Gateway VLAN dahulu, kemudian keputusan keluar VPN

Dua VLAN memerlukan keluar VPN yang berbeza, dan soalan pertama bukanlah dasar mana yang perlu ditulis tetapi peranti mana yang menjawab gateway lalai. Jika suis menghala antara VLAN, peraturan tembok api boleh menerangkan laluan yang tidak pernah dilalui paket. Telusuri topologi sebelum menyentuh dasar keluar.

Langkah satu: cari gateway yang digunakan setiap VLAN

Tanya setiap klien tentang gatewaynya, dan tanya suis antara muka mana yang memiliki VLAN. Gateway lalai menentukan keputusan penghalaan pertama bagi trafik yang meninggalkan subrangkaian, jadi ia juga menentukan peranti mana yang boleh menggunakan dasar.

ip route show default
show ip interface brief

Dua susun atur yang konsisten biasa ditemui. Sama ada tembok api memiliki antara muka VLAN dan menghala antaranya; atau suis berbilang lapisan memilikinya dan menghala secara setempat, hanya menghantar destinasi luaran ke tembok api. Kedua-duanya berfungsi, dan kedua-duanya meletakkan dasar di tempat berbeza.

Pilih satu dengan sengaja, kerana susun atur bercampur ialah cara peraturan berakhir pada peranti yang salah.

Langkah dua: tentukan di mana dasar setempat berada

Jika suis menghala antara kakitangan dan makmal, peraturan tembok api tidak boleh memeriksa pertukaran yang tidak pernah sampai ke tembok api. Dasar setempat mesti berada dalam kawalan akses suis itu sendiri, atau trafik mesti dihalakan dengan sengaja melalui titik pemeriksaan.

Pilihan sebaliknya juga ada kosnya. Menjadikan tembok api sebagai gateway untuk setiap VLAN meletakkan trafik yang dihala secara setempat ke dalam pelan kapasiti dan ketersediaan peranti itu, jadi but semula tembok api menjadi gangguan antara VLAN. Nilai perkakasan sebenar daripada menganggap suis tidak berkeadaan atau tembok api lambat. Perancangan kapasiti lebih mudah apabila peranti yang anda but semula bukan juga laluan antara dua subrangkaian sibuk.

Yang penting ialah sama ada dasar yang dipilih terletak pada laluan yang benar-benar dilalui paket.

Langkah tiga: beri kedua-dua peranti satu transit

Apabila suis menghala, satu subrangkaian transit mengekalkan topologi mudah dibaca, berbanding menggantung kedua-dua kotak pada setiap VLAN klien sebagai penghala saingan. Suis memiliki subrangkaian klien dan tembok api memiliki bahagian luar.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Suis menghantar destinasi luaran ke alamat transit tembok api, dan tembok api mempunyai laluan pulang ke kedua-dua awalan klien melalui suis. Kekalkan akses pengurusan, tetapan gateway DHCP dan keahlian VLAN utuh semasa migrasi, kerana ketiga-tiganya yang menjadikan peralihan bersih sebagai petang dengan kabel konsol.

Reka bentuk transit juga menjadikan penggantian tembok api seterusnya sebagai perubahan penghalaan dan bukannya projek pendawaian semula.

Langkah empat: pilih keluar daripada sumber yang tiba

Dengan penghalaan biasa dan tiada terjemahan sumber di antaranya, tembok api menerima alamat kakitangan atau makmal asal pada antara muka transit. Kedua-dua VLAN tiba melalui satu pautan, dan identiti IP mereka bertahan daripada itu.

Nyatakan pilihan VPN menggunakan alamat sumber itu dan destinasi yang dimaksudkan pada laluan masuk sebenar. Dokumentasi peraturan OPNsense membezakan tetapan gateway lalai, yang mengikut penghalaan sistem, daripada gateway eksplisit, yang memanggil penghalaan berasaskan dasar. Gunakan bentuk eksplisit apabila pilihan bergantung pada dari mana paket datang. Laluan lalai biasa tidak mempunyai sebab untuk melihat sumber sama sekali.

Jauhkan destinasi setempat daripada peraturan keluar yang terlalu luas, dan semak model gateway yang disokong untuk keluaran yang anda jalankan.

Langkah lima: buktikan kedua-dua laluan

Tulis hasilnya sebagai dua ayat: trafik kakitangan ke destinasi yang diluluskan keluar melalui keluar A, dan trafik makmal ke destinasi yang diluluskan keluar melalui keluar B. Tambah laluan pulang, peraturan terjemahan dan tingkah laku yang dimaksudkan apabila sesuatu keluar tidak berfungsi.

traceroute -n 198.51.100.10

Kemudian uji perkhidmatan setempat antara VLAN secara berasingan, kerana ia melatih keputusan berbeza dalam reka bentuk yang sama.

Aliran baharu daripada setiap VLAN, perkhidmatan setempat yang berfungsi dan laluan kegagalan yang didokumenkan bersama-sama membuktikan reka bentuk; satu ping yang berjaya hanya membuktikan bahawa satu laluan wujud pada saat itu.