ჯერ VLAN-ის კარიბჭე, შემდეგ VPN გასასვლელის გადაწყვეტა

ორ VLAN-ს სხვადასხვა VPN გასასვლელი სჭირდება, და პირველი კითხვა არ არის რომელი პოლიტიკა დაიწეროს, არამედ რომელი მოწყობილობა პასუხობს ნაგულისხმევ კარიბჭეს. თუ კომუტატორი VLAN-ებს შორის მარშრუტიზაციას აკეთებს, firewall-ის წესმა შეიძლება ისეთი გზა აღწეროს, რომლითაც პაკეტები არასდროს გადიან. გაიარეთ ტოპოლოგია გასასვლელის პოლიტიკის შეხებამდე.

პირველი ნაბიჯი: იპოვეთ კარიბჭე, რომელსაც თითოეული VLAN იყენებს

ჰკითხეთ თითოეულ კლიენტს მისი კარიბჭის შესახებ და ჰკითხეთ კომუტატორს, რომელი ინტერფეისი ფლობს VLAN-ს. ნაგულისხმევი კარიბჭე განსაზღვრავს ქვექსელიდან გამავალი ტრაფიკის პირველ მარშრუტიზაციის გადაწყვეტილებას, ამიტომ ის ასევე განსაზღვრავს, რომელი მოწყობილობა შეძლებს პოლიტიკის გამოყენებას.

ip route show default
show ip interface brief

გავრცელებულია ორი თანმიმდევრული განლაგება. ან firewall ფლობს VLAN ინტერფეისებს და მათ შორის მარშრუტიზაციას აკეთებს, ან მრავალშრიანი კომუტატორი ფლობს მათ და ლოკალურად მარშრუტიზაციას აკეთებს, firewall-ზე მხოლოდ გარე დანიშნულებებს აგზავნის. ორივე მუშაობს და პოლიტიკას სხვადასხვა ადგილას ათავსებს.

აირჩიეთ ერთი განზრახ, რადგან შერეული განლაგება არის გზა, რომლითაც წესები არასწორ მოწყობილობაზე ხვდება.

მეორე ნაბიჯი: გადაწყვიტეთ, სად ცხოვრობს ლოკალური პოლიტიკა

თუ კომუტატორი პერსონალსა და ლაბორატორიას შორის მარშრუტიზაციას აკეთებს, firewall-ის წესი ვერ შეამოწმებს გაცვლას, რომელიც firewall-ამდე არასდროს აღწევს. ლოკალური პოლიტიკა უნდა ცხოვრობდეს კომუტატორის საკუთარ წვდომის კონტროლში, ან ტრაფიკი განზრახ უნდა გაიმართოს შემოწმების წერტილში.

საპირისპირო არჩევანსაც აქვს ფასი. firewall-ის ყოველი VLAN-ის კარიბჭედ ქცევა ლოკალურად მარშრუტიზებულ ტრაფიკს ამ მოწყობილობის სიმძლავრისა და ხელმისაწვდომობის გეგმაში ათავსებს, ამიტომ firewall-ის გადატვირთვა VLAN-ებს შორის შეფერხებად იქცევა. შეაფასეთ რეალური აპარატურა იმის ნაცვლად, რომ ჩათვალოთ კომუტატორები მდგომარეობის გარეშე ან firewall-ები ნელი. სიმძლავრის დაგეგმვა უფრო ადვილია, როცა გადატვირთული მოწყობილობა ასევე ორ დატვირთულ ქვექსელს შორის გზა არ არის.

მთავარია, არის თუ არა არჩეული პოლიტიკა იმ გზაზე, რომლითაც პაკეტები რეალურად მიდიან.

მესამე ნაბიჯი: მიეცით ორ მოწყობილობას ერთი ტრანზიტი

როცა კომუტატორი მარშრუტიზაციას აკეთებს, ერთი ტრანზიტ ქვექსელი ტოპოლოგიას წაკითხვადად ინახავს, ორივე ყუთის კონკურენტ მარშრუტიზატორად ყოველ კლიენტ VLAN-ზე ჩამოკიდების ნაცვლად. კომუტატორი ფლობს კლიენტის ქვექსელებს, ხოლო firewall გარეს.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

კომუტატორი გარე დანიშნულებებს firewall-ის ტრანზიტ მისამართზე აგზავნის, და firewall-ს კომუტატორის გავლით ორივე კლიენტის პრეფიქსზე დაბრუნების მარშრუტები აქვს. მიგრაციის დროს უცვლელად შეინახეთ მართვის წვდომა, DHCP კარიბჭის პარამეტრები და VLAN წევრობა, რადგან ეს სამია, რაც სუფთა გადართვას კონსოლის კაბელით ერთ შუადღედ აქცევს.

ტრანზიტ დიზაინი ასევე შემდეგ firewall-ის შეცვლას გაყვანილობის პროექტის ნაცვლად მარშრუტიზაციის ცვლილებად აქცევს.

მეოთხე ნაბიჯი: აირჩიეთ გასასვლელი მომავალი წყაროს მიხედვით

ჩვეულებრივი მარშრუტიზაციით და მათ შორის წყაროს თარგმანის გარეშე, firewall ტრანზიტ ინტერფეისზე იღებს პერსონალის ან ლაბორატორიის თავდაპირველ მისამართს. ორივე VLAN ერთი ბმულით მოდის და მათი IP იდენტობა ამას გადაურჩება.

გამოხატეთ VPN-ის არჩევანი ამ წყაროს მისამართით და განზრახული დანიშნულებებით რეალურ შესვლის გზაზე. OPNsense-ის წესების დოკუმენტაცია განასხვავებს ნაგულისხმევი კარიბჭის პარამეტრს, რომელიც სისტემის მარშრუტიზაციას მიჰყვება, გამოკვეთილი კარიბჭისგან, რომელიც პოლიტიკაზე დაფუძნებულ მარშრუტიზაციას იძახებს. გამოიყენეთ გამოკვეთილი ფორმა, როცა არჩევანი დამოკიდებულია იმაზე, საიდან მოვიდა პაკეტი. ჩვეულებრივ ნაგულისხმევ მარშრუტს საერთოდ არ აქვს მიზეზი წყაროს შეხედოს.

ლოკალური დანიშნულებები ზედმეტად ფართო გასასვლელის წესს გარეთ შეინახეთ და შეამოწმეთ მხარდაჭერილი კარიბჭის მოდელი თქვენი ვერსიისთვის.

მეხუთე ნაბიჯი: დაამტკიცეთ ორივე გზა

ჩაწერეთ შედეგი ორი წინადადებით: პერსონალის ტრაფიკი დამტკიცებულ დანიშნულებებზე გადის A გასასვლელით, ხოლო ლაბორატორიის ტრაფიკი დამტკიცებულ დანიშნულებებზე გადის B გასასვლელით. დაამატეთ დაბრუნების მარშრუტები, თარგმანის წესები და განზრახული ქცევა, როცა გასასვლელი გამორთულია.

traceroute -n 198.51.100.10

შემდეგ ცალკე გამოსცადეთ ლოკალური VLAN-ებს შორის სერვისი, რადგან ის იმავე დიზაინში სხვა გადაწყვეტილებას ვარჯიშობს.

ახალი ნაკადი თითოეული VLAN-იდან, მომუშავე ლოკალური სერვისი და დოკუმენტირებული ჩავარდნის გზა ერთად ამტკიცებს დიზაინს; ერთი წარმატებული ping მხოლოდ იმას ამტკიცებს, რომ იმ მომენტში ერთი გზა არსებობდა.