ആദ്യം VLAN ഗേറ്റ്‌വേ, പിന്നെ VPN എക്സിറ്റ് തീരുമാനം

രണ്ട് VLAN-കൾക്ക് വേറെ VPN എക്സിറ്റുകൾ വേണം, ആദ്യ ചോദ്യം ഏത് നയം എഴുതണം എന്നല്ല, ഏത് ഉപകരണമാണ് ഡിഫോൾട്ട് ഗേറ്റ്‌വേയ്ക്ക് ഉത്തരം നൽകുന്നത് എന്നതാണ്. സ്വിച്ച് VLAN-കൾക്കിടയിൽ റൂട്ട് ചെയ്താൽ, ഫയർവാൾ നിയമം പാക്കറ്റുകൾ ഒരിക്കലും പോകാത്ത ഒരു പാത വിവരിച്ചേക്കാം. എക്സിറ്റ് നയം തൊടുന്നതിന് മുൻപ് ടോപ്പോളജി ചുറ്റിനടക്കുക.

ആദ്യ ഘട്ടം: ഓരോ VLAN ഉപയോഗിക്കുന്ന ഗേറ്റ്‌വേ കണ്ടെത്തുക

ഓരോ ക്ലയന്റിനോടും അതിന്റെ ഗേറ്റ്‌വേ ചോദിക്കുക, ഏത് ഇന്റർഫേസാണ് VLAN ഉള്ളത് എന്ന് സ്വിച്ചിനോട് ചോദിക്കുക. ഡിഫോൾട്ട് ഗേറ്റ്‌വേ സബ്‌നെറ്റ് വിടുന്ന ട്രാഫിക്കിന്റെ ആദ്യ റൂട്ടിംഗ് തീരുമാനം നിർണ്ണയിക്കുന്നു, അതിനാൽ ഏത് ഉപകരണത്തിന് നയം പ്രയോഗിക്കാം എന്നതും അത് നിർണ്ണയിക്കുന്നു.

ip route show default
show ip interface brief

രണ്ട് സുസംഗത ലേഔട്ടുകൾ സാധാരണമാണ്. ഒന്നുകിൽ ഫയർവാൾ VLAN ഇന്റർഫേസുകൾ ഉള്ളതും അവയ്ക്കിടയിൽ റൂട്ട് ചെയ്യുന്നതും; അല്ലെങ്കിൽ മൾട്ടിലേയർ സ്വിച്ച് അവ ഉള്ളതും പ്രാദേശികമായി റൂട്ട് ചെയ്ത് ബാഹ്യ ലക്ഷ്യങ്ങൾ മാത്രം ഫയർവാളിലേക്ക് അയക്കുന്നതും. രണ്ടും പ്രവർത്തിക്കുന്നു, അവ നയം വേറെ സ്ഥലങ്ങളിൽ വയ്ക്കുന്നു.

ബോധപൂർവം ഒന്ന് തിരഞ്ഞെടുക്കുക, കാരണം മിശ്ര ലേഔട്ടാണ് നിയമങ്ങൾ തെറ്റായ ഉപകരണത്തിൽ എത്തുന്ന വഴി.

രണ്ടാം ഘട്ടം: പ്രാദേശിക നയം എവിടെ ജീവിക്കുന്നു എന്ന് തീരുമാനിക്കുക

സ്വിച്ച് ജീവനക്കാരും ലാബും തമ്മിൽ റൂട്ട് ചെയ്താൽ, ഫയർവാളിൽ ഒരിക്കലും എത്താത്ത ഒരു കൈമാറ്റം ഫയർവാൾ നിയമത്തിന് പരിശോധിക്കാനാവില്ല. പ്രാദേശിക നയം സ്വിച്ചിന്റെ സ്വന്തം ആക്സസ് നിയന്ത്രണങ്ങളിൽ ജീവിക്കണം, അല്ലെങ്കിൽ ട്രാഫിക് ബോധപൂർവം ഒരു പരിശോധനാ പോയിന്റിലൂടെ കടത്തണം.

