D'abord la passerelle VLAN, ensuite la décision de sortie VPN

Deux VLAN ont besoin de sorties VPN différentes, et la première question n'est pas quelle politique écrire mais quel appareil répond à la passerelle par défaut. Si un commutateur route entre les VLAN, une règle de pare-feu peut décrire un chemin que les paquets ne prennent jamais. Parcourez la topologie avant de toucher à la politique de sortie.

Première étape : trouvez la passerelle que chaque VLAN utilise

Demandez à chaque client sa passerelle, et demandez au commutateur quelle interface possède le VLAN. La passerelle par défaut détermine la première décision de routage du trafic qui quitte le sous-réseau, elle détermine donc aussi quel appareil peut appliquer une politique.

ip route show default
show ip interface brief

Deux dispositions cohérentes sont courantes. Le pare-feu possède les interfaces VLAN et route entre elles ; ou le commutateur multicouche les possède et route localement, en n'envoyant que les destinations externes au pare-feu. Les deux fonctionnent, et elles placent la politique à des endroits différents.

Choisissez-en une délibérément, car une disposition mixte est la façon dont les règles finissent sur le mauvais appareil.

Deuxième étape : décidez où vit la politique locale

Si le commutateur route entre le personnel et le laboratoire, une règle de pare-feu ne peut pas inspecter un échange qui n'atteint jamais le pare-feu. La politique locale doit vivre dans les contrôles d'accès propres au commutateur, ou le trafic doit être dirigé exprès vers un point d'inspection.

Le choix inverse a aussi un coût. Faire du pare-feu la passerelle de chaque VLAN place le trafic routé localement dans le plan de capacité et de disponibilité de cet équipement, si bien qu'un redémarrage du pare-feu devient une coupure entre VLAN. Évaluez le matériel réel plutôt que de supposer que les commutateurs sont sans état ou que les pare-feux sont lents. La planification de capacité est plus facile lorsque l'appareil que vous redémarrez n'est pas aussi le chemin entre deux sous-réseaux occupés.

Ce qui compte, c'est que la politique choisie se trouve sur le chemin que les paquets suivent réellement.

Troisième étape : donnez aux deux appareils un seul transit

Quand le commutateur route, un seul sous-réseau de transit garde la topologie lisible, au lieu d'accrocher les deux boîtiers à chaque VLAN client comme des routeurs rivaux. Le commutateur possède les sous-réseaux clients et le pare-feu possède l'extérieur.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Le commutateur envoie les destinations externes à l'adresse de transit du pare-feu, et le pare-feu a des routes de retour vers les deux préfixes clients via le commutateur. Gardez intacts l'accès de gestion, les réglages de passerelle DHCP et l'appartenance au VLAN pendant la migration, car ces trois éléments transforment un basculement propre en un après-midi avec un câble de console.

Une conception de transit fait aussi du prochain remplacement de pare-feu un changement de routage plutôt qu'un projet de recâblage.

Quatrième étape : choisissez la sortie selon la source qui arrive

Avec un routage ordinaire et sans traduction de source entre les deux, le pare-feu reçoit l'adresse d'origine du personnel ou du laboratoire sur l'interface de transit. Les deux VLAN arrivent par un seul lien, et leurs identités IP y survivent.

Exprimez le choix du VPN avec cette adresse source et les destinations prévues sur le chemin d'entrée réel. La documentation des règles d'OPNsense distingue un réglage de passerelle par défaut, qui suit le routage du système, d'une passerelle explicite, qui invoque le routage basé sur des politiques. Utilisez la forme explicite quand le choix dépend de l'origine du paquet. Une route par défaut ordinaire n'a aucune raison de regarder la source.

Gardez les destinations locales hors d'une règle de sortie trop large, et vérifiez le modèle de passerelle pris en charge pour la version que vous exécutez.

Cinquième étape : prouvez les deux chemins

Écrivez le résultat en deux phrases : le trafic du personnel vers des destinations approuvées sort par la sortie A, et le trafic du laboratoire vers des destinations approuvées sort par la sortie B. Ajoutez les routes de retour, les règles de traduction et le comportement attendu lorsqu'une sortie est indisponible.

traceroute -n 198.51.100.10

Testez ensuite séparément un service local entre VLAN, car il exerce une décision différente dans la même conception.

Un flux neuf depuis chaque VLAN, un service local fonctionnel et un chemin de panne documenté prouvent ensemble la conception ; un seul ping réussi prouve seulement qu'un chemin existait à cet instant.