Lehenengo VLAN atebidea, gero VPN irteeraren erabakia

Lehenetsitako atebidea duen gailuak erabakitzen du non aplika daitekeen irteera-politika. Eraman bi VLANak trantsitu bakarraren bidez eta aukeratu irteera iturriaren arabera.

Bi VLANek VPN irteera desberdinak behar dituzte, eta lehen galdera ez da zein politika idatzi, baizik eta zein gailuk erantzuten dion lehenetsitako atebideari. Etengailuak VLANen artean bideratzen badu, suebaki-arauak paketeek inoiz hartzen ez duten bidea deskriba dezake. Ibili topologia irteera-politika ukitu aurretik.

Lehen urratsa: aurkitu VLAN bakoitzak erabiltzen duen atebidea

Galdetu bezero bakoitzari bere atebidea, eta galdetu etengailuari zein interfazek duen VLANa. Lehenetsitako atebideak azpisareta uzten duen trafikoaren lehen bideratze-erabakia zehazten du, beraz zein gailuk aplika dezakeen politika ere zehazten du.

ip route show default
show ip interface brief

Bi diseinu koherente ohikoak dira. Suebakiak VLAN interfazeak ditu eta haien artean bideratzen du; edo geruza anitzeko etengailuak ditu eta tokian bideratzen du, kanpoko helmugak soilik suebakira bidaliz. Biak funtzionatzen dute, eta politika leku desberdinetan jartzen dute.

Aukeratu bat nahita, diseinu mistoa baita arauak gailu okerrean amaitzeko modua.

Bigarren urratsa: erabaki non bizi den tokiko politika

Etengailuak langileen eta laborategiaren artean bideratzen badu, suebaki-arauak ezin du suebakira inoiz iristen ez den trukea ikuskatu. Tokiko politikak etengailuaren beraren sarbide-kontroletan bizi behar du, edo trafikoa nahita ikuskapen-puntu batetik bideratu behar da.

Alderantzizko aukerak ere badu kostua. Suebakia VLAN bakoitzeko atebide bihurtzeak tokian bideratutako trafikoa gailu horren gaitasun- eta eskuragarritasun-planean jartzen du, beraz suebakiaren berrabiaraztea VLANen arteko etenaldi bihurtzen da. Ebaluatu benetako hardwarea, ez suposatu etengailuak egoerarik gabeak direnik edo suebakiak motelak direnik. Gaitasun-plangintza errazagoa da berrabiarazten duzun gailua bi azpisare lanpeturen arteko bidea ere ez denean.

Garrantzitsua da aukeratutako politika paketeek benetan jarraitzen duten bidean dagoen ala ez.

Hirugarren urratsa: eman bi gailuei trantsitu bakarra

Etengailuak bideratzen duenean, trantsitu-azpisare bakar batek topologia irakurgarri mantentzen du, bi kaxak bezero-VLAN bakoitzean bideratzaile arerio gisa zintzilikatzearen ordez. Etengailuak bezero-azpisareak ditu eta suebakiak kanpoaldea.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Etengailuak kanpoko helmugak suebakiaren trantsitu-helbidera bidaltzen ditu, eta suebakiak etengailuaren bidez bi bezero-prefixotara itzultzeko bideak ditu. Mantendu kudeaketa-sarbidea, DHCP atebide-ezarpenak eta VLAN kidetza osorik migrazioan zehar, izan ere hiru horiek bihurtzen dute aldaketa garbia kontsola-kablearekin arratsalde bat.

Trantsitu-diseinuak hurrengo suebaki-ordezkapena bideratze-aldaketa bihurtzen du, kableatze-proiektuaren ordez.

Laugarren urratsa: aukeratu irteera iristen den iturriaren arabera

Bideratze arruntarekin eta tartean iturri-itulpurarik gabe, suebakiak langileen edo laborategiaren jatorrizko helbidea jasotzen du trantsitu-interfazean. Bi VLANak esteka batetik iristen dira, eta haien IP identitateek hori gainditzen dute.

Adierazi VPN aukera iturri-helbide horrekin eta sarrera-bide errealeko helmuga asmoekin. OPNsense-ren arauen dokumentazioak lehenetsitako atebide-ezarpena, sistemaren bideratzea jarraitzen duena, atebide esplizitu batetik bereizten du, politikan oinarritutako bideratzea deitzen duena. Erabili forma esplizitua aukera paketea nondik etorri den araberakoa denean. Lehenetsitako bide arruntak ez du inolako arrazoirik iturria begiratzeko.

Eduki itzazu tokiko helmugak irteera-arau zabilegi batetik kanpo, eta egiaztatu exekutatzen duzun bertsiorako onartutako atebide-eredua.

Bosgarren urratsa: frogatu bi bideak

Idatzi emaitza bi esalditan: langileen trafikoa onartutako helmugekin A irteeratik ateratzen da, eta laborategiaren trafikoa onartutako helmugekin B irteeratik ateratzen da. Gehitu itzulera-bideak, itzulpen-arauak eta irteera bat erorita dagoenean espero den portaera.

traceroute -n 198.51.100.10

Gero probatu tokiko VLAN arteko zerbitzua bereizita, diseinu berean beste erabaki bat lantzen baitu.

VLAN bakoitzeko fluxu berria, funtzionatzen duen tokiko zerbitzua eta dokumentatutako hutsegite-bidea elkarrekin frogatzen dute diseinua; ping arrakastatsu bakar batek une hartan bide bat zegoela soilik frogatzen du.

Erlazionatutako artikuluak