Ensin VLAN-yhdyskäytävä, sitten VPN-poistumisen päätös

Kaksi VLANia tarvitsevat eri VPN-poistumiset, eikä ensimmäinen kysymys ole, mikä käytäntö kirjoitetaan, vaan mikä laite vastaa oletusyhdyskäytävään. Jos kytkin reitittää VLANien välillä, palomuurisääntö voi kuvata polun, jota paketit eivät koskaan kulje. Käy topologia läpi ennen kuin kosket poistumiskäytäntöön.

Ensimmäinen vaihe: etsi yhdyskäytävä, jota kukin VLAN käyttää

Kysy jokaiselta asiakkaalta sen yhdyskäytävää ja kysy kytkimeltä, mikä liitäntä omistaa VLANin. Oletusyhdyskäytävä määrittää ensimmäisen reitityspäätöksen aliverkosta poistuvalle liikenteelle, joten se määrittää myös, mikä laite voi soveltaa käytäntöä.

ip route show default
show ip interface brief

Kaksi johdonmukaista asettelua on tavallinen. Joko palomuuri omistaa VLAN-liitännät ja reitittää niiden välillä, tai monikerroskytkin omistaa ne ja reitittää paikallisesti lähettäen vain ulkoiset kohteet palomuurille. Molemmat toimivat, ja ne sijoittavat käytännön eri paikkoihin.

Valitse toinen tarkoituksella, koska sekamuotoinen asettelu on tapa, jolla säännöt päätyvät väärälle laitteelle.

Toinen vaihe: päätä, missä paikallinen käytäntö asuu

Jos kytkin reitittää henkilöstön ja laboratorion välillä, palomuurisääntö ei voi tarkastaa vaihtoa, joka ei koskaan saavuta palomuuria. Paikallisen käytännön on asuttava kytkimen omissa käyttöoikeuksissa, tai liikenne on ohjattava tarkoituksella tarkastuspisteen kautta.

Käänteisellä valinnalla on myös hintansa. Palomuurin tekeminen jokaisen VLANin yhdyskäytäväksi laittaa paikallisesti reititetyn liikenteen kyseisen laitteen kapasiteetti- ja käytettävyyssuunnitelmaan, joten palomuurin uudelleenkäynnistys muuttuu VLANien väliseksi katkokseksi. Arvioi todellista laitteistoa sen sijaan, että olettaisit kytkinten olevan tilattomia tai palomuurien hitaita. Kapasiteetin suunnittelu on helpompaa, kun uudelleenkäynnistettävä laite ei ole myös kahden kiireisen aliverkon välinen polku.

Ratkaisee, sijaitseeko valittu käytäntö polulla, jota paketit todella seuraavat.

Kolmas vaihe: anna kahdelle laitteelle yksi siirtoyhteys

Kun kytkin reitittää, yksi siirtoaliverkko pitää topologian luettavana sen sijaan, että molemmat laatikot ripustettaisiin jokaiseen asiakas-VLANiin kilpailevina reitittiminä. Kytkin omistaa asiakasaliverkot ja palomuuri omistaa ulkopuolen.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Kytkin lähettää ulkoiset kohteet palomuurin siirto-osoitteeseen, ja palomuurilla on paluureitit molempiin asiakasetuliitteisiin kytkimen kautta. Pidä hallintayhteys, DHCP-yhdyskäytäväasetukset ja VLAN-jäsenyys ehjinä siirtymän ajan, koska juuri ne kolme muuttavat puhtaan vaihdon konsolikaapelilla vietetyksi iltapäiväksi.

Siirtoarkkitehtuuri tekee myös seuraavasta palomuurin vaihdosta reititysmuutoksen eikä uudelleenkaapelointiprojektin.

Neljäs vaihe: valitse poistuminen saapuvan lähteen mukaan

Tavallisella reitityksellä ja ilman lähteen käännöstä välissä palomuuri vastaanottaa alkuperäisen henkilöstön tai laboratorion osoitteen siirtoliitännällä. Molemmat VLANit saapuvat yhtä linkkiä pitkin, ja niiden IP-identiteetit säilyvät siinä.

Ilmaise VPN-valinta kyseisellä lähdeosoitteella ja aiotuilla kohteilla todellisella saapumispolulla. OPNsensen sääntödokumentaatio erottaa oletusyhdyskäytäväasetuksen, joka seuraa järjestelmän reititystä, eksplisiittisestä yhdyskäytävästä, joka käynnistää käytäntöpohjaisen reitityksen. Käytä eksplisiittistä muotoa, kun valinta riippuu siitä, mistä paketti tuli. Tavallisella oletusreitillä ei ole mitään syytä katsoa lähteen.

Pidä paikalliset kohteet liian laajan poistumissäännön ulkopuolella ja tarkista käyttämäsi julkaisun tuettu yhdyskäytävä malli.

Viides vaihe: todista molemmat polut

Kirjoita tulos kahdeksi lauseeksi: henkilöstön liikenne hyväksyttyihin kohteisiin lähtee poistuman A kautta ja laboratorion liikenne hyväksyttyihin kohteisiin lähtee poistuman B kautta. Lisää paluureitit, käännössäännöt ja aiottu toiminta, kun poistuma on poissa käytöstä.

traceroute -n 198.51.100.10

Testaa sitten paikallinen VLANien välinen palvelu erikseen, koska se harjoittaa eri päätöstä samassa suunnittelussa.

Tuore virtaus kustakin VLANista, toimiva paikallinen palvelu ja dokumentoitu vikapolku todistavat yhdessä suunnittelun; yksi onnistunut ping todistaa vain, että yksi polku oli olemassa sillä hetkellä.