Éischt den VLAN-Gateway, dann d'Entscheedung iwwer den VPN-Ausgang

Den Apparat, deen de Standard-Gateway huet, decidéiert wou d'Ausgangspolitik ka gëllen. Leet béid VLAN duerch een Transit a wielt den Ausgang no der Quell.

Zwou VLAN brauchen ënnerschiddlech VPN-Ausgäng, an déi éischt Fro ass net wéi eng Politik geschriwwen gëtt, mee wéien Apparat de Standard-Gateway beäntwert. Wann e Switch tëscht de VLAN routet, kann eng Firewall-Reeg ee Wee beschreiwen, deen d'Paketen ni huelen. Gitt d'Topologie duerch, ier Dir d'Ausgangspolitik beréiert.

Schrëtt een: fannt de Gateway, deen all VLAN benotzt

Frot all Client no sengem Gateway, a frot de Switch wéi eng Interface d'VLAN huet. De Standard-Gateway bestëmmt déi éischt Routing-Entscheedung fir den Trafic, deen d'Subnetz verléisst, sou bestëmmt en och wéien Apparat eng Politik ka gëllen.

ip route show default
show ip interface brief

Zwou kohärent Layouten si gewéinlech. Entweder huet d'Firewall d'VLAN-Interfacen a routet tëscht hinnen, oder de Multilayer-Switch huet se a routet lokal an schéckt nëmmen extern Destinatiounen un d'Firewall. Béid funktionéieren, a si setzen d'Politik op verschidde Plazen.

Wielt ee bewosst, well e gemëschte Layout ass de Wee wéi Reegelen um falschen Apparat landen.

Schrëtt zwee: decidéiert wou déi lokal Politik wunnt

Wann de Switch tëscht Personal a Labor routet, kann eng Firewall-Reeg keen Austausch iwwerpréiwen, deen ni bei d'Firewall ukommt. Déi lokal Politik muss an den eegene Zougangskontrollen vum Switch wunnen, oder den Trafic muss bewosst duerch en Iwwerpréiwungspunkt geleet ginn.

Déi ëmgedréit Wiel huet och e Präis. D'Firewall zum Gateway fir all VLAN ze maachen setzt lokal gerouteten Trafic an de Kapazitéits- a Verfügbarkeetsplang vun deem Apparat, sou datt en Neistart vun der Firewall eng Ënnerbriechung tëscht VLAN gëtt. Bewäert déi tatsächlech Hardware amplaz unzehuelen d'Switchen sinn zoustänneslos oder d'Firewalle sinn lues. Kapazitéitsplanung ass méi einfach wann den Apparat, deen Dir nei start, net och de Wee tëscht zwee beschäftegte Subnetzen ass.

Wat zielt ass ob déi gewielte Politik op dem Wee läit, deen d'Paketen tatsächlech huelen.

Schrëtt dräi: gitt den zwéin Apparater een Transit

Wann de Switch routet, hält een eenzegen Transit-Subnetz d'Topologie liesbar, amplaz béid Këschten un all Client-VLAN als rivaliséierend Router ze hänken. De Switch huet d'Client-Subnetzen an d'Firewall huet d'Baussecht.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

De Switch schéckt extern Destinatiounen un d'Transitadress vun der Firewall, an d'Firewall huet Retourrouten op béid Client-Präfixen iwwer de Switch. Halt Verwaltungszougang, DHCP-Gateway-Astellungen an VLAN-Memberschaft intakt wärend der Migratioun, well déi dräi sinn et, déi eng propper Ëmstellung an en Nomëtteg mat Konsolkabel verwandelen.

En Transitdesign mécht och déi nächst Firewall-Ersetzung eng Routing-Ännerung amplaz e Neiverkabelungsprojet.

Schrëtt véier: wielt den Ausgang no der Quell déi ukommt

Mat gewéinlechem Routing an ouni Quell-Iwwersetzung tëscht, kritt d'Firewall déi ursprénglech Personal- oder Laboradress op der Transit-Interface. Béid VLAN kommen iwwer eng Verbindung, an hir IP-Identitéiten iwwerliewen dat.

Dréckt d'VPN-Wiel mat där Quelladress an den intendéierten Destinatiounen op dem tatsächlechen Inputwee aus. D'Reegeldokumentatioun vun OPNsense ënnerscheet eng Standard-Gateway-Astellung, déi dem Systemrouting follegt, vun engem explizitte Gateway, deen eng politikbaséiert Routing opruft. Benotzt déi explizitt Form wann d'Wiel dovun ofhänkt wou de Paket hierkënnt. Eng normal Standardroute huet keng Ursaach op d'Quell ze kucken.

Halt lokal Destinatiounen aus enger ze breeder Ausgangsreegel eraus, a préift de ënnerstëtzte Gateway-Modell fir d'Release déi Dir bedreift.

Schrëtt fënnef: beweise béid Weeër

Schreift d'Resultat als zwee Sätz: Personaltrafic op guttgeheescht Destinatiounen geet duerch Ausgang A eraus, a Labortrafic op guttgeheescht Destinatiounen geet duerch Ausgang B eraus. Füügt d'Retourrouten, d'Iwwersetzungsregele grad wéi dat intendéiert Verhalen dobäi wann en Ausgang ausfällt.

traceroute -n 198.51.100.10

Test dann en lokale Service tëscht VLAN separat, well en eng aner Entscheedung am selwechten Design üübt.

En neie Flux vun all VLAN, en funktionéierende lokale Service an en dokumentéierte Feelerwee beweise zusammen d'Design; een eenzegen erfollegräichen Ping beweist just datt zu deem Moment ee Wee existéiert huet.

Ähnlech Artikelen