ابتدا دروازه VLAN، سپس تصمیم خروجی VPN

دو VLAN به خروجی‌های VPN متفاوت نیاز دارند و پرسش نخست این نیست که کدام سیاست نوشته شود، بلکه این است که کدام دستگاه به دروازه پیش‌فرض پاسخ می‌دهد. اگر سوئیچ بین VLANها مسیریابی کند، قاعده فایروال می‌تواند مسیری را توصیف کند که بسته‌ها هرگز طی نمی‌کنند. پیش از دست زدن به سیاست خروجی، توپولوژی را مرور کنید.

گام یک: دروازه‌ای را که هر VLAN استفاده می‌کند پیدا کنید

از هر کلاینت دروازه‌اش را بپرسید و از سوئیچ بپرسید کدام رابط مالک VLAN است. دروازه پیش‌فرض نخستین تصمیم مسیریابی را برای ترافیکی که از زیرشبکه خارج می‌شود تعیین می‌کند، پس تعیین می‌کند کدام دستگاه می‌تواند سیاست را اعمال کند.

ip route show default
show ip interface brief

دو چیدمان سازگار رایج است. یا فایروال مالک رابط‌های VLAN است و بین آن‌ها مسیریابی می‌کند، یا سوئیچ چندلایه مالک آن‌هاست و به‌صورت محلی مسیریابی می‌کند و فقط مقصدهای بیرونی را به فایروال می‌فرستد. هر دو کار می‌کنند و سیاست را در جاهای متفاوتی قرار می‌دهند.

آگاهانه یکی را انتخاب کنید، زیرا چیدمان مختلط همان راهی است که قواعد روی دستگاه اشتباه می‌نشینند.

گام دو: تصمیم بگیرید سیاست محلی کجا زندگی می‌کند

اگر سوئیچ بین کارکنان و آزمایشگاه مسیریابی می‌کند، قاعده فایروال نمی‌تواند تبادلی را که هرگز به فایروال نمی‌رسد بازرسی کند. سیاست محلی باید در کنترل‌های دسترسی خود سوئیچ زندگی کند، یا ترافیک باید آگاهانه از یک نقطه بازرسی هدایت شود.

انتخاب معکوس هم هزینه دارد. دروازه کردن فایروال برای هر VLAN ترافیک مسیریابی‌شده محلی را وارد برنامه ظرفیت و دسترس‌پذیری آن دستگاه می‌کند، بنابراین راه‌اندازی مجدد فایروال به قطعی بین VLANها تبدیل می‌شود. سخت‌افزار واقعی را ارزیابی کنید، نه اینکه فرض کنید سوئیچ‌ها بی‌حالت‌اند یا فایروال‌ها کندند. برنامه‌ریزی ظرفیت آسان‌تر است وقتی دستگاهی که راه‌اندازی مجدد می‌کنید خودش مسیر بین دو زیرشبکه پرترافیک نباشد.

آنچه مهم است این است که آیا سیاست انتخاب‌شده روی مسیری قرار دارد که بسته‌ها واقعاً طی می‌کنند.

گام سه: به دو دستگاه یک گذرگاه بدهید

وقتی سوئیچ مسیریابی می‌کند، یک زیرشبکه گذرگاه توپولوژی را خوانا نگه می‌دارد، به‌جای آویزان کردن هر دو جعبه به هر VLAN کلاینت به‌عنوان مسیریاب‌های رقیب. سوئیچ مالک زیرشبکه‌های کلاینت است و فایروال مالک بیرون.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

سوئیچ مقصدهای بیرونی را به نشانی گذرگاه فایروال می‌فرستد و فایروال مسیرهای بازگشت به هر دو پیشوند کلاینت را از طریق سوئیچ دارد. دسترسی مدیریت، تنظیمات دروازه DHCP و عضویت VLAN را در طول مهاجرت دست‌نخورده نگه دارید، زیرا همین سه چیز است که یک تغییر تمیز را به بعدازظهری با کابل کنسول تبدیل می‌کند.

طراحی گذرگاه همچنین جایگزینی بعدی فایروال را به تغییر مسیریابی تبدیل می‌کند، نه پروژه کابل‌کشی دوباره.

گام چهار: خروجی را از مبدأیی که می‌رسد انتخاب کنید

با مسیریابی معمولی و بدون ترجمه مبدأ در میان، فایروال نشانی اصلی کارکنان یا آزمایشگاه را روی رابط گذرگاه دریافت می‌کند. هر دو VLAN از یک پیوند می‌رسند و هویت IP آن‌ها از این عبور جان سالم به در می‌برد.

انتخاب VPN را با آن نشانی مبدأ و مقصدهای موردنظر روی مسیر ورود واقعی بیان کنید. مستندات قواعد OPNsense بین تنظیم دروازه پیش‌فرض، که از مسیریابی سیستم پیروی می‌کند، و دروازه صریح، که مسیریابی مبتنی بر سیاست را فرامی‌خواند، تفاوت می‌گذارد. وقتی انتخاب به این بستگی دارد که بسته از کجا آمده است، از شکل صریح استفاده کنید. مسیر پیش‌فرض عادی هیچ دلیلی برای نگاه کردن به مبدأ ندارد.

مقصدهای محلی را بیرون از قاعده خروجی بیش از حد گسترده نگه دارید و مدل دروازه پشتیبانی‌شده برای نسخه‌ای که اجرا می‌کنید را بررسی کنید.

گام پنج: هر دو مسیر را اثبات کنید

نتیجه را در دو جمله بنویسید: ترافیک کارکنان به مقصدهای تأییدشده از خروجی A خارج می‌شود و ترافیک آزمایشگاه به مقصدهای تأییدشده از خروجی B خارج می‌شود. مسیرهای بازگشت، قواعد ترجمه و رفتار موردنظر هنگام قطع بودن یک خروجی را اضافه کنید.

traceroute -n 198.51.100.10

سپس یک سرویس محلی بین VLAN را جداگانه آزمایش کنید، زیرا تصمیم متفاوتی را در همان طراحی به کار می‌گیرد.

یک جریان تازه از هر VLAN، یک سرویس محلی کارآمد و یک مسیر خرابی مستند با هم طراحی را اثبات می‌کنند؛ یک ping موفق تنها ثابت می‌کند که در آن لحظه یک مسیر وجود داشت.