എതിർ തിരഞ്ഞെടുപ്പിനും വിലയുണ്ട്. ഓരോ VLAN-നും ഫയർവാളിനെ ഗേറ്റ്‌വേയാക്കുന്നത് പ്രാദേശികമായി റൂട്ട് ചെയ്യപ്പെടുന്ന ട്രാഫിക്കിനെ ആ ഉപകരണത്തിന്റെ ശേഷി, ലഭ്യതാ പദ്ധതിയിൽ ചേർക്കുന്നു, അതിനാൽ ഫയർവാൾ റീബൂട്ട് VLAN-കൾക്കിടയിലെ തടസ്സമായി മാറുന്നു. സ്വിച്ചുകൾ അവസ്ഥയില്ലാത്തവയോ ഫയർവാളുകൾ മന്ദഗതിയിലുള്ളവയോ എന്ന് അനുമാനിക്കാതെ യഥാർത്ഥ ഹാർഡ്‌വെയർ വിലയിരുത്തുക. നിങ്ങൾ റീബൂട്ട് ചെയ്യുന്ന ഉപകരണം രണ്ട് തിരക്കേറിയ സബ്‌നെറ്റുകൾക്കിടയിലെ പാതയും അല്ലെങ്കിൽ ശേഷി പ്ലാനിംഗ് എളുപ്പമാണ്.

പ്രധാനം, തിരഞ്ഞെടുത്ത നയം പാക്കറ്റുകൾ യഥാർത്ഥത്തിൽ സഞ്ചരിക്കുന്ന പാതയിലുണ്ടോ എന്നതാണ്.

മൂന്നാം ഘട്ടം: രണ്ട് ഉപകരണങ്ങൾക്ക് ഒരു ട്രാൻസിറ്റ് നൽകുക

സ്വിച്ച് റൂട്ട് ചെയ്യുമ്പോൾ, ഒരു ട്രാൻസിറ്റ് സബ്‌നെറ്റ് ടോപ്പോളജിയെ വായിക്കാവുന്നതായി നിർത്തുന്നു, രണ്ട് പെട്ടികളെയും എതിർ റൗട്ടർമാരായി ഓരോ ക്ലയന്റ് VLAN-ലും തൂക്കിയിടുന്നതിന് പകരം. സ്വിച്ചിന് ക്ലയന്റ് സബ്‌നെറ്റുകളും ഫയർവാളിന് പുറംഭാഗവുമാണ്.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

സ്വിച്ച് ബാഹ്യ ലക്ഷ്യങ്ങൾ ഫയർവാളിന്റെ ട്രാൻസിറ്റ് വിലാസത്തിലേക്ക് അയക്കുന്നു, ഫയർവാളിന് സ്വിച്ചിലൂടെ രണ്ട് ക്ലയന്റ് പ്രിഫിക്സുകളിലേക്ക് മടക്ക പാതകളുണ്ട്. മൈഗ്രേഷൻ സമയത്ത് മാനേജ്മെന്റ് ആക്സസ്, DHCP ഗേറ്റ്‌വേ ക്രമീകരണങ്ങൾ, VLAN അംഗത്വം എന്നിവ അക്ഷതമായി നിർത്തുക, കാരണം ആ മൂന്നും ചേർന്നാണ് വൃത്തിയുള്ള മാറ്റത്തെ കൺസോൾ കേബിളുമായി ഒരു ഉച്ചയാക്കി മാറ്റുന്നത്.

ട്രാൻസിറ്റ് ഡിസൈൻ അടുത്ത ഫയർവാൾ മാറ്റത്തെ വീണ്ടും വയറിംഗ് ചെയ്യുന്ന പദ്ധതിയല്ല, റൂട്ടിംഗ് മാറ്റമാക്കുന്നു.

