ಮೊದಲು VLAN ಗೇಟ್‌ವೇ, ನಂತರ VPN ನಿರ್ಗಮನದ ನಿರ್ಧಾರ

ಎರಡು VLANಗಳಿಗೆ ಬೇರೆ ಬೇರೆ VPN ನಿರ್ಗಮನಗಳು ಬೇಕು, ಮತ್ತು ಮೊದಲ ಪ್ರಶ್ನೆ ಯಾವ ನೀತಿ ಬರೆಯಬೇಕು ಎಂಬುದಲ್ಲ, ಬದಲಿಗೆ ಯಾವ ಸಾಧನ ಡೀಫಾಲ್ಟ್ ಗೇಟ್‌ವೇಗೆ ಉತ್ತರಿಸುತ್ತದೆ ಎಂಬುದು. ಸ್ವಿಚ್ VLANಗಳ ನಡುವೆ ರೂಟ್ ಮಾಡಿದರೆ, ಫೈರ್‌ವಾಲ್ ನಿಯಮವು ಪ್ಯಾಕೆಟ್‌ಗಳು ಎಂದೂ ಹೋಗದ ಮಾರ್ಗವನ್ನು ವಿವರಿಸಬಹುದು. ನಿರ್ಗಮನ ನೀತಿಯನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಟೋಪಾಲಜಿಯನ್ನು ನಡೆಯಿರಿ.

ಮೊದಲ ಹಂತ: ಪ್ರತಿ VLAN ಬಳಸುವ ಗೇಟ್‌ವೇ ಅನ್ನು ಹುಡುಕಿ

ಪ್ರತಿ ಕ್ಲೈಂಟ್‌ಗೆ ಅದರ ಗೇಟ್‌ವೇ ಕೇಳಿ, ಮತ್ತು ಯಾವ ಇಂಟರ್ಫೇಸ್ VLAN ಹೊಂದಿದೆ ಎಂದು ಸ್ವಿಚ್‌ಗೆ ಕೇಳಿ. ಡೀಫಾಲ್ಟ್ ಗೇಟ್‌ವೇ ಸಬ್‌ನೆಟ್ ಬಿಡುವ ಟ್ರಾಫಿಕ್‌ನ ಮೊದಲ ರೂಟಿಂಗ್ ನಿರ್ಧಾರವನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಯಾವ ಸಾಧನ ನೀತಿಯನ್ನು ಅನ್ವಯಿಸಬಹುದು ಎಂಬುದನ್ನೂ ನಿರ್ಧರಿಸುತ್ತದೆ.

ip route show default
show ip interface brief

ಎರಡು ಸುಸಂಗತ ಲೇಔಟ್‌ಗಳು ಸಾಮಾನ್ಯ. ಒಂದೋ ಫೈರ್‌ವಾಲ್ VLAN ಇಂಟರ್ಫೇಸ್‌ಗಳನ್ನು ಹೊಂದಿದೆ ಮತ್ತು ಅವುಗಳ ನಡುವೆ ರೂಟ್ ಮಾಡುತ್ತದೆ; ಅಥವಾ ಮಲ್ಟಿಲೇಯರ್ ಸ್ವಿಚ್ ಅವನ್ನು ಹೊಂದಿದೆ ಮತ್ತು ಸ್ಥಳೀಯವಾಗಿ ರೂಟ್ ಮಾಡುತ್ತದೆ, ಬಾಹ್ಯ ಗಮ್ಯಸ್ಥಾನಗಳನ್ನು ಮಾತ್ರ ಫೈರ್‌ವಾಲ್‌ಗೆ ಕಳುಹಿಸುತ್ತದೆ. ಎರಡೂ ಕೆಲಸ ಮಾಡುತ್ತವೆ, ಮತ್ತು ಅವು ನೀತಿಯನ್ನು ಬೇರೆ ಬೇರೆ ಸ್ಥಳಗಳಲ್ಲಿ ಇಡುತ್ತವೆ.

ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಒಂದನ್ನು ಆರಿಸಿ, ಏಕೆಂದರೆ ಮಿಶ್ರ ಲೇಔಟ್ ಎಂಬುದು ನಿಯಮಗಳು ತಪ್ಪು ಸಾಧನದಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುವ ದಾರಿ.

