Előbb a VLAN-átjáró, aztán a VPN-kimenet döntése

Két VLAN-nak különböző VPN-kimenetekre van szüksége, és az első kérdés nem az, milyen házirendet írjunk, hanem az, melyik eszköz válaszol az alapértelmezett átjáróra. Ha a kapcsoló a VLAN-ok között routol, a tűzfal-szabály olyan útvonalat írhat le, amelyen a csomagok soha nem haladnak. Járja be a topológiát, mielőtt hozzányúl a kimeneti házirendhez.

Első lépés: keresse meg az átjárót, amelyet az egyes VLAN-ok használnak

Kérdezze meg minden klienstől az átjáróját, és kérdezze meg a kapcsolótól, melyik interfész birtokolja a VLAN-t. Az alapértelmezett átjáró határozza meg az alhálózatot elhagyó forgalom első útválasztási döntését, így azt is meghatározza, melyik eszköz alkalmazhat házirendet.

ip route show default
show ip interface brief

Két összefüggő elrendezés gyakori. Vagy a tűzfal birtokolja a VLAN-interfészeket és routol közöttük, vagy a többrétegű kapcsoló birtokolja őket és helyben routol, csak a külső célokat küldve a tűzfalnak. Mindkettő működik, és különböző helyekre teszi a házirendet.

Válasszon egyet szándékosan, mert a vegyes elrendezés az, ahogyan a szabályok a rossz eszközre kerülnek.

Második lépés: döntse el, hol él a helyi házirend

Ha a kapcsoló a személyzet és a laboratórium között routol, a tűzfal-szabály nem tud olyan forgalmat vizsgálni, amely soha nem ér el a tűzfalig. A helyi házirendnek a kapcsoló saját hozzáférés-vezérlésében kell élnie, vagy a forgalmat szándékosan egy vizsgálati ponton kell átvezetni.

A fordított választásnak is ára van. Ha a tűzfal lesz minden VLAN átjárója, a helyben routolt forgalom bekerül az eszköz kapacitás- és rendelkezésre állási tervébe, így a tűzfal újraindítása VLAN-ok közötti kieséssé válik. Értékelje a tényleges hardvert ahelyett, hogy feltételezné, a kapcsolók állapot nélküliek vagy a tűzfalak lassúak. A kapacitástervezés könnyebb, ha az újraindított eszköz nem egyben a két forgalmas alhálózat közötti útvonal.

Az számít, hogy a választott házirend azon az útvonalon van-e, amelyet a csomagok ténylegesen követnek.

Harmadik lépés: adjon a két eszköznek egy tranzitot

Amikor a kapcsoló routol, egyetlen tranzit-alhálózat olvashatóan tartja a topológiát, ahelyett hogy mindkét dobozt minden kliens-VLAN-ra akasztaná rivális routerekként. A kapcsoló birtokolja a kliens-alhálózatokat, a tűzfal pedig a külvilágot.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

A kapcsoló a külső célokat a tűzfal tranzitcímére küldi, a tűzfalmak pedig visszirányú útvonalai vannak mindkét kliens-prefixhez a kapcsolón keresztül. A migráció alatt tartsa érintetlenül a felügyeleti hozzáférést, a DHCP-átjáró beállításokat és a VLAN-tagságot, mert ez a három az, ami egy tiszta átállást konzolkábeles délutánná változtat.

A tranzit-elrendezés a következő tűzfalcserét is útválasztási változtatássá teszi újrakábelezési projekt helyett.

Negyedik lépés: válassza ki a kimenetet az érkező forrás szerint

Közönséges útválasztással és forrásfordítás nélkül a tűzfal az eredeti személyzeti vagy laboratóriumi címet kapja meg a tranzit-interfészen. Mindkét VLAN egy kapcsolaton érkezik, és IP-identitásuk túléli ezt.

Fejezze ki a VPN-választást azzal a forráscímmel és a tényleges belépő útvonalon tervezett célokkal. Az OPNsense szabálydokumentációja megkülönbözteti az alapértelmezett átjáró beállítását, amely a rendszerútválasztást követi, egy explicit átjárótól, amely házirend-alapú útválasztást hív elő. Használja az explicit formát, amikor a választás attól függ, honnan érkezett a csomag. Egy közönséges alapértelmezett útvonalnak semmi oka sincs a forrást nézni.

Tartsa a helyi célokat egy túl széles kimeneti szabályon kívül, és ellenőrizze a támogatott átjárómodellt a futtatott kiadáshoz.

Ötödik lépés: bizonyítsa mindkét útvonalat

Írja le az eredményt két mondatban: a személyzet forgalma a jóváhagyott célok felé az A kimeneten keresztül távozik, a laboratórium forgalma a jóváhagyott célok felé a B kimeneten keresztül távozik. Adja hozzá a visszirányú útvonalakat, a fordítási szabályokat és a tervezett viselkedést, amikor egy kimenet nem elérhető.

traceroute -n 198.51.100.10

Ezután külön tesztelje a helyi VLAN-ok közötti szolgáltatást, mert az ugyanabban a tervben más döntést gyakorol.

Minden VLAN-ból egy friss folyam, egy működő helyi szolgáltatás és egy dokumentált hibaútvonal együtt bizonyítja a tervet; egyetlen sikeres ping csak azt bizonyítja, hogy abban a pillanatban létezett egy útvonal.