Earst de VLAN-gateway, dan it beslút oer de VPN-útgong

Twa VLAN's hawwe ferskillende VPN-útgongen nedich, en de earste fraach is net hokker belied skreaun wurde moat, mar hokker apparaat de standertgateway beantwurdet. As in switch tusken de VLAN's rûtelet, kin in firewallregel in paad beskriuwe dat de pakketten nea nimme. Rin de topology troch foardat jo it útgongsbelied oanreitsje.

Stap ien: fyn de gateway dy't elk VLAN brûkt

Freegje elk klant nei syn gateway, en freegje de switch hokker interface it VLAN hat. De standertgateway bepaalt it earste routingbeslút foar ferkear dat it subnet ferlit, dus bepaalt ek hokker apparaat in belied tapasse kin.

ip route show default
show ip interface brief

Twa gearhingjende yndielingen binne gewoan. Of de firewall hat de VLAN-interfaces en rûtelet tusken har; of de multilaagswitch hat se en rûtelet lokaal, en stjoert allinnich eksterne bestimmingen nei de firewall. Beide wurkje, en se pleatse it belied op ferskillende plakken.

Kies ien mei opsetsin, want in mingde yndieling is hoe't regels op it ferkearde apparaat bedarje.

Stap twa: beslút wêr't it lokale belied wennet

As de switch tusken personiel en laboratoarium rûtelet, kin in firewallregel gjin útwikseling ynspektearje dy't nea by de firewall komt. It lokale belied moat yn 'e eigen tagongsôfskerming fan de switch wenne, of it ferkear moat mei opsetsin troch in ynspeksjepunt laat wurde.

De omkearde kar hat ek in priis. De firewall de gateway meitsje foar elk VLAN set lokaal rûtele ferkear yn it kapasiteits- en beskikberensplan fan dat apparaat, sadat in herstart fan de firewall in ûnderbrekking tusken VLAN's wurdt. Evaluearje de echte hardware ynstee fan oan te nimmen dat switches steatleas binne of firewalls stadich. Kapasiteitsplanning is makliker as it apparaat dat jo herstarte net ek it paad tusken twa drokke subnetten is.

Wat jildt, is oft it keazen belied op it paad sit dat de pakketten echt folgje.

Stap trije: jou de twa apparaten ien transit

As de switch rûtelet, hâldt ien transit-subnet de topology lêsber, ynstee fan beide kasten oan elk klant-VLAN te hingjen as rivalisearjende routers. De switch hat de klientsubnetten en de firewall hat de bûtenkant.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

De switch stjoert eksterne bestimmingen nei it transitadres fan de firewall, en de firewall hat weromrûtes nei beide klantprefiksen fia de switch. Hâld behearstagong, DHCP-gatewayynstellingen en VLAN-lidmaatskip yntakt by de migraasje, want dy trije binne wat in skjinne oergong yn in middei mei in konsolkabel feroarje.

In transityndieling makket ek de folgjende firewallferfanging in routingferoaring ynstee fan in werbedraadingsprojekt.

Stap fjouwer: kies de útgong op grûn fan de boarne dy't oankomt

Mei gewoane routing en gjin boarnenoersetting der tusken, krijt de firewall it oarspronklike personiel- of laboratoariumadres op 'e transitynterface. Beide VLAN's komme oer ien link, en har IP-identiteiten oerlibje dat.

Utterje de VPN-kar mei dat boarneadres en de bedoelde bestimmingen op it werklike yngongspaad. De regeldokumintaasje fan OPNsense ûnderskiedt in standertgatewayynstelling, dy't systeemrouting folget, fan in eksplisite gateway, dy't beliedsbasearre routing opropt. Brûk de eksplisite foarm as de kar ôfhinget fan wêr't it pakket wei kaam. In normale standertrûte hat gjin reden om nei de boarne te sjen.

Hâld lokale bestimmingen bûten in te brede útgongsregel, en kontrolearje it stipe gatewaymodel foar de ferzje dy't jo draaie.

Stap fiif: bewize beide paden

Skriuw it resultaat as twa sinnen: personielsferkear nei goedkarde bestimmingen giet fia útgong A, en laboratoariumferkear nei goedkarde bestimmingen giet fia útgong B. Foegje de weromrûtes, de oersettingsregels en it bedoelde gedrach ta as in útgong del is.

traceroute -n 198.51.100.10

Test dan in lokale tsjinst tusken VLAN's apart, want dy oefent in oar beslút yn itselde ûntwerp.

In farske stream fan elk VLAN, in wurkjende lokale tsjinst en in dokumintearre ûnderbrekkingspaad bewize tegearre it ûntwerp; ien slagge ping bewist allinnich dat der op dat stuit ien paad bestie.