ಎರಡನೇ ಹಂತ: ಸ್ಥಳೀಯ ನೀತಿ ಎಲ್ಲಿ ವಾಸಿಸುತ್ತದೆ ಎಂದು ನಿರ್ಧರಿಸಿ

ಸ್ವಿಚ್ ಸಿಬ್ಬಂದಿ ಮತ್ತು ಲ್ಯಾಬ್ ನಡುವೆ ರೂಟ್ ಮಾಡಿದರೆ, ಫೈರ್‌ವಾಲ್‌ಗೆ ಎಂದೂ ತಲುಪದ ವಿನಿಮಯವನ್ನು ಫೈರ್‌ವಾಲ್ ನಿಯಮ ಪರಿಶೀಲಿಸಲಾರದು. ಸ್ಥಳೀಯ ನೀತಿ ಸ್ವಿಚ್‌ನ ಸ್ವಂತ ಪ್ರವೇಶ ನಿಯಂತ್ರಣಗಳಲ್ಲಿ ವಾಸಿಸಬೇಕು, ಅಥವಾ ಟ್ರಾಫಿಕ್ ಅನ್ನು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಪರಿಶೀಲನಾ ಬಿಂದುವಿನ ಮೂಲಕ ಕಳುಹಿಸಬೇಕು.

ವಿರುದ್ಧ ಆಯ್ಕೆಗೂ ಬೆಲೆ ಇದೆ. ಪ್ರತಿ VLANಗೂ ಫೈರ್‌ವಾಲ್ ಅನ್ನು ಗೇಟ್‌ವೇ ಮಾಡುವುದು ಸ್ಥಳೀಯವಾಗಿ ರೂಟ್ ಆದ ಟ್ರಾಫಿಕ್ ಅನ್ನು ಆ ಸಾಧನದ ಸಾಮರ್ಥ್ಯ ಮತ್ತು ಲಭ್ಯತೆ ಯೋಜನೆಗೆ ಸೇರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಫೈರ್‌ವಾಲ್ ಮರುಪ್ರಾರಂಭ VLANಗಳ ನಡುವೆ ಅಡಚಣೆಯಾಗುತ್ತದೆ. ಸ್ವಿಚ್‌ಗಳು ಸ್ಥಿತಿರಹಿತ ಅಥವಾ ಫೈರ್‌ವಾಲ್‌ಗಳು ನಿಧಾನ ಎಂದು ಊಹಿಸುವ ಬದಲು ನಿಜವಾದ ಹಾರ್ಡ್‌ವೇರ್ ಅನ್ನು ಮೌಲ್ಯಮಾಪನ ಮಾಡಿ. ನೀವು ಮರುಪ್ರಾರಂಭಿಸುವ ಸಾಧನವು ಎರಡು ಕಾರ್ಯನಿರತ ಸಬ್‌ನೆಟ್‌ಗಳ ನಡುವಿನ ಮಾರ್ಗವೂ ಅಲ್ಲದಿದ್ದಾಗ ಸಾಮರ್ಥ್ಯ ಯೋಜನೆ ಸುಲಭ.

ಮುಖ್ಯವಾದುದು ಆರಿಸಿದ ನೀತಿ ಪ್ಯಾಕೆಟ್‌ಗಳು ನಿಜವಾಗಿ ಅನುಸರಿಸುವ ಮಾರ್ಗದಲ್ಲಿದೆಯೇ ಎಂಬುದು.

ಮೂರನೇ ಹಂತ: ಎರಡು ಸಾಧನಗಳಿಗೆ ಒಂದು ಟ್ರಾನ್ಸಿಟ್ ಕೊಡಿ

ಸ್ವಿಚ್ ರೂಟ್ ಮಾಡುವಾಗ, ಒಂದೇ ಟ್ರಾನ್ಸಿಟ್ ಸಬ್‌ನೆಟ್ ಟೋಪಾಲಜಿಯನ್ನು ಓದಲು ಸಾಧ್ಯವಾಗಿಸುತ್ತದೆ, ಎರಡೂ ಪೆಟ್ಟಿಗೆಗಳನ್ನು ಪ್ರತಿಸ್ಪರ್ಧಿ ರೌಟರ್‌ಗಳಾಗಿ ಪ್ರತಿ ಕ್ಲೈಂಟ್ VLANಗೆ ನೇತಾಡಿಸುವ ಬದಲು. ಸ್ವಿಚ್ ಕ್ಲೈಂಟ್ ಸಬ್‌ನೆಟ್‌ಗಳನ್ನು ಹೊಂದಿದೆ ಮತ್ತು ಫೈರ್‌ವಾಲ್ ಹೊರಭಾಗವನ್ನು ಹೊಂದಿದೆ.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