നാലാം ഘട്ടം: വരുന്ന ഉറവിടത്തിൽ നിന്ന് എക്സിറ്റ് തിരഞ്ഞെടുക്കുക

സാധാരണ റൂട്ടിംഗും ഇടയിൽ ഉറവിട പരിഭാഷയും ഇല്ലാതെ, ഫയർവാൾ ട്രാൻസിറ്റ് ഇന്റർഫേസിൽ യഥാർത്ഥ ജീവനക്കാരുടെയോ ലാബിന്റെയോ വിലാസം സ്വീകരിക്കുന്നു. രണ്ട് VLAN-കളും ഒരു ലിങ്കിലൂടെ വരുന്നു, അവയുടെ IP ഐഡന്റിറ്റി അതിനെ അതിജീവിക്കുന്നു.

ആ ഉറവിട വിലാസവും യഥാർത്ഥ ഇൻഗ്രസ് പാതയിലെ ഉദ്ദേശിത ലക്ഷ്യങ്ങളും ഉപയോഗിച്ച് VPN തിരഞ്ഞെടുപ്പ് പ്രകടിപ്പിക്കുക. OPNsense-ന്റെ നിയമ രേഖകൾ സിസ്റ്റം റൂട്ടിംഗ് പിന്തുടരുന്ന ഡിഫോൾട്ട് ഗേറ്റ്‌വേ ക്രമീകരണത്തെയും നയാധിഷ്ഠിത റൂട്ടിംഗ് വിളിക്കുന്ന വ്യക്തമായ ഗേറ്റ്‌വേയെയും വേർതിരിക്കുന്നു. തിരഞ്ഞെടുപ്പ് പാക്കറ്റ് എവിടെ നിന്ന് വന്നു എന്നതിനെ ആശ്രയിക്കുമ്പോൾ വ്യക്തമായ രൂപം ഉപയോഗിക്കുക. സാധാരണ ഡിഫോൾട്ട് റൂട്ടിന് ഉറവിടം നോക്കാൻ യാതൊരു കാരണവുമില്ല.

പ്രാദേശിക ലക്ഷ്യങ്ങൾ വളരെ വിശാലമായ എക്സിറ്റ് നിയമത്തിന് പുറത്ത് നിർത്തുക, നിങ്ങൾ പ്രവർത്തിപ്പിക്കുന്ന റിലീസിനുള്ള പിന്തുണയുള്ള ഗേറ്റ്‌വേ മോഡൽ പരിശോധിക്കുക.

അഞ്ചാം ഘട്ടം: രണ്ട് പാതകളും തെളിയിക്കുക

ഫലം രണ്ട് വാക്യങ്ങളായി എഴുതുക: അംഗീകരിച്ച ലക്ഷ്യങ്ങളിലേക്കുള്ള ജീവനക്കാരുടെ ട്രാഫിക് എക്സിറ്റ് A വഴി പുറത്തുപോകുന്നു, അംഗീകരിച്ച ലക്ഷ്യങ്ങളിലേക്കുള്ള ലാബിന്റെ ട്രാഫിക് എക്സിറ്റ് B വഴി പുറത്തുപോകുന്നു. മടക്ക പാതകൾ, പരിഭാഷാ നിയമങ്ങൾ, ഒരു എക്സിറ്റ് ഡൗൺ ആകുമ്പോഴുള്ള ഉദ്ദേശിത സ്വഭാവം എന്നിവ ചേർക്കുക.

traceroute -n 198.51.100.10

പിന്നെ പ്രാദേശിക അന്തർ-VLAN സേവനം വെവ്വേറെ പരീക്ഷിക്കുക, കാരണം അത് അതേ ഡിസൈനിൽ മറ്റൊരു തീരുമാനം പരിശീലിപ്പിക്കുന്നു.

ഓരോ VLAN-ൽ നിന്നും പുതിയ ഒഴുക്ക്, പ്രവർത്തിക്കുന്ന പ്രാദേശിക സേവനം, രേഖപ്പെടുത്തിയ പരാജയ പാത എന്നിവ ഒരുമിച്ച് ഡിസൈൻ തെളിയിക്കുന്നു; ഒരു വിജയകരമായ ping ആ നിമിഷത്തിൽ ഒരു പാത ഉണ്ടായിരുന്നു എന്ന് മാത്രം തെളിയിക്കുന്നു.