Նախ VLAN դարպասը, հետո VPN ելքի որոշումը

Երկու VLAN-ի տարբեր VPN ելքեր են պետք, և առաջին հարցը ոչ թե այն է, թե որ քաղաքականությունը գրել, այլ այն, թե որ սարքն է պատասխանում լռելյայն դարպասին։ Եթե անջատիչը երթուղավորում է VLAN-ների միջև, ապա հրային պատի կանոնը կարող է նկարագրել ուղի, որով փաթեթները երբեք չեն անցնում։ Անցեք տոպոլոգիայով, նախքան ելքի քաղաքականությանը դիպչելը։

Առաջին քայլ՝ գտեք դարպասը, որն օգտագործում է յուրաքանչյուր VLAN

Հարցրեք յուրաքանչյուր հաճախորդի իր դարպասի մասին, և հարցրեք անջատիչին, թե որ ինտերֆեյսն է տիրապետում VLAN-ին։ Լռելյայն դարպասը որոշում է ենթացանցից դուրս եկող երթևեկության առաջին երթուղավորման որոշումը, ուստի այն նաև որոշում է, թե որ սարքը կարող է կիրառել քաղաքականություն։

ip route show default
show ip interface brief

Տարածված են երկու համահունչ դասավորություն։ Կամ հրային պատը տիրապետում է VLAN ինտերֆեյսներին և երթուղավորում նրանց միջև, կամ բազմաշերտ անջատիչը տիրապետում է դրանց և երթուղավորում տեղում՝ հրային պատին ուղարկելով միայն արտաքին նպատակակետերը։ Երկուսն էլ աշխատում են, և նրանք քաղաքականությունը տեղադրում են տարբեր տեղերում։

Ընտրեք մեկը դիտավորությամբ, որովհետև խառը դասավորությունն այն ձևն է, որով կանոնները հայտնվում են սխալ սարքում։

Երկրորդ քայլ՝ որոշեք, թե որտեղ է ապրում տեղական քաղաքականությունը

Եթե անջատիչը երթուղավորում է անձնակազմի և լաբորատորիայի միջև, հրային պատի կանոնը չի կարող ստուգել փոխանակում, որը երբեք չի հասնում հրային պատին։ Տեղական քաղաքականությունը պետք է ապրի անջատիչի սեփական մուտքի վերահսկման մեջ, կամ երթևեկությունը պետք է դիտավորությամբ ուղղվի ստուգման կետով։

Հակառակ ընտրությունն էլ ունի գին։ Հրային պատը յուրաքանչյուր VLAN-ի դարպաս դարձնելը տեղական երթուղավորված երթևեկությունը մտցնում է այդ սարքի հզորության և հասանելիության պլանի մեջ, ուստի հրային պատի վերագործարկումը դառնում է VLAN-ների միջև ընդհատում։ Գնահատեք իրական սարքավորումը՝ փոխարենը ենթադրելու, որ անջատիչները անվիճակ են կամ հրային պատերը դանդաղ են։ Հզորության պլանավորումն ավելի հեշտ է, երբ վերագործարկվող սարքը նաև երկու զբաղված ենթացանցերի միջև ուղին չէ։

Կարևորն այն է, թե արդյոք ընտրված քաղաքականությունը գտնվում է այն ուղու վրա, որով փաթեթներն իրականում գնում են։

Երրորդ քայլ՝ տվեք երկու սարքերին մեկ տրանզիտ

Երբ անջատիչը երթուղավորում է, մեկ տրանզիտ ենթացանցը տոպոլոգիան ընթեռնելի է պահում՝ երկու տուփերն էլ յուրաքանչյուր հաճախորդ VLAN-ից կախելու փոխարեն որպես մրցակից երթուղիչներ։ Անջատիչը տիրապետում է հաճախորդի ենթացանցերին, իսկ հրային պատը՝ արտաքինին։

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Անջատիչը արտաքին նպատակակետերն ուղարկում է հրային պատի տրանզիտ հասցեին, և հրային պատն անջատիչի միջով վերադարձի ուղիներ ունի դեպի երկու հաճախորդ նախածանցերը։ Միգրացիայի ընթացքում անփոփոխ պահեք կառավարման հասանելիությունը, DHCP դարպասի կարգավորումները և VLAN անդամակցությունը, որովհետև այդ երեքն են, որ մաքուր անցումը դարձնում են կոնսոլային մալուխով կես օր։

Տրանզիտ դիզայնը նաև հաջորդ հրային պատի փոխարինումը դարձնում է երթուղավորման փոփոխություն, այլ ոչ թե վերալարավորման նախագիծ։

Չորրորդ քայլ՝ ընտրեք ելքը ըստ ժամանող աղբյուրի

Սովորական երթուղավորմամբ և միջև աղբյուրի թարգմանությամբ, հրային պատը տրանզիտ ինտերֆեյսում ստանում է անձնակազմի կամ լաբորատորիայի սկզբնական հասցեն։ Երկու VLAN-ն էլ գալիս են մեկ կապով, և նրանց IP ինքնությունը դա վերապրում է։

Արտահայտեք VPN ընտրությունը այդ աղբյուրի հասցեով և նախատեսված նպատակակետերով իրական մուտքի ուղու վրա։ OPNsense-ի կանոնների փաստաթղթերը տարբերում են լռելյայն դարպասի կարգավորումը, որը հետևում է համակարգի երթուղավորմանը, բացահայտ դարպասից, որը կանչում է քաղաքականության վրա հիմնված երթուղավորում։ Օգտագործեք բացահայտ ձևը, երբ ընտրությունը կախված է նրանից, թե որտեղից է եկել փաթեթը։ Սովորական լռելյայն ուղին որևէ պատճառ չունի նայելու աղբյուրին։

Տեղական նպատակակետերը պահեք չափից ավելի լայն ելքի կանոնից դուրս, և ստուգեք աջակցվող դարպասի մոդելը ձեր գործարկած թողարկման համար։

Հինգերորդ քայլ՝ ապացուցեք երկու ուղիները

Արդյունքը գրեք երկու նախադասությամբ՝ անձնակազմի երթևեկությունը հաստատված նպատակակետեր դուրս է գալիս A ելքով, իսկ լաբորատորիայի երթևեկությունը հաստատված նպատակակետեր դուրս է գալիս B ելքով։ Ավելացրեք վերադարձի ուղիները, թարգմանության կանոնները և նախատեսված վարքը, երբ ելքն անջատված է։

traceroute -n 198.51.100.10

Այնուհետև առանձին փորձարկեք տեղական միջ-VLAN ծառայությունը, որովհետև այն նույն դիզայնում այլ որոշում է վարժեցնում։

Յուրաքանչյուր VLAN-ից թարմ հոսք, աշխատող տեղական ծառայություն և փաստաթղթավորված խափանման ուղի միասին ապացուցում են դիզայնը. մեկ հաջող ping-ը միայն ապացուցում է, որ այդ պահին գոյություն ուներ մեկ ուղի։