Эхлээд VLAN гарц, дараа нь VPN гарах шийдвэр

Анхдагч гарцыг эзэмшдэг төхөөрөмж гарах бодлого хаана хэрэгжихийг шийддэг. Хоёр VLAN-ыг нэг транзитаар дамжуулж, гаралтыг эх сурвалжаар нь сонгоно уу.

Хоёр VLAN-д өөр өөр VPN гаралт хэрэгтэй бөгөөд эхний асуулт нь ямар бодлого бичих биш, харин аль төхөөрөмж анхдагч гарцад хариу өгөх явдал юм. Хэрэв свич VLAN-уудын хооронд маршрутладаг бол галт хананы дүрэм пакетууд хэзээ ч явахгүй замыг дүрсэлж болно. Гарах бодлогыг хүрэхээс өмнө топологийг тойрч үзээрэй.

Нэгдүгээр алхам: VLAN бүрийн ашигладаг гарцыг олоорой

Клиент бүрээс гарцыг нь асууж, свичээс аль интерфейс VLAN-ыг эзэмшиж байгааг асууна уу. Анхдагч гарц нь дэд сүлжээнээс гарч буй траффикийн эхний маршрутлалтын шийдвэрийг тодорхойлдог тул аль төхөөрөмж бодлого хэрэглэж чадахыг ч тодорхойлдог.

ip route show default
show ip interface brief

Хоёр уялдаатай зохион байгуулалт түгээмэл. Нэг бол галт хана VLAN интерфейсүүдийг эзэмшиж, тэдгээрийн хооронд маршрутладаг, эсвэл олон давхаргат свич тэдгээрийг эзэмшиж, локалаар маршрутлаж, зөвхөн гадаад очих газрыг галт хана руу илгээдэг. Хоёулаа ажилладаг бөгөөд бодлогыг өөр өөр газарт байрлуулдаг.

Нэгийг нь санаатайгаар сонгоорой, учир нь холимог зохион байгуулалт нь дүрмүүд буруу төхөөрөмж дээр үлдэх зам юм.

Хоёрдугаар алхам: локал бодлого хаана амьдрахыг шийдээрэй

Хэрэв свич ажилчид болон лабораторийн хооронд маршрутладаг бол галт хананы дүрэм галт хана руу хэзээ ч хүрдэггүй солилцоог шалгаж чадахгүй. Локал бодлого нь свичийн өөрийн хандалтын хяналтад амьдрах ёстой, эсвэл траффикийг санаатайгаар шалгалтын цэгээр дамжуулах ёстой.

Эсрэг сонголт бас үнэтэй. Галт ханыг VLAN бүрийн гарц болгох нь локалаар маршрутлагдсан траффикийг тухайн төхөөрөмжийн хүчин чадал, хүртээмжийн төлөвлөгөөнд оруулдаг тул галт ханыг дахин эхлүүлэх нь VLAN-уудын хоорондын тасалдал болдог. Свичүүдийг төлөвгүй эсвэл галт ханыг удаан гэж таамаглахын оронд бодит техник хангамжийг үнэлээрэй. Дахин эхлүүлж буй төхөөрөмж нь хоёр завгүй дэд сүлжээний хоорондын зам биш бол хүчин чадлын төлөвлөлт хялбар байдаг.

Чухал нь сонгосон бодлого пакетуудын бодитоор явдаг зам дээр байгаа эсэх юм.

Гуравдугаар алхам: хоёр төхөөрөмжид нэг транзит өгөөрэй

Свич маршрутлаж байх үед нэг транзит дэд сүлжээ нь топологийг уншигдахуйц байлгадаг, хоёр хайрцгийг өрсөлдөгч маршрутлагч болгон клиент VLAN бүр дээр өлгөхийн оронд. Свич клиентийн дэд сүлжээг, галт хана гадаад талыг эзэмшдэг.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Свич гадаад очих газрыг галт хананы транзит хаяг руу илгээдэг бөгөөд галт хана нь свичээр дамжуулан хоёр клиентийн префикс руу буцах маршруттай. Шилжилтийн үеэр удирдлагын хандалт, DHCP гарцын тохиргоо, VLAN гишүүнчлэлийг хөндөгдөхгүй байлгаарай, учир нь тэр гурван зүйл цэвэр шилжилтийг консолын кабельтай үдэш болгодог.

Транзит загвар нь дараагийн галт ханы солилтыг дахин утас татах төсөл биш маршрутлалтын өөрчлөлт болгодог.

Дөрөвдүгээр алхам: ирж буй эх сурвалжаас гаралтыг сонгоорой

Энгийн маршрутлалт, хооронд эх сурвалжийн орчуулгагүй үед галт хана транзит интерфейс дээр ажилчид эсвэл лабораторийн анхны хаягийг хүлээн авдаг. Хоёр VLAN нэг холбоосоор ирдэг бөгөөд тэдгээрийн IP өвөрмөц байдал үүнийг даван туулдаг.

VPN сонголтыг тэр эх сурвалжийн хаяг болон бодит орох замын зорилтот очих газруудыг ашиглан илэрхийлээрэй. OPNsense-ийн дүрмийн баримт бичиг системийн маршрутлалтыг дагадаг анхдагч гарцын тохиргоог бодлогод суурилсан маршрутлалтыг дууддаг тодорхой гарцаас ялгадаг. Сонголт пакет хаанаас ирснээс хамаарах үед тодорхой хэлбэрийг ашиглаарай. Энгийн анхдагч маршрутад эх сурвалж руу харах ямар ч шалтгаан байхгүй.

Локал очих газрыг хэт өргөн гарах дүрмээс гадуур байлгаж, ажиллуулж буй хувилбартаа дэмжигддэг гарцын загварыг шалгаарай.

Тавдугаар алхам: хоёр замыг хоёуланг нь батлаарай

Үр дүнг хоёр өгүүлбэрээр бичээрэй: ажилчдын зөвшөөрөгдсөн очих газар руу чиглэсэн траффик A гаралтаар гардаг, лабораторийн зөвшөөрөгдсөн очих газар руу чиглэсэн траффик B гаралтаар гардаг. Буцах маршрут, орчуулгын дүрэм, гаралт унтарсан үеийн зорилтот зан төлөвийг нэмээрэй.

traceroute -n 198.51.100.10

Дараа нь локал VLAN хоорондын үйлчилгээг тусад нь шалгаарай, учир нь энэ нь ижил загварт өөр шийдвэрийг дасгалжуулдаг.

VLAN бүрээс шинэ урсгал, ажиллаж буй локал үйлчилгээ, баримтжуулсан алдааны зам хамтдаа загварыг баталдаг; нэг амжилттай ping нь тэр мөчид нэг зам байсныг л баталдаг.

Холбоотой нийтлэлүүд