ਪਹਿਲਾਂ VLAN ਗੇਟਵੇ, ਫਿਰ VPN ਐਗਜ਼ਿਟ ਦਾ ਫ਼ੈਸਲਾ

ਦੋ VLAN ਨੂੰ ਵੱਖਰੇ VPN ਐਗਜ਼ਿਟ ਚਾਹੀਦੇ ਹਨ, ਅਤੇ ਪਹਿਲਾ ਸਵਾਲ ਇਹ ਨਹੀਂ ਕਿ ਕਿਹੜੀ ਨੀਤੀ ਲਿਖਣੀ ਹੈ, ਸਗੋਂ ਇਹ ਹੈ ਕਿ ਕਿਹੜਾ ਡਿਵਾਈਸ ਡਿਫ਼ਾਲਟ ਗੇਟਵੇ ਦਾ ਜਵਾਬ ਦਿੰਦਾ ਹੈ। ਜੇ ਸਵਿੱਚ VLAN ਵਿਚਕਾਰ ਰੂਟ ਕਰਦਾ ਹੈ, ਤਾਂ ਫਾਇਰਵਾਲ ਨਿਯਮ ਅਜਿਹਾ ਮਾਰਗ ਦੱਸ ਸਕਦਾ ਹੈ ਜਿਸ ਰਾਹੀਂ ਪੈਕੇਟ ਕਦੇ ਨਹੀਂ ਜਾਂਦੇ। ਐਗਜ਼ਿਟ ਨੀਤੀ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਟੋਪੋਲੋਜੀ ’ਤੇ ਚੱਲੋ।

ਪਹਿਲਾ ਕਦਮ: ਹਰ VLAN ਜੋ ਗੇਟਵੇ ਵਰਤਦਾ ਹੈ, ਲੱਭੋ

ਹਰ ਕਲਾਇੰਟ ਨੂੰ ਉਸ ਦਾ ਗੇਟਵੇ ਪੁੱਛੋ, ਅਤੇ ਸਵਿੱਚ ਨੂੰ ਪੁੱਛੋ ਕਿ ਕਿਹੜਾ ਇੰਟਰਫ਼ੇਸ VLAN ਰੱਖਦਾ ਹੈ। ਡਿਫ਼ਾਲਟ ਗੇਟਵੇ ਸਬਨੈੱਟ ਛੱਡਣ ਵਾਲੇ ਟ੍ਰੈਫ਼ਿਕ ਲਈ ਪਹਿਲਾ ਰੂਟਿੰਗ ਫ਼ੈਸਲਾ ਤੈਅ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਇਹ ਵੀ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕਿਹੜਾ ਡਿਵਾਈਸ ਨੀਤੀ ਲਾਗੂ ਕਰ ਸਕਦਾ ਹੈ।

ip route show default
show ip interface brief

ਦੋ ਸੁਸੰਗਤ ਲੇਆਉਟ ਆਮ ਹਨ। ਜਾਂ ਤਾਂ ਫਾਇਰਵਾਲ VLAN ਇੰਟਰਫ਼ੇਸ ਰੱਖਦਾ ਹੈ ਅਤੇ ਉਨ੍ਹਾਂ ਵਿਚਕਾਰ ਰੂਟ ਕਰਦਾ ਹੈ; ਜਾਂ ਮਲਟੀਲੇਅਰ ਸਵਿੱਚ ਉਹ ਰੱਖਦਾ ਹੈ ਅਤੇ ਸਥਾਨਕ ਤੌਰ ’ਤੇ ਰੂਟ ਕਰਦਾ ਹੈ, ਸਿਰਫ਼ ਬਾਹਰੀ ਟਿਕਾਣੇ ਫਾਇਰਵਾਲ ਨੂੰ ਭੇਜਦਾ ਹੈ। ਦੋਵੇਂ ਕੰਮ ਕਰਦੇ ਹਨ, ਅਤੇ ਉਹ ਨੀਤੀ ਨੂੰ ਵੱਖਰੀਆਂ ਥਾਵਾਂ ’ਤੇ ਰੱਖਦੇ ਹਨ।

ਜਾਣ-ਬੁੱਝ ਕੇ ਇੱਕ ਚੁਣੋ, ਕਿਉਂਕਿ ਮਿਲਿਆ-ਜੁਲਿਆ ਲੇਆਉਟ ਹੀ ਨਿਯਮਾਂ ਦੇ ਗ਼ਲਤ ਡਿਵਾਈਸ ’ਤੇ ਪਹੁੰਚਣ ਦਾ ਤਰੀਕਾ ਹੈ।