ಸ್ವಿಚ್ ಬಾಹ್ಯ ಗಮ್ಯಸ್ಥಾನಗಳನ್ನು ಫೈರ್‌ವಾಲ್‌ನ ಟ್ರಾನ್ಸಿಟ್ ವಿಳಾಸಕ್ಕೆ ಕಳುಹಿಸುತ್ತದೆ, ಮತ್ತು ಫೈರ್‌ವಾಲ್‌ಗೆ ಸ್ವಿಚ್ ಮೂಲಕ ಎರಡೂ ಕ್ಲೈಂಟ್ ಪ್ರಿಫಿಕ್ಸ್‌ಗಳಿಗೆ ಹಿಂತಿರುಗುವ ಮಾರ್ಗಗಳಿವೆ. ಸ್ಥಳಾಂತರದ ಸಮಯದಲ್ಲಿ ನಿರ್ವಹಣಾ ಪ್ರವೇಶ, DHCP ಗೇಟ್‌ವೇ ಸೆಟ್ಟಿಂಗ್‌ಗಳು ಮತ್ತು VLAN ಸದಸ್ಯತ್ವವನ್ನು ಅಕ್ಷತವಾಗಿ ಇರಿಸಿ, ಏಕೆಂದರೆ ಆ ಮೂರು ಸ್ವಚ್ಛ ಬದಲಾವಣೆಯನ್ನು ಕನ್ಸೋಲ್ ಕೇಬಲ್‌ನೊಂದಿಗೆ ಮಧ್ಯಾಹ್ನವಾಗಿ ಮಾಡುತ್ತವೆ.

ಟ್ರಾನ್ಸಿಟ್ ವಿನ್ಯಾಸವು ಮುಂದಿನ ಫೈರ್‌ವಾಲ್ ಬದಲಾವಣೆಯನ್ನು ಮರುತಂತಿ ಯೋಜನೆಯ ಬದಲು ರೂಟಿಂಗ್ ಬದಲಾವಣೆಯಾಗಿ ಮಾಡುತ್ತದೆ.

ನಾಲ್ಕನೇ ಹಂತ: ಬರುವ ಮೂಲದಿಂದ ನಿರ್ಗಮನವನ್ನು ಆರಿಸಿ

ಸಾಮಾನ್ಯ ರೂಟಿಂಗ್ ಮತ್ತು ನಡುವೆ ಮೂಲ ಅನುವಾದವಿಲ್ಲದೆ, ಫೈರ್‌ವಾಲ್ ಟ್ರಾನ್ಸಿಟ್ ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ ಮೂಲ ಸಿಬ್ಬಂದಿ ಅಥವಾ ಲ್ಯಾಬ್ ವಿಳಾಸವನ್ನು ಪಡೆಯುತ್ತದೆ. ಎರಡೂ VLANಗಳು ಒಂದೇ ಲಿಂಕ್‌ನಲ್ಲಿ ಬರುತ್ತವೆ, ಮತ್ತು ಅವುಗಳ IP ಗುರುತು ಅದನ್ನು ಉಳಿಸಿಕೊಳ್ಳುತ್ತದೆ.

