VLAN-gátt fyrst, svo ákvörðunin um VPN-útgang

Tvær VLAN þurfa ólíka VPN-útganga, og fyrsta spurningin er ekki hvaða stefnu eigi að skrifa heldur hvaða tæki svarar sjálfgefnu gáttinni. Ef rofi beinir milli VLAN-anna getur eldveggjarregla lýst leið sem pakkarnir fara aldrei. Farðu yfir netlögunina áður en þú snertir útgangsstefnuna.

Fyrsta skref: finndu gáttina sem hvert VLAN notar

Spurðu hvern biðlara um gáttina hans, og spurðu rofann hvaða viðmót á VLANið. Sjálfgefna gáttin ákvarðar fyrstu beiningarákvörðun fyrir umferð sem fer úr undirnetinu, þannig ákvarðar hún líka hvaða tæki getur beitt stefnu.

ip route show default
show ip interface brief

Tvö samfelld skipulög eru algeng. Annaðhvort á eldveggurinn VLAN-viðmótin og beinir milli þeirra, eða fjöllaga rofinn á þau og beinir staðbundið og sendir aðeins ytri áfangastaði til eldveggjarins. Bæði virka, og þau setja stefnuna á ólíka staði.

Veldu eitt af ásettu ráði, því blandað skipulag er leiðin sem reglur enda á röngu tæki.

Annað skref: ákveddu hvar staðbundin stefna býr

Ef rofinn beinir milli starfsfólks og rannsóknarstofu getur eldveggjarregla ekki skoðað skipti sem nær aldrei til eldveggjarins. Staðbundin stefna verður að búa í eigin aðgangsstýringum rofans, eða umferðin verður að vera beint viljandi í gegnum skoðunarpunkt.

Öfugt val hefur líka kostnað. Að gera eldvegginn að gátt fyrir hvert VLAN setur staðbundna beinda umferð í getu- og framboðsáætlun þess tækis, svo endurræsing eldveggjarins verður truflun milli VLAN-a. Metið raunverulegan vélbúnað í stað þess að gera ráð fyrir að rofar séu ástandslausir eða eldveggir hægir. Getuáætlanagerð er auðveldari þegar tækið sem þú endurræsir er ekki líka leiðin milli tveggja annasamra undirneta.

Það sem skiptir máli er hvort valda stefnan liggi á þeirri leið sem pakkarnir fara í raun.

Þriðja skref: gefðu tækjunum tveimur eina flutningsleið

Þegar rofinn beinir heldur ein flutningsundirnet netlöguninni læsilegri, í stað þess að hengja báða kassana á hvert biðlara-VLAN sem keppinauta beini. Rofinn á biðlaraundirnetin og eldveggurinn á úti.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Rofinn sendir ytri áfangastaði á flutningsheimilisfang eldveggjarins, og eldveggurinn hefur afturleiðir að báðum biðlara-forskeytum gegnum rofann. Haltu stjórnunaraðgangi, DHCP-gáttarstillingum og VLAN-aðild óbreyttum meðan á flutningnum stendur, því þessi þrjú eru það sem gera hreint skipti að síðdegi með stjórnborðssnúru.

Flutningshönnun gerir líka næstu eldveggjarskipti að beiningarbreytingu í stað endurvírunarverkefnis.

Fjórða skref: veldu útganginn eftir upprunanum sem kemur

Með venjulegri beiningu og engri upprunaaðlögun á milli fær eldveggurinn upprunalegt starfsfólks- eða rannsóknarstofuheimilisfang á flutningsviðmótinu. Bæði VLAN koma um eina tengingu, og IP-auðkenni þeirra lifa það af.

Lýstu VPN-valinu með því upprunarheimilisfangi og fyrirhuguðum áfangastöðum á raunverulegu inngangsleiðinni. Regluskjöl OPNsense greina á milli stillingar sjálfgefinnar gáttar, sem fylgir beiningu kerfisins, og skýrrar gáttar, sem kallar á beiningu byggða á stefnu. Notaðu skýra formið þegar valið fer eftir því hvaðan pakkinn kom. Venjuleg sjálfgefinn leið hefur enga ástæðu til að líta á upprunann.

Haltu staðbundnum áfangastöðum utan of breiðrar útgangsreglu, og athugaðu studda gáttarlíkanið fyrir útgáfuna sem þú keyrir.

Fimmta skref: sannaðu báðar leiðir

Skrifaðu niðurstöðuna sem tvær setningar: umferð starfsfólks til samþykktra áfangastaða fer út um útgang A, og umferð rannsóknarstofunnar til samþykktra áfangastaða fer út um útgang B. Bættu við afturleiðunum, aðlögunarreglunum og fyrirhugaðri hegðun þegar útgangur er niðri.

traceroute -n 198.51.100.10

Prófaðu síðan staðbundna þjónustu milli VLAN sérstaklega, því hún þjálfar aðra ákvörðun í sömu hönnun.

Nýtt flæði frá hverju VLAN, virk staðbundin þjónusta og skjalfest bilunarleið sanna saman hönnunina; eitt heppnað ping sannar aðeins að ein leið var til á þeirri stundu.