קודם שער ה-VLAN, אחר כך החלטת היציאה של ה-VPN

שתי VLAN זקוקות ליציאות VPN שונות, והשאלה הראשונה אינה איזו מדיניות לכתוב אלא איזה התקן עונה על שער ברירת המחדל. אם מתג מנתב בין ה-VLAN, כלל חומת אש יכול לתאר מסלול שהחבילות לעולם לא עוברות בו. עברו על הטופולוגיה לפני שנוגעים במדיניות היציאה.

שלב ראשון: מצאו את השער שכל VLAN משתמשת בו

שאלו כל לקוח על השער שלו, ושאלו את המתג איזה ממשק מחזיק ב-VLAN. שער ברירת המחדל קובע את החלטת הניתוב הראשונה לתעבורה היוצאת מהרשת המשנית, ולכן הוא קובע גם איזה התקן יכול להחיל מדיניות.

ip route show default
show ip interface brief

שתי פריסות עקביות נפוצות. או שחומת האש מחזיקה בממשקי ה-VLAN ומנתבת ביניהם, או שהמתג הרב-שכבתי מחזיק בהם ומנתב באופן מקומי, ושולח רק יעדים חיצוניים לחומת האש. שתיהן עובדות, ושתיהן שמות את המדיניות במקומות שונים.

בחרו אחת בכוונה, כי פריסה מעורבת היא הדרך שבה כללים מגיעים להתקן הלא נכון.

שלב שני: החליטו היכן המדיניות המקומית חיה

אם המתג מנתב בין הצוות למעבדה, כלל חומת אש אינו יכול לבדוק חילופין שלעולם אינם מגיעים לחומת האש. המדיניות המקומית חייבת לחיות בבקרות הגישה של המתג עצמו, או שיש להפנות את התעבורה בכוונה דרך נקודת בדיקה.

גם לבחירה ההפוכה יש מחיר. הפיכת חומת האש לשער של כל VLAN מכניסה תעבורה מנותבת מקומית לתוכנית הקיבולת והזמינות של אותו התקן, כך שאתחול חומת האש הופך להפסקה בין VLAN. העריכו את החומרה בפועל במקום להניח שמתגים חסרי מצב או שחומות אש איטיות. תכנון קיבולת קל יותר כאשר ההתקן שאתם מאתחלים אינו גם המסלול בין שתי רשתות משניות עמוסות.

הדבר החשוב הוא אם המדיניות הנבחרת נמצאת במסלול שהחבילות באמת עוברות בו.

שלב שלישי: תנו לשני ההתקנים מעבר אחד

כאשר המתג מנתב, רשת מעבר אחת שומרת על טופולוגיה קריאה, במקום לתלות את שתי הקופסאות על כל VLAN של לקוח כנתבים מתחרים. המתג מחזיק ברשתות המשניות של הלקוחות וחומת האש מחזיקה בצד החיצוני.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

המתג שולח יעדים חיצוניים לכתובת המעבר של חומת האש, ולחומת האש יש מסלולי חזרה לשני קידומות הלקוח דרך המתג. שמרו על גישת ניהול, הגדרות שער DHCP וחברות ב-VLAN שלמות במהלך ההעברה, כי שלושת אלה הם מה שהופך מעבר נקי לאחר צהריים עם כבל קונסולה.

עיצוב מעבר הופך גם את החלפת חומת האש הבאה לשינוי ניתוב במקום לפרויקט חיווט מחדש.

שלב רביעי: בחרו את היציאה לפי המקור שמגיע

עם ניתוב רגיל וללא תרגום מקור ביניהם, חומת האש מקבלת את הכתובת המקורית של הצוות או המעבדה בממשק המעבר. שתי ה-VLAN מגיעות דרך קישור אחד, וזהויות ה-IP שלהן שורדות זאת.

הביעו את בחירת ה-VPN באמצעות כתובת המקור הזו והיעדים המיועדים במסלול הכניסה בפועל. תיעוד הכללים של OPNsense מבחין בין הגדרת שער ברירת מחדל, שעוקבת אחר ניתוב המערכת, לבין שער מפורש, שמפעיל ניתוב מבוסס מדיניות. השתמשו בצורה המפורשת כאשר הבחירה תלויה במקור שממנו הגיעה החבילה. למסלול ברירת מחדל רגיל אין סיבה להסתכל על המקור בכלל.

השאירו יעדים מקומיים מחוץ לכלל יציאה רחב מדי, ובדקו את דגם השער הנתמך עבור הגרסה שאתם מריצים.

שלב חמישי: הוכיחו את שני המסלולים

כתבו את התוצאה כשני משפטים: תעבורת הצוות ליעדים מאושרים יוצאת דרך יציאה A, ותעבורת המעבדה ליעדים מאושרים יוצאת דרך יציאה B. הוסיפו את מסלולי החזרה, כללי התרגום וההתנהגות המיועדת כאשר יציאה מושבתת.

traceroute -n 198.51.100.10

לאחר מכן בדקו בנפרד שירות מקומי בין VLAN, כי הוא מתרגל החלטה אחרת באותו עיצוב.

זרימה חדשה מכל VLAN, שירות מקומי עובד ומסלול כשל מתועד מוכיחים יחד את העיצוב; פינג מוצלח אחד מוכיח רק שבאותו רגע היה מסלול אחד.