Алдымен VLAN қақпасы, содан кейін VPN шығысының шешімі

Әдепкі қақпаны ұстаған құрылғы шығыс саясатының қайда қолданылатынын анықтайды. Екі VLAN-ды бір транзиттен өткізіп, шығысты көзге қарай таңдаңыз.

Екі VLAN-ға әртүрлі VPN шығысы қажет, ал бірінші сұрақ қандай саясат жазу емес, қай құрылғы әдепкі қақпаға жауап береді деген сұрақ. Егер коммутатор VLAN-дар арасында маршруттаса, брандмауэр ережесі пакеттер ешқашан жүрмейтін жолды сипаттауы мүмкін. Шығыс саясатына тимей тұрып топологияны аралап шығыңыз.

Бірінші қадам: әр VLAN қолданатын қақпаны табыңыз

Әр клиенттен оның қақпасын сұраңыз, ал коммутатордан қай интерфейс VLAN-ға ие екенін сұраңыз. Әдепкі қақпа ішкі желіден шығатын трафиктің бірінші маршруттау шешімін анықтайды, сондықтан қай құрылғы саясатты қолдана алатынын да анықтайды.

ip route show default
show ip interface brief

Екі үйлесімді орналасу жиі кездеседі. Не брандмауэр VLAN интерфейстеріне ие және олардың арасында маршруттайды, не көпқабатты коммутатор оларға ие және жергілікті маршруттайды, сыртқы межелерді ғана брандмауэрге жібереді. Екеуі де жұмыс істейді және саясатты әртүрлі жерлерге қояды.

Біреуін әдейі таңдаңыз, өйткені аралас орналасу ережелердің дұрыс емес құрылғыға түсу жолы.

Екінші қадам: жергілікті саясаттың қайда тұратынын шешіңіз

Егер коммутатор қызметкерлер мен зертхана арасында маршруттаса, брандмауэр ережесі брандмауэрге ешқашан жетпейтін айырбасты тексере алмайды. Жергілікті саясат коммутатордың өз кіру бақылауында тұруы керек, немесе трафик әдейі тексеру нүктесі арқылы өткізілуі керек.

Кері таңдаудың да құны бар. Брандмауэрді әр VLAN үшін қақпа ету жергілікті маршрутталған трафикті сол құрылғының сыйымдылық және қолжетімділік жоспарына кіргізеді, сондықтан брандмауэрді қайта жүктеу VLAN-дар арасындағы үзіліске айналады. Коммутаторларды күйсіз немесе брандмауэрлерді баяу деп болжаудың орнына нақты аппараттық құралды бағалаңыз. Қайта жүктейтін құрылғы екі бос емес ішкі желі арасындағы жол да болмаса, сыйымдылықты жоспарлау оңайырақ.

Маңыздысы — таңдалған саясаттың пакеттер шынымен жүретін жолда болуы.

Үшінші қадам: екі құрылғыға бір транзит беріңіз

Коммутатор маршруттағанда, бір транзит ішкі желі топологияны оқылымды ұстайды, екі жәшікті бәсекелес маршрутизатор ретінде әр клиент VLAN-ға ілудің орнына. Коммутатор клиент ішкі желілеріне, ал брандмауэр сыртқы жаққа ие.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Коммутатор сыртқы межелерді брандмауэрдің транзит мекенжайына жібереді, ал брандмауэрдің коммутатор арқылы екі клиент префиксіне қайту маршруттары бар. Көшіру кезінде басқару рұқсатын, DHCP қақпа параметрлерін және VLAN мүшелігін бұзылмай сақтаңыз, өйткені осы үшеуі таза ауысуды консоль кабелімен түстен кейінге айналдырады.

Транзит дизайны келесі брандмауэр ауыстыруын қайта сым тарту жобасының орнына маршруттау өзгерісіне айналдырады.

Төртінші қадам: келе жатқан көзге қарай шығысты таңдаңыз

Қарапайым маршруттаумен және арасында көз аудармасынсыз брандмауэр транзит интерфейсінде қызметкерлердің немесе зертхананың бастапқы мекенжайын алады. Екі VLAN бір байланыс арқылы келеді және олардың IP бірегейлігі оны сақтайды.

VPN таңдауын сол көз мекенжайымен және нақты кіру жолындағы жоспарланған межелермен білдіріңіз. OPNsense-тің ереже құжаттамасы жүйелік маршруттауды ұстанатын әдепкі қақпа параметрін саясатқа негізделген маршруттауды шақыратын айқын қақпадан ажыратады. Таңдау пакеттің қайдан келгеніне байланысты болғанда айқын пішінді қолданыңыз. Қарапайым әдепкі маршруттың көзге қараудың ешбір себебі жоқ.

Жергілікті межелерді тым кең шығыс ережесінің сыртында ұстаңыз және іске қосқан шығарылымыңыз үшін қолдау көрсетілетін қақпа үлгісін тексеріңіз.

Бесінші қадам: екі жолды да дәлелдеңіз

Нәтижені екі сөйлеммен жазыңыз: қызметкерлердің мақұлданған межелерге трафигі A шығысы арқылы шығады, ал зертхананың мақұлданған межелерге трафигі B шығысы арқылы шығады. Қайту маршруттарын, аударма ережелерін және шығыс өшірулі кездегі жоспарланған әрекетті қосыңыз.

traceroute -n 198.51.100.10

Содан кейін жергілікті VLAN аралық қызметті бөлек сынаңыз, өйткені ол сол дизайндағы басқа шешімді жаттықтырады.

Әр VLAN-дан жаңа ағын, жұмыс істейтін жергілікті қызмет және құжатталған ақау жолы бірге дизайнды дәлелдейді; бір сәтті ping тек сол сәтте бір жол болғанын дәлелдейді.

Қатысты мақалалар