Прво портата на VLAN, потоа одлуката за излез на VPN

Две VLAN бараат различни VPN излези, а првото прашање не е која политика да се напише туку кој уред одговара на стандардната порта. Ако комутаторот насочува меѓу VLAN, правилото на огнениот ѕид може да опише пат по кој пакетите никогаш не одат. Поминете ја топологијата пред да ја допрете излезната политика.

Прв чекор: најдете ја портата што ја користи секоја VLAN

Прашајте го секој клиент за неговата порта и прашајте го комутаторот кој интерфејс ја поседува VLAN. Стандардната порта ја одредува првата одлука за насочување на сообраќајот што ја напушта подмрежата, па затоа одредува и кој уред може да примени политика.

ip route show default
show ip interface brief

Вообичаени се две согласни поставки. Или огнениот ѕид ги поседува VLAN интерфејсите и насочува меѓу нив, или повеќеслојниот комутатор ги поседува и насочува локално, испраќајќи ги само надворешните цели кон огнениот ѕид. Двете работат и ја ставаат политиката на различни места.

Изберете една намерно, зашто мешаната поставка е начинот на кој правилата завршуваат на погрешен уред.

Втор чекор: одлучете каде живее локалната политика

Ако комутаторот насочува меѓу вработените и лабораторијата, правилото на огнениот ѕид не може да ја провери размената што никогаш не стигнува до огнениот ѕид. Локалната политика мора да живее во сопствените контроли за пристап на комутаторот, или сообраќајот мора намерно да се насочи низ точка за проверка.

И обратниот избор има цена. Правењето на огнениот ѕид порта за секоја VLAN го става локално насочениот сообраќај во планот за капацитет и достапност на тој уред, па рестартирањето на огнениот ѕид станува прекин меѓу VLAN. Оценете го вистинскиот хардвер наместо да претпоставувате дека комутаторите се без состојба или дека огнените ѕидови се бавни. Планирањето капацитет е полесно кога уредот што го рестартирате не е и патот меѓу две зафатени подмрежи.

Важно е дали избраната политика се наоѓа на патот по кој пакетите навистина одат.

Трет чекор: дајте им на двата уреда еден транзит

Кога комутаторот насочува, една транзитна подмрежа ја држи топологијата читлива, наместо да ги закачува двете кутии на секоја клиентска VLAN како конкурентни рутери. Комутаторот ги поседува клиентските подмрежи, а огнениот ѕид ја поседува надворешноста.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Комутаторот ги испраќа надворешните цели на транзитната адреса на огнениот ѕид, а огнениот ѕид има повратни маршрути до двата клиентски префикса преку комутаторот. Зачувајте го пристапот за управување, поставките за DHCP порта и членството во VLAN недопрени за време на миграцијата, зашто тие три го претвораат чистото префрлање во попладне со конзолен кабел.

Транзитниот дизајн ја прави и следната замена на огнениот ѕид промена во насочувањето, а не проект за преповрзување.

Четврт чекор: изберете го излезот според изворот што пристигнува

Со обично насочување и без превод на изворот помеѓу, огнениот ѕид ја прима оригиналната адреса на вработените или лабораторијата на транзитниот интерфејс. Двете VLAN пристигнуваат преку една врска, и нивниот IP идентитет тоа го преживува.

Изразете го изборот на VPN со таа изворна адреса и предвидените цели на вистинскиот влезен пат. Документацијата за правилата на OPNsense разликува поставка за стандардна порта, која го следи системското насочување, од експлицитна порта, која повикува насочување засновано на политика. Користете ја експлицитната форма кога изборот зависи од тоа од каде дошол пакетот. Обичната стандардна рута нема никаква причина да го гледа изворот.

Држете ги локалните цели надвор од премногу широка излезна рута, и проверете го поддржаниот модел на порта за верзијата што ја извршувате.

Петти чекор: докажете ги двата пата

Запишете го резултатот како две реченици: сообраќајот на вработените кон одобрените цели излегува преку излезот A, а сообраќајот на лабораторијата кон одобрените цели излегува преку излезот B. Додајте ги повратните маршрути, правилата за превод и предвиденото однесување кога излезот е недостапен.

traceroute -n 198.51.100.10

Потоа одделно тестирајте локална услуга меѓу VLAN, зашто таа вежба друга одлука во истиот дизајн.

Нов тек од секоја VLAN, услуга што работи локално и документиран пат за дефект заедно го докажуваат дизајнот; еден успешен ping докажува само дека во тој момент постоел еден пат.