પહેલા VLAN ગેટવે, પછી VPN એક્ઝિટનો નિર્ણય

બે VLAN ને અલગ VPN એક્ઝિટની જરૂર છે, અને પહેલો પ્રશ્ન એ નથી કે કઈ નીતિ લખવી, પણ એ છે કે કયું ઉપકરણ ડિફોલ્ટ ગેટવેનો જવાબ આપે છે. જો સ્વિચ VLAN વચ્ચે રૂટ કરે, તો ફાયરવોલ નિયમ એવો માર્ગ વર્ણવી શકે છે જેમાંથી પેકેટ ક્યારેય પસાર થતા નથી. એક્ઝિટ નીતિને સ્પર્શ કરતા પહેલા ટોપોલોજી ચાલો.

પહેલું પગલું: દરેક VLAN કયો ગેટવે વાપરે છે તે શોધો

દરેક ક્લાયન્ટને તેના ગેટવે વિશે પૂછો, અને સ્વિચને પૂછો કે કઈ ઇન્ટરફેસ VLAN ધરાવે છે. ડિફોલ્ટ ગેટવે સબનેટ છોડતા ટ્રાફિક માટે પહેલો રૂટિંગ નિર્ણય નક્કી કરે છે, તેથી તે એ પણ નક્કી કરે છે કે કયું ઉપકરણ નીતિ લાગુ કરી શકે.

ip route show default
show ip interface brief

બે સુસંગત લેઆઉટ સામાન્ય છે. કાં તો ફાયરવોલ VLAN ઇન્ટરફેસ ધરાવે છે અને તેમની વચ્ચે રૂટ કરે છે; અથવા મલ્ટિલેયર સ્વિચ તેમને ધરાવે છે અને સ્થાનિક રીતે રૂટ કરે છે, ફક્ત બાહ્ય ગંતવ્યો ફાયરવોલને મોકલે છે. બંને કામ કરે છે, અને તે નીતિને અલગ જગ્યાએ મૂકે છે.

જાણી જોઈને એક પસંદ કરો, કારણ કે મિશ્ર લેઆઉટ એ જ રીત છે જેમાં નિયમો ખોટા ઉપકરણ પર પહોંચે છે.

બીજું પગલું: નક્કી કરો કે સ્થાનિક નીતિ ક્યાં રહે છે

જો સ્વિચ સ્ટાફ અને લેબ વચ્ચે રૂટ કરે, તો ફાયરવોલ નિયમ એવી આપલેની તપાસ કરી શકતો નથી જે ક્યારેય ફાયરવોલ સુધી પહોંચતી નથી. સ્થાનિક નીતિ સ્વિચના પોતાના એક્સેસ નિયંત્રણોમાં રહેવી જોઈએ, અથવા ટ્રાફિકને જાણી જોઈને નિરીક્ષણ બિંદુ દ્વારા વાળવો પડે.

વિરુદ્ધ પસંદગીનો પણ ખર્ચ છે. દરેક VLAN માટે ફાયરવોલને ગેટવે બનાવવાથી સ્થાનિક રૂટ થયેલો ટ્રાફિક તે ઉપકરણની ક્ષમતા અને ઉપલબ્ધતા યોજનામાં આવે છે, તેથી ફાયરવોલ રીબૂટ VLAN વચ્ચે અવરોધ બની જાય છે. સ્વિચ સ્ટેટલેસ છે કે ફાયરવોલ ધીમા છે એવું માનવાને બદલે વાસ્તવિક હાર્ડવેરનું મૂલ્યાંકન કરો. ક્ષમતા આયોજન સરળ છે જ્યારે તમે રીબૂટ કરો છો તે ઉપકરણ બે વ્યસ્ત સબનેટ વચ્ચેનો માર્ગ પણ ન હોય.

મહત્વનું એ છે કે પસંદ કરેલી નીતિ પેકેટ ખરેખર અનુસરે તે માર્ગ પર છે કે નહીં.