ਦੂਜਾ ਕਦਮ: ਤੈਅ ਕਰੋ ਕਿ ਸਥਾਨਕ ਨੀਤੀ ਕਿੱਥੇ ਰਹਿੰਦੀ ਹੈ

ਜੇ ਸਵਿੱਚ ਸਟਾਫ਼ ਅਤੇ ਲੈਬ ਵਿਚਕਾਰ ਰੂਟ ਕਰਦਾ ਹੈ, ਤਾਂ ਫਾਇਰਵਾਲ ਨਿਯਮ ਅਜਿਹੀ ਅਦਲਾ-ਬਦਲੀ ਦੀ ਜਾਂਚ ਨਹੀਂ ਕਰ ਸਕਦਾ ਜੋ ਕਦੇ ਫਾਇਰਵਾਲ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦੀ। ਸਥਾਨਕ ਨੀਤੀ ਸਵਿੱਚ ਦੇ ਆਪਣੇ ਐਕਸੈਸ ਨਿਯੰਤਰਣਾਂ ਵਿੱਚ ਰਹਿਣੀ ਚਾਹੀਦੀ ਹੈ, ਜਾਂ ਟ੍ਰੈਫ਼ਿਕ ਨੂੰ ਜਾਣ-ਬੁੱਝ ਕੇ ਜਾਂਚ ਬਿੰਦੂ ਰਾਹੀਂ ਭੇਜਣਾ ਪਵੇਗਾ।

ਉਲਟ ਚੋਣ ਦੀ ਵੀ ਕੀਮਤ ਹੈ। ਹਰ VLAN ਲਈ ਫਾਇਰਵਾਲ ਨੂੰ ਗੇਟਵੇ ਬਣਾਉਣਾ ਸਥਾਨਕ ਰੂਟ ਹੋਏ ਟ੍ਰੈਫ਼ਿਕ ਨੂੰ ਉਸ ਡਿਵਾਈਸ ਦੀ ਸਮਰੱਥਾ ਅਤੇ ਉਪਲਬਧਤਾ ਯੋਜਨਾ ਵਿੱਚ ਪਾ ਦਿੰਦਾ ਹੈ, ਇਸ ਲਈ ਫਾਇਰਵਾਲ ਰੀਬੂਟ VLAN ਵਿਚਕਾਰ ਰੁਕਾਵਟ ਬਣ ਜਾਂਦਾ ਹੈ। ਸਵਿੱਚ ਸਟੇਟਲੈੱਸ ਜਾਂ ਫਾਇਰਵਾਲ ਹੌਲੀ ਹਨ ਇਹ ਮੰਨਣ ਦੀ ਬਜਾਏ ਅਸਲ ਹਾਰਡਵੇਅਰ ਦਾ ਮੁਲਾਂਕਣ ਕਰੋ। ਸਮਰੱਥਾ ਯੋਜਨਾ ਸੌਖੀ ਹੁੰਦੀ ਹੈ ਜਦੋਂ ਤੁਸੀਂ ਜਿਸ ਡਿਵਾਈਸ ਨੂੰ ਰੀਬੂਟ ਕਰਦੇ ਹੋ ਉਹ ਦੋ ਵਿਅਸਤ ਸਬਨੈੱਟਾਂ ਵਿਚਕਾਰ ਦਾ ਮਾਰਗ ਵੀ ਨਾ ਹੋਵੇ।

ਮਹੱਤਵਪੂਰਨ ਇਹ ਹੈ ਕਿ ਚੁਣੀ ਨੀਤੀ ਉਸ ਮਾਰਗ ’ਤੇ ਹੈ ਜਿਸ ’ਤੇ ਪੈਕੇਟ ਅਸਲ ਵਿੱਚ ਚੱਲਦੇ ਹਨ।

ਤੀਜਾ ਕਦਮ: ਦੋਵੇਂ ਡਿਵਾਈਸਾਂ ਨੂੰ ਇੱਕ ਟ੍ਰਾਂਜ਼ਿਟ ਦਿਓ

ਜਦੋਂ ਸਵਿੱਚ ਰੂਟ ਕਰਦਾ ਹੈ, ਇੱਕ ਟ੍ਰਾਂਜ਼ਿਟ ਸਬਨੈੱਟ ਟੋਪੋਲੋਜੀ ਨੂੰ ਪੜ੍ਹਨਯੋਗ ਰੱਖਦਾ ਹੈ, ਦੋਵੇਂ ਬਾਕਸਾਂ ਨੂੰ ਹਰ ਕਲਾਇੰਟ VLAN ’ਤੇ ਵਿਰੋਧੀ ਰਾਊਟਰ ਵਜੋਂ ਲਟਕਾਉਣ ਦੀ ਬਜਾਏ। ਸਵਿੱਚ ਕਲਾਇੰਟ ਸਬਨੈੱਟ ਰੱਖਦਾ ਹੈ ਅਤੇ ਫਾਇਰਵਾਲ ਬਾਹਰੀ ਪਾਸਾ ਰੱਖਦਾ ਹੈ।

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

ਸਵਿੱਚ ਬਾਹਰੀ ਟਿਕਾਣੇ ਫਾਇਰਵਾਲ ਦੇ ਟ੍ਰਾਂਜ਼ਿਟ ਪਤੇ ’ਤੇ ਭੇਜਦਾ ਹੈ, ਅਤੇ ਫਾਇਰਵਾਲ ਕੋਲ ਸਵਿੱਚ ਰਾਹੀਂ ਦੋਵੇਂ ਕਲਾਇੰਟ ਪ੍ਰੀਫ਼ਿਕਸਾਂ ਲਈ ਵਾਪਸੀ ਮਾਰਗ ਹਨ। ਮਾਈਗ੍ਰੇਸ਼ਨ ਦੌਰਾਨ ਪ੍ਰਬੰਧਨ ਪਹੁੰਚ, DHCP ਗੇਟਵੇ ਸੈਟਿੰਗਾਂ ਅਤੇ VLAN ਮੈਂਬਰਸ਼ਿਪ ਨੂੰ ਅਟੁੱਟ ਰੱਖੋ, ਕਿਉਂਕਿ ਉਹੀ ਤਿੰਨ ਚੀਜ਼ਾਂ ਇੱਕ ਸਾਫ਼ ਬਦਲਾਅ ਨੂੰ ਕਨਸੋਲ ਕੇਬਲ ਵਾਲੀ ਦੁਪਹਿਰ ਵਿੱਚ ਬਦਲਦੀਆਂ ਹਨ।

ਟ੍ਰਾਂਜ਼ਿਟ ਡਿਜ਼ਾਈਨ ਅਗਲੀ ਫਾਇਰਵਾਲ ਬਦਲੀ ਨੂੰ ਰੀਵਾਇਰਿੰਗ ਪ੍ਰੋਜੈਕਟ ਦੀ ਬਜਾਏ ਰੂਟਿੰਗ ਬਦਲਾਅ ਬਣਾ ਦਿੰਦਾ ਹੈ।

ਚੌਥਾ ਕਦਮ: ਆਉਂਦੇ ਸਰੋਤ ਤੋਂ ਐਗਜ਼ਿਟ ਚੁਣੋ

ਆਮ ਰੂਟਿੰਗ ਅਤੇ ਵਿਚਕਾਰ ਸਰੋਤ ਅਨੁਵਾਦ ਤੋਂ ਬਿਨਾਂ, ਫਾਇਰਵਾਲ ਟ੍ਰਾਂਜ਼ਿਟ ਇੰਟਰਫ਼ੇਸ ’ਤੇ ਅਸਲ ਸਟਾਫ਼ ਜਾਂ ਲੈਬ ਪਤਾ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ। ਦੋਵੇਂ VLAN ਇੱਕ ਲਿੰਕ ਰਾਹੀਂ ਆਉਂਦੇ ਹਨ, ਅਤੇ ਉਨ੍ਹਾਂ ਦੀ IP ਪਛਾਣ ਇਹ ਝੱਲ ਲੈਂਦੀ ਹੈ।

