo ekzistis en tiu momento.