Vispirms VLAN vārteja, pēc tam VPN izejas lēmums

Diviem VLAN nepieciešamas atšķirīgas VPN izejas, un pirmais jautājums nav, kādu politiku rakstīt, bet gan kura ierīce atbild uz noklusējuma vārteju. Ja slēdzis maršrutē starp VLAN, ugunsmūra noteikums var aprakstīt ceļu, pa kuru paketes nekad neiet. Izstaigājiet topoloģiju pirms izejas politikas aizskaršanas.

Pirmais solis: atrodiet vārteju, ko izmanto katrs VLAN

Pajautājiet katram klientam tā vārteju un pajautājiet slēdzim, kura saskarne pieder VLAN. Noklusējuma vārteja nosaka pirmo maršrutēšanas lēmumu trafikam, kas atstāj apakštīklu, tāpēc tā nosaka arī, kura ierīce var piemērot politiku.

ip route show default
show ip interface brief

Bieži sastopami divi saskaņoti izkārtojumi. Vai nu ugunsmūris pieder VLAN saskarnēm un maršrutē starp tām, vai daudzslāņu slēdzis tām pieder un maršrutē lokāli, sūtot ugunsmūrim tikai ārējos galamērķus. Abi darbojas, un tie novieto politiku dažādās vietās.

Izvēlieties vienu apzināti, jo jaukts izkārtojums ir veids, kā noteikumi nonāk nepareizajā ierīcē.

Otrais solis: izlemiet, kur dzīvo vietējā politika

Ja slēdzis maršrutē starp darbiniekiem un laboratoriju, ugunsmūra noteikums nevar pārbaudīt apmaiņu, kas nekad nesasniedz ugunsmūri. Vietējai politikai jādzīvo paša slēdža piekļuves kontrolē, vai trafiks apzināti jāvirza caur pārbaudes punktu.

Apgrieztajai izvēlei arī ir cena. Ugunsmūra padarīšana par vārteju katram VLAN ievieto lokāli maršrutēto trafiku šīs ierīces jaudas un pieejamības plānā, tāpēc ugunsmūra pārstartēšana kļūst par pārtraukumu starp VLAN. Novērtējiet faktisko aparatūru, nevis pieņemiet, ka slēdži ir bez stāvokļa vai ugunsmūri ir lēni. Jaudas plānošana ir vieglāka, ja ierīce, kuru pārstartējat, nav arī ceļš starp diviem noslogotiem apakštīkliem.

Svarīgi ir tas, vai izvēlētā politika atrodas ceļā, pa kuru paketes patiešām iet.

Trešais solis: dodiet abām ierīcēm vienu tranzītu

Kad slēdzis maršrutē, viens tranzīta apakštīkls saglabā topoloģiju lasāmu, nevis pakar abas kastes pie katra klienta VLAN kā konkurējošus maršrutētājus. Slēdzim pieder klientu apakštīkli, un ugunsmūrim pieder ārpuse.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Slēdzis sūta ārējos galamērķus uz ugunsmūra tranzīta adresi, un ugunsmūrim ir atgriešanās maršruti uz abiem klienta prefiksiem caur slēdzi. Migrācijas laikā saglabājiet neskartu pārvaldības piekļuvi, DHCP vārtejas iestatījumus un VLAN dalību, jo šie trīs ir tas, kas tīru pāreju pārvērš pēcpusdienā ar konsoles kabeli.

Tranzīta dizains arī padara nākamo ugunsmūra nomaiņu par maršrutēšanas izmaiņām, nevis pārvadu projektu.

Ceturtais solis: izvēlieties izeju pēc ienākošā avota

Ar parastu maršrutēšanu un bez avota tulkošanas starpā ugunsmūris tranzīta saskarnē saņem sākotnējo darbinieku vai laboratorijas adresi. Abi VLAN ienāk pa vienu saiti, un to IP identitāte to pārdzīvo.

Izsakiet VPN izvēli ar šo avota adresi un paredzētajiem galamērķiem faktiskajā ieejas ceļā. OPNsense noteikumu dokumentācija atšķir noklusējuma vārtejas iestatījumu, kas seko sistēmas maršrutēšanai, no skaidras vārtejas, kas izsauc uz politiku balstītu maršrutēšanu. Izmantojiet skaidro formu, kad izvēle ir atkarīga no tā, no kurienes pakete nāca. Parastam noklusējuma maršrutam nav nekāda iemesla skatīties uz avotu.

Turiet vietējos galamērķus ārpus pārāk plaša izejas noteikuma, un pārbaudiet atbalstīto vārtejas modeli jūsu izmantotajai versijai.

Piektais solis: pierādiet abus ceļus

Uzrakstiet rezultātu divos teikumos: darbinieku trafiks uz apstiprinātiem galamērķiem iziet caur izeju A, un laboratorijas trafiks uz apstiprinātiem galamērķiem iziet caur izeju B. Pievienojiet atgriešanās maršrutus, tulkošanas noteikumus un paredzēto uzvedību, kad izeja ir izslēgta.

traceroute -n 198.51.100.10

Pēc tam atsevišķi pārbaudiet vietējo starp-VLAN pakalpojumu, jo tas vingrina citu lēmumu tajā pašā dizainā.

Svaiga plūsma no katra VLAN, strādājošs vietējais pakalpojums un dokumentēts atteices ceļš kopā pierāda dizainu; viens veiksmīgs ping pierāda tikai to, ka tajā brīdī pastāvēja viens ceļš.