ਉਸ ਸਰੋਤ ਪਤੇ ਅਤੇ ਅਸਲ ਇਨਗ੍ਰੈਸ ਮਾਰਗ ’ਤੇ ਇੱਛਤ ਟਿਕਾਣਿਆਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ VPN ਚੋਣ ਪ੍ਰਗਟ ਕਰੋ। OPNsense ਦਾ ਨਿਯਮ ਦਸਤਾਵੇਜ਼ ਡਿਫ਼ਾਲਟ ਗੇਟਵੇ ਸੈਟਿੰਗ, ਜੋ ਸਿਸਟਮ ਰੂਟਿੰਗ ਦੀ ਪਾਲਣਾ ਕਰਦੀ ਹੈ, ਅਤੇ ਸਪਸ਼ਟ ਗੇਟਵੇ, ਜੋ ਨੀਤੀ-ਆਧਾਰਿਤ ਰੂਟਿੰਗ ਨੂੰ ਸੱਦਦਾ ਹੈ, ਵਿਚਕਾਰ ਫ਼ਰਕ ਕਰਦਾ ਹੈ। ਜਦੋਂ ਚੋਣ ਇਸ ’ਤੇ ਨਿਰਭਰ ਕਰੇ ਕਿ ਪੈਕੇਟ ਕਿੱਥੋਂ ਆਇਆ, ਤਾਂ ਸਪਸ਼ਟ ਰੂਪ ਵਰਤੋ। ਆਮ ਡਿਫ਼ਾਲਟ ਰੂਟ ਕੋਲ ਸਰੋਤ ਵੱਲ ਦੇਖਣ ਦਾ ਕੋਈ ਕਾਰਨ ਨਹੀਂ ਹੁੰਦਾ।

ਸਥਾਨਕ ਟਿਕਾਣਿਆਂ ਨੂੰ ਬਹੁਤ ਚੌੜੇ ਐਗਜ਼ਿਟ ਨਿਯਮ ਤੋਂ ਬਾਹਰ ਰੱਖੋ, ਅਤੇ ਜੋ ਰਿਲੀਜ਼ ਤੁਸੀਂ ਚਲਾਉਂਦੇ ਹੋ ਉਸ ਲਈ ਸਮਰਥਿਤ ਗੇਟਵੇ ਮਾਡਲ ਜਾਂਚੋ।

ਪੰਜਵਾਂ ਕਦਮ: ਦੋਵੇਂ ਮਾਰਗ ਸਾਬਤ ਕਰੋ

ਨਤੀਜਾ ਦੋ ਵਾਕਾਂ ਵਿੱਚ ਲਿਖੋ: ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਟਿਕਾਣਿਆਂ ਵੱਲ ਸਟਾਫ਼ ਦਾ ਟ੍ਰੈਫ਼ਿਕ ਐਗਜ਼ਿਟ A ਰਾਹੀਂ ਨਿਕਲਦਾ ਹੈ, ਅਤੇ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਟਿਕਾਣਿਆਂ ਵੱਲ ਲੈਬ ਦਾ ਟ੍ਰੈਫ਼ਿਕ ਐਗਜ਼ਿਟ B ਰਾਹੀਂ ਨਿਕਲਦਾ ਹੈ। ਵਾਪਸੀ ਮਾਰਗ, ਅਨੁਵਾਦ ਨਿਯਮ ਅਤੇ ਕੋਈ ਐਗਜ਼ਿਟ ਬੰਦ ਹੋਣ ’ਤੇ ਇੱਛਤ ਵਿਵਹਾਰ ਜੋੜੋ।

traceroute -n 198.51.100.10

ਫਿਰ ਸਥਾਨਕ ਅੰਤਰ-VLAN ਸੇਵਾ ਵੱਖਰੇ ਤੌਰ ’ਤੇ ਟੈਸਟ ਕਰੋ, ਕਿਉਂਕਿ ਇਹ ਉਸੇ ਡਿਜ਼ਾਈਨ ਵਿੱਚ ਵੱਖਰਾ ਫ਼ੈਸਲਾ ਵਰਤਦੀ ਹੈ।

ਹਰ VLAN ਤੋਂ ਨਵਾਂ ਪ੍ਰਵਾਹ, ਕੰਮ ਕਰਦੀ ਸਥਾਨਕ ਸੇਵਾ ਅਤੇ ਦਸਤਾਵੇਜ਼ੀ ਅਸਫਲਤਾ-ਮਾਰਗ ਮਿਲ ਕੇ ਡਿਜ਼ਾਈਨ ਸਾਬਤ ਕਰਦੇ ਹਨ; ਇੱਕ ਸਫਲ ping ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਉਸ ਪਲ ਇੱਕ ਮਾਰਗ ਮੌਜੂਦ ਸੀ।