Pirmiausia VLAN šliuzas, paskui VPN išėjimo sprendimas

Dviem VLAN reikia skirtingų VPN išėjimų, ir pirmas klausimas ne kurią politiką rašyti, o kuris įrenginys atsako į numatytąjį šliuzą. Jei komutatorius maršrutizuoja tarp VLAN, ugniasienės taisyklė gali aprašyti kelią, kuriuo paketai niekada neina. Peržiūrėkite topologiją prieš liesdami išėjimo politiką.

Pirmas žingsnis: raskite šliuzą, kurį naudoja kiekviena VLAN

Paklauskite kiekvieno kliento jo šliuzo ir paklauskite komutatoriaus, kuri sąsaja valdo VLAN. Numatytasis šliuzas nustato pirmąjį maršrutizavimo sprendimą srautui, paliekančiam potinklį, todėl jis taip pat nustato, kuris įrenginys gali taikyti politiką.

ip route show default
show ip interface brief

Dažnos dvi nuoseklios konfigūracijos. Arba ugniasienė valdo VLAN sąsajas ir maršrutizuoja tarp jų, arba daugiasluoksnis komutatorius jas valdo ir maršrutizuoja vietoje, siųsdamas tik išorinius tikslus ugniasienei. Abi veikia, ir jos padeda politiką skirtingose vietose.

Pasirinkite vieną sąmoningai, nes mišri konfigūracija yra būdas, kuriuo taisyklės atsiduria netinkamame įrenginyje.

Antras žingsnis: nuspręskite, kur gyvena vietinė politika

Jei komutatorius maršrutizuoja tarp darbuotojų ir laboratorijos, ugniasienės taisyklė negali patikrinti mainų, kurie niekada nepasiekia ugniasienės. Vietinė politika turi gyventi pačios komutatoriaus prieigos kontrolėje, arba srautas turi būti sąmoningai nukreiptas per patikros tašką.

Atvirkštinis pasirinkimas taip pat turi kainą. Pavertus ugniasienę kiekvienos VLAN šliuzu, vietinis maršrutizuotas srautas patenka į to įrenginio pajėgumo ir prieinamumo planą, todėl ugniasienės perkrovimas tampa pertraukimu tarp VLAN. Vertinkite tikrąją aparatinę įrangą, o ne manykite, kad komutatoriai yra be būsenos ar ugniasienės lėtos. Pajėgumų planuoti lengviau, kai perkraunamas įrenginys nėra ir kelias tarp dviejų užimtų potinklių.

Svarbu tai, ar pasirinkta politika yra kelyje, kuriuo paketai iš tikrųjų eina.

Trečias žingsnis: duokite dviem įrenginiams vieną tranzitą

Kai komutatorius maršrutizuoja, vienas tranzito potinklis išlaiko topologiją įskaitomą, o ne kabina abi dėžes prie kiekvienos kliento VLAN kaip konkuruojančius maršrutizatorius. Komutatorius valdo klientų potinklius, o ugniasienė išorę.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Komutatorius siunčia išorinius tikslus į ugniasienės tranzito adresą, o ugniasienė turi grįžimo maršrutus į abu kliento priešdėlius per komutatorių. Migracijos metu išlaikykite nepažeistą valdymo prieigą, DHCP šliuzo nustatymus ir VLAN narystę, nes būtent šie trys paverčia švarų perjungimą popiete su konsolės kabeliu.

Tranzito dizainas taip pat paverčia kitą ugniasienės keitimą maršrutizavimo pakeitimu, o ne perlaidų projektu.

Ketvirtas žingsnis: pasirinkite išėjimą pagal atvykstantį šaltinį

Įprastu maršrutizavimu ir be šaltinio vertimo tarp jų, ugniasienė tranzito sąsajoje gauna pradinį darbuotojų ar laboratorijos adresą. Abi VLAN atvyksta vienu ryšiu, ir jų IP tapatybė tai išlaiko.

Išreikškite VPN pasirinkimą tuo šaltinio adresu ir numatomais tikslais tikrame įėjimo kelyje. OPNsense taisyklių dokumentacija skiria numatytojo šliuzo nustatymą, kuris seka sistemos maršrutizavimą, nuo aiškaus šliuzo, kuris iškviečia politikos pagrindu veikiantį maršrutizavimą. Naudokite aiškią formą, kai pasirinkimas priklauso nuo to, iš kur atėjo paketas. Įprastas numatytasis maršrutas neturi jokio pagrindo žiūrėti į šaltinį.

Laikykite vietinius tikslus už pernelyg plačios išėjimo taisyklės, ir patikrinkite palaikomą šliuzo modelį jūsų naudojamai versijai.

Penktas žingsnis: įrodykite abu kelius

Užrašykite rezultatą dviem sakiniais: darbuotojų srautas į patvirtintus tikslus išeina per išėjimą A, o laboratorijos srautas į patvirtintus tikslus išeina per išėjimą B. Pridėkite grįžimo maršrutus, vertimo taisykles ir numatomą elgesį, kai išėjimas neveikia.

traceroute -n 198.51.100.10

Tada atskirai išbandykite vietinę tarp-VLAN paslaugą, nes ji lavina kitą sprendimą tame pačiame dizaine.

Naujas srautas iš kiekvienos VLAN, veikianti vietinė paslauga ir dokumentuotas gedimo kelias kartu įrodo dizainą; vienas sėkmingas ping įrodo tik tai, kad tuo metu egzistavo vienas kelias.