L-ewwel il-gateway tal-VLAN, imbagħad id-deċiżjoni tal-ħruġ tal-VPN

Żewġ VLAN għandhom bżonn ħruġ VPN differenti, u l-ewwel mistoqsija mhix liema politika għandha tinkiteb iżda liema apparat iwieġeb għall-gateway default. Jekk switch jirroutja bejn il-VLAN, regola tal-firewall tista' tiddeskrivi mogħdija li l-pakketti qatt ma jieħdu. Mexxi t-topoloġija qabel ma tmiss il-politika tal-ħruġ.

L-ewwel pass: sib il-gateway li tuża kull VLAN

Staqsi lil kull klijent dwar il-gateway tiegħu, u staqsi lis-switch liema interface tippossjedi l-VLAN. Il-gateway default jiddetermina l-ewwel deċiżjoni tar-routing għat-traffiku li joħroġ mis-subnet, għalhekk jiddetermina wkoll liema apparat jista' japplika politika.

ip route show default
show ip interface brief

Żewġ layouts koerenti huma komuni. Jew il-firewall jippossjedi l-interfaces VLAN u jirroutja bejniethom, jew is-switch multilivell jippossjedihom u jirroutja lokalment, u jibgħat biss id-destinazzjonijiet esterni lill-firewall. It-tnejn jaħdmu, u jqiegħdu l-politika f'postijiet differenti.

Agħżel waħda b'mod deliberat, għax layout imħallat huwa l-mod kif ir-regoli jispiċċaw fuq l-apparat żbaljat.

It-tieni pass: iddeċiedi fejn tgħix il-politika lokali

Jekk is-switch jirroutja bejn il-persunal u l-laboratorju, regola tal-firewall ma tistax tispezzjona skambju li qatt ma jasal sal-firewall. Il-politika lokali trid tgħix fil-kontrolli tal-aċċess tas-switch stess, jew it-traffiku jrid jiġi dirett apposta minn punt ta' spezzjoni.

Il-għażla opposta għandha prezz ukoll. Li l-firewall isir il-gateway għal kull VLAN iqiegħed it-traffiku rrutjat lokalment fil-pjan tal-kapaċità u d-disponibbiltà ta' dak l-apparat, għalhekk restart tal-firewall isir waqfa bejn il-VLAN. Evalwa l-hardware reali minflok ma tassumi li s-switches huma bla stat jew li l-firewalls huma bil-mod. L-ippjanar tal-kapaċità huwa aktar faċli meta l-apparat li terġa' tibda mhuwiex ukoll il-mogħdija bejn żewġ subnet mgħobbija.

Dak li jgħodd huwa jekk il-politika magħżula tinsabx fuq il-mogħdija li l-pakketti tassew isegwu.

It-tielet pass: agħti liż-żewġ apparati transit wieħed

Meta s-switch jirroutja, subnet transit wieħed iżomm it-topoloġija tinqara, minflok ma jdendel iż-żewġ kaxxi fuq kull VLAN tal-klijent bħala routers rivali. Is-switch jippossjedi s-subnets tal-klijenti u l-firewall jippossjedi barra.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Is-switch jibgħat id-destinazzjonijiet esterni fl-indirizz tat-transit tal-firewall, u l-firewall għandu rotot ta' ritorn għaż-żewġ prefissi tal-klijent permezz tas-switch. Żomm l-aċċess tal-ġestjoni, is-settings tal-gateway DHCP u s-sħubija fil-VLAN intatti waqt il-migrazzjoni, għax dawk it-tlieta huma li jbiddlu qlib nadif f'wara nofsinhar b'kejbil tal-console.

Disinn tat-transit jagħmel ukoll is-sostituzzjoni li jmiss tal-firewall bidla fir-routing minflok proġett ta' tiswir mill-ġdid.

Ir-raba' pass: agħżel il-ħruġ mis-sors li jasal

B'routing ordinarju u mingħajr traduzzjoni tas-sors bejniethom, il-firewall jirċievi l-indirizz oriġinali tal-persunal jew tal-laboratorju fuq l-interface tat-transit. Iż-żewġ VLAN jaslu fuq link wieħed, u l-identitajiet IP tagħhom jgħaddu minn hekk.

Esprimi l-għażla tal-VPN b'dak l-indirizz tas-sors u d-destinazzjonijiet maħsuba fuq il-mogħdija tad-dħul reali. Id-dokumentazzjoni tar-regoli ta' OPNsense tiddistingwi setting tal-gateway default, li jsegwi r-routing tas-sistema, minn gateway espliċitu, li jsejjaħ routing ibbażat fuq il-politika. Uża l-forma espliċita meta l-għażla tiddependi minn fejn ġie l-pakkett. Rotta default normali m'għandha ebda raġuni tħares lejn is-sors.

Żomm id-destinazzjonijiet lokali barra minn regola tal-ħruġ wisgħa wisq, u ċċekkja l-mudell tal-gateway appoġġjat għall-verżjoni li tmexxi.

Il-ħames pass: ipprova ż-żewġ mogħdijiet

Ikteb ir-riżultat bħala żewġ sentenzi: it-traffiku tal-persunal lejn destinazzjonijiet approvati joħroġ mill-ħruġ A, u t-traffiku tal-laboratorju lejn destinazzjonijiet approvati joħroġ mill-ħruġ B. Żid ir-rotot tar-ritorn, ir-regoli tat-traduzzjoni u l-imġiba maħsuba meta ħruġ ikun barra.

traceroute -n 198.51.100.10

Imbagħad iċċekkja servizz lokali bejn il-VLAN separatament, għax jeżerċita deċiżjoni differenti fl-istess disinn.

Fluss ġdid minn kull VLAN, servizz lokali li jaħdem u mogħdija tal-falliment dokumentata flimkien jippruvaw id-disinn; ping wieħed li jirnexxi jipprova biss li f'dak il-mument kienet teżisti mogħdija waħda.