Алгач VLAN дарбазасы, андан кийин VPN чыгуусунун чечими

Эки VLANга ар башка VPN чыгуулары керек, жана биринчи суроо кайсы саясат жазылат эмес, кайсы түзмөк демейки дарбазага жооп берет деген суроо. Эгер коммутатор VLANдардын ортосунда маршруттаса, брандмауэр эрежеси пакеттер эч качан жүрбөгөн жолду сүрөттөшү мүмкүн. Чыгуу саясатына тийүүдөн мурун топологияны аралап чыгыңыз.

Биринчи кадам: ар бир VLAN колдонгон дарбазаны табыңыз

Ар бир кардардан анын дарбазасын сураңыз, ал эми коммутатордон кайсы интерфейс VLANга ээ экенин сураңыз. Демейки дарбаза ички тармактан чыккан трафиктин биринчи маршруттоо чечимин аныктайт, ошондуктан кайсы түзмөк саясатты колдоно аларын да аныктайт.

ip route show default
show ip interface brief

Эки ырааттуу жайгашуу кеңири таралган. Же брандмауэр VLAN интерфейстерине ээ жана алардын ортосунда маршруттайт, же көп катмарлуу коммутатор аларга ээ жана жергиликтүү маршруттайт, тышкы даректерди гана брандмауэрге жөнөтөт. Экөө тең иштейт жана саясатты ар башка жерлерге коет.

Биринчисин атайын тандаңыз, анткени аралаш жайгашуу эрежелердин туура эмес түзмөккө түшүү жолу.

Экинчи кадам: жергиликтүү саясат кайда жашаарын чечиңиз

Эгер коммутатор кызматкерлер менен лабораториянын ортосунда маршруттаса, брандмауэр эрежеси брандмауэрге эч качан жетпеген алмашууну текшере албайт. Жергиликтүү саясат коммутатордун өз кирүү көзөмөлүндө жашоого тийиш, же трафик атайын текшерүү пункту аркылуу өткөрүлүшү керек.

Кайтарым тандоонун да баасы бар. Брандмауэрди ар бир VLAN үчүн дарбаза кылуу жергиликтүү маршрутталган трафикти ошол түзмөктүн сыйымдуулук жана жеткиликтүүлүк планына киргизет, ошондуктан брандмауэрди кайра жүктөө VLANдардын ортосундагы тыныгууга айланат. Коммутаторлорду абалсыз же брандмауэрлерди жай деп болжолдоонун ордуна реалдуу аппараттык камсыздоону баалаңыз. Кайра жүктөгөн түзмөк эки бош эмес ички тармактын ортосундагы жол да болбосо, сыйымдуулукту пландоо оңой.

Маанилүүсү — тандалган саясат пакеттер чындыгында жүргөн жолдо болушу.

Үчүнчү кадам: эки түзмөккө бир транзит бериңиз

Коммутатор маршруттаганда, бир транзит ички тармак топологияны окулуктуу сактайт, эки кутуну атаандаш маршрутизатор катары ар бир кардар VLANга илип коюунун ордуна. Коммутатор кардар ички тармактарына, ал эми брандмауэр тышкы тарапка ээ.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Коммутатор тышкы даректерди брандмауэрдин транзит дарегине жөнөтөт, ал эми брандмауэрдин коммутатор аркылуу эки кардар префиксине кайтуу маршруттары бар. Көчүрүү учурунда башкаруу мүмкүнчүлүгүн, DHCP дарбаза жөндөөлөрүн жана VLAN мүчөлүгүн бузулбаган бойдон сактаңыз, анткени ушул үчөө таза өткөрүүнү консоль кабели менен түштөн кийинкиге айландырат.

Транзит дизайны кийинки брандмауэр алмаштырууну кайра зым тартуу долбоорунун ордуна маршруттоо өзгөрүүсүнө айландырат.

Төртүнчү кадам: келе жаткан булакка жараша чыгууну тандаңыз

Кадимки маршруттоо жана ортосунда булак котормосу жок болсо, брандмауэр транзит интерфейсинде кызматкерлердин же лабораториянын баштапкы дарегин алат. Эки VLAN бир байланыш аркылуу келет жана алардын IP инсандыгы муну сактап калат.

VPN тандоону ошол булак дареги жана реалдуу кирүү жолундагы көздөлгөн даректер менен туюнтуңуз. OPNsenseтин эреже документтери системанын маршруттоосун ээрчиген демейки дарбаза жөндөөсүн саясатка негизделген маршруттоону чакырган ачык дарбазадан ажыратат. Тандоо пакеттин кайдан келгенине көз каранды болгондо ачык форманы колдонуңуз. Кадимки демейки маршруттун булакка кароого эч кандай себеби жок.

Жергиликтүү даректерди өтө кенен чыгуу эрежесинин сыртында кармаңыз жана иштеткен чыгарылышыңыз үчүн колдоого алынган дарбаза моделинин текшериңиз.

Бешинчи кадам: эки жолду тең далилдеңиз

Жыйынтыкты эки сүйлөм менен жазыңыз: кызматкерлердин бекитилген даректерге трафиги A чыгуусу аркылуу чыгат, ал эми лабораториянын бекитилген даректерге трафиги B чыгуусу аркылуу чыгат. Кайтуу маршруттарын, котормо эрежелерин жана чыгуу өчүк кездеги көздөлгөн жүрүм-турумду кошуңуз.

traceroute -n 198.51.100.10

Андан кийин жергиликтүү VLAN аралык кызматты өзүнчө сынаңыз, анткени ал ошол эле дизайндагы башка чечимди машыктырат.

Ар бир VLANдан жаңы агым, иштеген жергиликтүү кызмат жана документтелген бузулуу жолу биргелешип дизайнды далилдейт; бир ийгиликтүү ping ошол учурда бир жол болгонун гана далилдейт.