Esmalt VLAN-i lüüs, seejärel VPN-i väljumise otsus

Kaks VLAN-i vajavad erinevaid VPN-i väljumisi ja esimene küsimus ei ole, millist poliitikat kirjutada, vaid milline seade vastab vaikelüüsile. Kui kommutaator marsruudib VLAN-ide vahel, võib tulemüüri reegel kirjeldada teed, mida paketid kunagi ei läbi. Käige topoloogia läbi enne väljumispoliitika puudutamist.

Esimene samm: leidke lüüs, mida iga VLAN kasutab

Küsige igalt kliendilt selle lüüsi ja küsige kommutaatorilt, milline liides omab VLAN-i. Vaikelüüs määrab esimese marsruutimisotsuse alamvõrgust lahkuvale liiklusele, seega määrab see ka, milline seade saab poliitikat rakendada.

ip route show default
show ip interface brief

Levinud on kaks sidusat paigutust. Kas tulemüür omab VLAN-i liideseid ja marsruudib nende vahel, või mitmekihiline kommutaator omab neid ja marsruudib kohapeal, saates tulemüüri ainult välised sihtkohad. Mõlemad töötavad ja paigutavad poliitika erinevatesse kohtadesse.

Valige üks meelega, sest segapaigutus on viis, kuidas reeglid satuvad valesse seadmesse.

Teine samm: otsustage, kus kohalik poliitika elab

Kui kommutaator marsruudib personali ja labori vahel, ei saa tulemüüri reegel kontrollida vahetust, mis ei jõua kunagi tulemüüri. Kohalik poliitika peab elama kommutaatori enda juurdepääsukontrollides, või tuleb liiklus meelega juhtida kontrollpunkti kaudu.

Vastupidisel valikul on samuti hind. Tulemüüri tegemine iga VLAN-i lüüsiks paneb kohalikult marsruuditud liikluse selle seadme mahutavuse ja käideldavuse plaani, nii et tulemüüri taaskäivitamine muutub VLAN-ide vaheliseks katkestuseks. Hinnake tegelikku riistvara selle asemel, et eeldada, et kommutaatorid on olekuta või tulemüürid on aeglased. Mahutavuse planeerimine on lihtsam, kui seade, mille taaskäivitate, ei ole ühtlasi kahe hõivatud alamvõrgu vaheline tee.

Tähtis on, kas valitud poliitika asub teel, mida paketid tegelikult järgivad.

Kolmas samm: andke kahele seadmele üks transiit

Kui kommutaator marsruudib, hoiab üks transiidi alamvõrk topoloogia loetavana, selle asemel et riputada mõlemad karbid iga kliendi VLAN-i külge rivaalitsevate marsruuteritena. Kommutaator omab kliendi alamvõrke ja tulemüür omab väliskülge.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Kommutaator saadab välised sihtkohad tulemüüri transiidi aadressile ja tulemüüril on tagasiteed mõlema kliendi prefiksini läbi kommutaatori. Hoidke haldusjuurdepääs, DHCP lüüsi seaded ja VLAN-i liikmelisus migratsiooni ajal puutumatuna, sest need kolm on see, mis muudab puhta ülemineku konsoolikaabliga pärastlõunaks.

Transiidilahendus muudab ka järgmise tulemüüri vahetuse marsruutimismuudatuseks, mitte ümberkaabeldamise projektiks.

Neljas samm: valige väljumine saabuva allika järgi

Tavalise marsruutimise ja vahepealse allika tõlkimiseta saab tulemüür transiidiliidesel algse personali või labori aadressi. Mõlemad VLAN-id saabuvad ühe lingi kaudu ja nende IP-identiteedid jäävad selle käigus püsima.

Väljendage VPN-i valikut selle allika aadressi ja kavandatud sihtkohtadega tegelikul sisenemisteel. OPNsense'i reeglite dokumentatsioon eristab vaikelüüsi seadet, mis järgib süsteemi marsruutimist, selgesõnalisest lüüsist, mis kasutab poliitikapõhist marsruutimist. Kasutage selgesõnalist vormi, kui valik sõltub sellest, kust pakett tuli. Tavalisel vaikemarsruudil pole mingit põhjust allikat vaadata.

Hoidke kohalikud sihtkohad liiga laia väljumisreegli väljas ja kontrollige toetatud lüüsi mudelit oma versiooni jaoks.

Viies samm: tõestage mõlemad teed

Kirjutage tulemus kahe lausena: personali liiklus heakskiidetud sihtkohtadesse väljub väljumise A kaudu ja labori liiklus heakskiidetud sihtkohtadesse väljub väljumise B kaudu. Lisage tagasiteed, tõlkereeglid ja kavandatud käitumine, kui väljumine on maas.

traceroute -n 198.51.100.10

Seejärel testige kohalikku VLAN-ide vahelist teenust eraldi, sest see harjutab samas lahenduses teistsugust otsust.

Värske voog igast VLAN-ist, töötav kohalik teenus ja dokumenteeritud rikketeek tõestavad koos lahendust; üks edukas ping tõestab vaid, et sel hetkel oli üks tee olemas.