ಆ ಮೂಲ ವಿಳಾಸ ಮತ್ತು ನಿಜವಾದ ಒಳಹರಿವಿನ ಮಾರ್ಗದಲ್ಲಿ ಉದ್ದೇಶಿತ ಗಮ್ಯಸ್ಥಾನಗಳನ್ನು ಬಳಸಿ VPN ಆಯ್ಕೆಯನ್ನು ವ್ಯಕ್ತಪಡಿಸಿ. OPNsense ನ ನಿಯಮ ದಾಖಲೆ ಸಿಸ್ಟಮ್ ರೂಟಿಂಗ್ ಅನ್ನು ಅನುಸರಿಸುವ ಡೀಫಾಲ್ಟ್ ಗೇಟ್‌ವೇ ಸೆಟ್ಟಿಂಗ್ ಮತ್ತು ನೀತಿ ಆಧಾರಿತ ರೂಟಿಂಗ್ ಅನ್ನು ಕರೆಯುವ ಸ್ಪಷ್ಟ ಗೇಟ್‌ವೇ ನಡುವೆ ವ್ಯತ್ಯಾಸ ಮಾಡುತ್ತದೆ. ಆಯ್ಕೆ ಪ್ಯಾಕೆಟ್ ಎಲ್ಲಿಂದ ಬಂತು ಎಂಬುದನ್ನು ಅವಲಂಬಿಸಿದಾಗ ಸ್ಪಷ್ಟ ರೂಪವನ್ನು ಬಳಸಿ. ಸಾಮಾನ್ಯ ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗಕ್ಕೆ ಮೂಲವನ್ನು ನೋಡಲು ಯಾವ ಕಾರಣವೂ ಇಲ್ಲ.

ಸ್ಥಳೀಯ ಗಮ್ಯಸ್ಥಾನಗಳನ್ನು ತುಂಬಾ ಅಗಲವಾದ ನಿರ್ಗಮನ ನಿಯಮದ ಹೊರಗೆ ಇರಿಸಿ, ಮತ್ತು ನೀವು ಚಲಾಯಿಸುವ ಆವೃತ್ತಿಗೆ ಬೆಂಬಲಿತ ಗೇಟ್‌ವೇ ಮಾದರಿಯನ್ನು ಪರಿಶೀಲಿಸಿ.

ಐದನೇ ಹಂತ: ಎರಡೂ ಮಾರ್ಗಗಳನ್ನು ಸಾಬೀತುಪಡಿಸಿ

ಫಲಿತಾಂಶವನ್ನು ಎರಡು ವಾಕ್ಯಗಳಲ್ಲಿ ಬರೆಯಿರಿ: ಅನುಮೋದಿತ ಗಮ್ಯಸ್ಥಾನಗಳಿಗೆ ಸಿಬ್ಬಂದಿ ಟ್ರಾಫಿಕ್ ನಿರ್ಗಮನ A ಮೂಲಕ ಹೊರಡುತ್ತದೆ, ಮತ್ತು ಅನುಮೋದಿತ ಗಮ್ಯಸ್ಥಾನಗಳಿಗೆ ಲ್ಯಾಬ್ ಟ್ರಾಫಿಕ್ ನಿರ್ಗಮನ B ಮೂಲಕ ಹೊರಡುತ್ತದೆ. ಹಿಂತಿರುಗುವ ಮಾರ್ಗಗಳು, ಅನುವಾದ ನಿಯಮಗಳು ಮತ್ತು ನಿರ್ಗಮನ ಡೌನ್ ಆಗಿರುವಾಗ ಉದ್ದೇಶಿತ ವರ್ತನೆಯನ್ನು ಸೇರಿಸಿ.

traceroute -n 198.51.100.10

ನಂತರ ಸ್ಥಳೀಯ ಅಂತರ-VLAN ಸೇವೆಯನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಪರೀಕ್ಷಿಸಿ, ಏಕೆಂದರೆ ಅದು ಅದೇ ವಿನ್ಯಾಸದಲ್ಲಿ ಬೇರೆ ನಿರ್ಧಾರವನ್ನು ಅಭ್ಯಾಸ ಮಾಡಿಸುತ್ತದೆ.

ಪ್ರತಿ VLANನಿಂದ ಹೊಸ ಹರಿವು, ಕೆಲಸ ಮಾಡುವ ಸ್ಥಳೀಯ ಸೇವೆ ಮತ್ತು ದಾಖಲಿತ ವೈಫಲ್ಯ-ಮಾರ್ಗ ಒಟ್ಟಾಗಿ ವಿನ್ಯಾಸವನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತವೆ; ಒಂದು ಯಶಸ್ವಿ ping ಆ ಕ್ಷಣದಲ್ಲಿ ಒಂದು ಮಾರ್ಗ ಇತ್ತು ಎಂಬುದನ್ನು ಮಾತ್ರ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ.