Gateway VLAN lebih dulu, lalu keputusan keluar VPN

Dua VLAN membutuhkan keluar VPN yang berbeda, dan pertanyaan pertama bukanlah kebijakan mana yang ditulis melainkan perangkat mana yang menjawab gateway default. Jika switch merutekan antar-VLAN, aturan firewall dapat menggambarkan jalur yang tidak pernah dilalui paket. Telusuri topologi sebelum menyentuh kebijakan keluar.

Langkah satu: temukan gateway yang dipakai setiap VLAN

Tanyakan gateway kepada setiap klien, dan tanyakan kepada switch antarmuka mana yang memiliki VLAN. Gateway default menentukan keputusan perutean pertama bagi lalu lintas yang meninggalkan subnet, jadi gateway itu juga menentukan perangkat mana yang dapat menerapkan kebijakan.

ip route show default
show ip interface brief

Dua tata letak yang koheren umum dijumpai. Firewall memiliki antarmuka VLAN dan merutekan di antaranya; atau switch multilayer memilikinya dan merutekan secara lokal, hanya mengirim tujuan eksternal ke firewall. Keduanya bekerja, dan keduanya menempatkan kebijakan di lokasi berbeda.

Pilih salah satu dengan sengaja, karena tata letak campuran adalah cara aturan berakhir di perangkat yang salah.

Langkah dua: putuskan di mana kebijakan lokal berada

Jika switch merutekan antara staf dan lab, aturan firewall tidak dapat memeriksa pertukaran yang tidak pernah mencapai firewall. Kebijakan lokal harus berada dalam kontrol akses switch itu sendiri, atau lalu lintas harus diarahkan sengaja melalui titik pemeriksaan.

Pilihan sebaliknya juga ada biayanya. Menjadikan firewall sebagai gateway untuk setiap VLAN menempatkan lalu lintas terutekan lokal ke dalam rencana kapasitas dan ketersediaan perangkat itu, sehingga reboot firewall menjadi gangguan antar-VLAN. Evaluasi perangkat keras sebenarnya alih-alih menganggap switch tanpa status atau firewall lambat. Perencanaan kapasitas lebih mudah ketika perangkat yang Anda reboot bukan juga jalur antara dua subnet sibuk.

Yang penting adalah apakah kebijakan yang dipilih berada di jalur yang benar-benar dilalui paket.

Langkah tiga: beri kedua perangkat satu transit

Ketika switch merutekan, satu subnet transit menjaga topologi tetap terbaca, alih-alih menggantung kedua kotak di setiap VLAN klien sebagai router saingan. Switch memiliki subnet klien dan firewall memiliki sisi luar.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Switch mengirim tujuan eksternal ke alamat transit firewall, dan firewall memiliki rute balik ke kedua prefiks klien melalui switch. Pertahankan akses manajemen, pengaturan gateway DHCP, dan keanggotaan VLAN tetap utuh selama migrasi, karena ketiganya yang mengubah pemotongan bersih menjadi sore dengan kabel konsol.

Desain transit juga membuat penggantian firewall berikutnya menjadi perubahan perutean alih-alih proyek pengkabelan ulang.

Langkah empat: pilih keluar dari sumber yang datang

Dengan perutean biasa dan tanpa terjemahan sumber di antaranya, firewall menerima alamat staf atau lab asli pada antarmuka transit. Kedua VLAN datang lewat satu tautan, dan identitas IP mereka bertahan dari itu.

Nyatakan pilihan VPN menggunakan alamat sumber itu dan tujuan yang dimaksudkan pada jalur masuk sebenarnya. Dokumentasi aturan OPNsense membedakan pengaturan gateway default, yang mengikuti perutean sistem, dari gateway eksplisit, yang memanggil perutean berbasis kebijakan. Gunakan bentuk eksplisit ketika pilihan bergantung pada dari mana paket datang. Rute default biasa tidak punya alasan untuk melihat sumber sama sekali.

Jauhkan tujuan lokal dari aturan keluar yang terlalu luas, dan periksa model gateway yang didukung untuk rilis yang Anda jalankan.

Langkah lima: buktikan kedua jalur

Tulis hasilnya sebagai dua kalimat: lalu lintas staf ke tujuan yang disetujui keluar melalui keluar A, dan lalu lintas lab ke tujuan yang disetujui keluar melalui keluar B. Tambahkan rute balik, aturan terjemahan, dan perilaku yang dimaksudkan saat salah satu keluar mati.

traceroute -n 198.51.100.10

Lalu uji layanan lokal antar-VLAN secara terpisah, karena layanan itu melatih keputusan berbeda dalam desain yang sama.

Aliran baru dari setiap VLAN, layanan lokal yang berfungsi, dan jalur gangguan yang terdokumentasi bersama-sama membuktikan desain; satu ping yang berhasil hanya membuktikan bahwa satu jalur ada pada saat itu.