ત્રીજું પગલું: બંને ઉપકરણોને એક ટ્રાન્ઝિટ આપો

જ્યારે સ્વિચ રૂટ કરે છે, ત્યારે એક ટ્રાન્ઝિટ સબનેટ ટોપોલોજીને વાંચવા યોગ્ય રાખે છે, બંને બોક્સને હરીફ રાઉટર તરીકે દરેક ક્લાયન્ટ VLAN પર લટકાવવાને બદલે. સ્વિચ ક્લાયન્ટ સબનેટ ધરાવે છે અને ફાયરવોલ બહારની બાજુ ધરાવે છે.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

સ્વિચ બાહ્ય ગંતવ્યો ફાયરવોલના ટ્રાન્ઝિટ સરનામે મોકલે છે, અને ફાયરવોલ સ્વિચ દ્વારા બંને ક્લાયન્ટ પ્રિફિક્સ માટે પરત માર્ગો ધરાવે છે. સ્થળાંતર દરમિયાન મેનેજમેન્ટ એક્સેસ, DHCP ગેટવે સેટિંગ્સ અને VLAN સભ્યપદ અકબંધ રાખો, કારણ કે એ ત્રણ જ સ્વચ્છ ફેરબદલને કન્સોલ કેબલ સાથેની એક બપોરમાં ફેરવે છે.

ટ્રાન્ઝિટ ડિઝાઇન આગલી ફાયરવોલ બદલીને રીવાયરિંગ પ્રોજેક્ટને બદલે રૂટિંગ ફેરફાર બનાવે છે.

ચોથું પગલું: જે સ્રોત આવે છે તેના પ્રમાણે એક્ઝિટ પસંદ કરો

સામાન્ય રૂટિંગ અને વચ્ચે સ્રોત ભાષાંતર વગર, ફાયરવોલ ટ્રાન્ઝિટ ઇન્ટરફેસ પર મૂળ સ્ટાફ કે લેબ સરનામું મેળવે છે. બંને VLAN એક લિંક પરથી આવે છે, અને તેમની IP ઓળખ તેને ટકી રહે છે.

તે સ્રોત સરનામા અને વાસ્તવિક ઇનગ્રેસ માર્ગ પરના ઇચ્છિત ગંતવ્યો વડે VPN પસંદગી વ્યક્ત કરો. OPNsense નું નિયમ દસ્તાવેજીકરણ ડિફોલ્ટ ગેટવે સેટિંગ, જે સિસ્ટમ રૂટિંગને અનુસરે છે, અને સ્પષ્ટ ગેટવે, જે નીતિ-આધારિત રૂટિંગને બોલાવે છે, વચ્ચે ભેદ પાડે છે. જ્યારે પસંદગી પેકેટ ક્યાંથી આવ્યું તેના પર આધાર રાખે ત્યારે સ્પષ્ટ સ્વરૂપ વાપરો. સામાન્ય ડિફોલ્ટ રૂટને સ્રોત તરફ જોવાનું કોઈ કારણ નથી.

સ્થાનિક ગંતવ્યોને વધુ પડતા વિશાળ એક્ઝિટ નિયમની બહાર રાખો, અને તમે ચલાવો છો તે રિલીઝ માટે સમર્થિત ગેટવે મોડેલ તપાસો.

પાંચમું પગલું: બંને માર્ગ સાબિત કરો

પરિણામ બે વાક્યોમાં લખો: મંજૂર ગંતવ્યો તરફ સ્ટાફનો ટ્રાફિક એક્ઝિટ A દ્વારા નીકળે છે, અને મંજૂર ગંતવ્યો તરફ લેબનો ટ્રાફિક એક્ઝિટ B દ્વારા નીકળે છે. પરત માર્ગો, ભાષાંતર નિયમો અને એક્ઝિટ બંધ હોય ત્યારે ઇચ્છિત વર્તન ઉમેરો.

traceroute -n 198.51.100.10

પછી સ્થાનિક આંતર-VLAN સેવા અલગથી ચકાસો, કારણ કે તે એ જ ડિઝાઇનમાં અલગ નિર્ણયનો અભ્યાસ કરાવે છે.

દરેક VLAN તરફથી નવો પ્રવાહ, કાર્યરત સ્થાનિક સેવા અને દસ્તાવેજીકૃત નિષ્ફળતા-માર્ગ સાથે મળીને ડિઝાઇન સાબિત કરે છે; એક સફળ ping ફક્ત એ સાબિત કરે છે કે તે ક્ષણે એક માર્ગ હતો.