Najpierw brama VLAN, potem decyzja o wyjściu VPN

Urządzenie, które posiada bramę domyślną, decyduje, gdzie można zastosować politykę wyjścia. Przeprowadź obie sieci VLAN przez jeden tranzyt i wybierz wyjście według źródła.

Dwie sieci VLAN potrzebują różnych wyjść VPN, a pierwsze pytanie nie brzmi, jaką politykę napisać, lecz które urządzenie odpowiada na bramę domyślną. Jeśli przełącznik routuje między sieciami VLAN, reguła zapory może opisać ścieżkę, której pakiety nigdy nie pokonają. Przejdź topologię, zanim dotkniesz polityki wyjścia.

Krok pierwszy: znajdź bramę, której używa każda sieć VLAN

Zapytaj każdego klienta o jego bramę i zapytaj przełącznik, który interfejs posiada sieć VLAN. Brama domyślna wyznacza pierwszą decyzję routingu dla ruchu opuszczającego podsieć, więc wyznacza też, które urządzenie może zastosować politykę.

ip route show default
show ip interface brief

Częste są dwa spójne układy. Albo zapora posiada interfejsy VLAN i routuje między nimi, albo przełącznik wielowarstwowy posiada je i routuje lokalnie, wysyłając do zapory tylko cele zewnętrzne. Oba działają i umieszczają politykę w różnych miejscach.

Wybierz jeden świadomie, bo mieszany układ to sposób, w jaki reguły trafiają na niewłaściwe urządzenie.

Krok drugi: zdecyduj, gdzie mieszka polityka lokalna

Jeśli przełącznik routuje między personelem a laboratorium, reguła zapory nie może zbadać wymiany, która nigdy nie dociera do zapory. Polityka lokalna musi mieszkać w kontrolach dostępu samego przełącznika albo ruch trzeba świadomie skierować przez punkt kontrolny.

Odwrotny wybór też ma cenę. Uczynienie zapory bramą każdej sieci VLAN wprowadza lokalnie routowany ruch do planu wydajności i dostępności tego urządzenia, więc restart zapory staje się przerwą między sieciami VLAN. Oceń rzeczywisty sprzęt, zamiast zakładać, że przełączniki są bezstanowe albo zapory wolne. Planowanie wydajności jest łatwiejsze, gdy urządzenie, które restartujesz, nie jest także ścieżką między dwiema zajętymi podsieciami.

Liczy się to, czy wybrana polityka znajduje się na ścieżce, którą pakiety faktycznie podążają.

Krok trzeci: daj obu urządzeniom jeden tranzyt

Gdy przełącznik routuje, jedna podsieć tranzytowa utrzymuje topologię czytelną, zamiast wieszać oba pudełka na każdej sieci VLAN klienta jako rywalizujące routery. Przełącznik posiada podsieci klientów, a zapora posiada zewnętrze.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Przełącznik wysyła cele zewnętrzne na adres tranzytowy zapory, a zapora ma trasy powrotne do obu prefiksów klientów przez przełącznik. Podczas migracji zachowaj nienaruszony dostęp zarządzania, ustawienia bramy DHCP i członkostwo w VLAN, bo te trzy rzeczy zamieniają czyste przełączenie w popołudnie z kablem konsolowym.

Projekt tranzytowy sprawia też, że następna wymiana zapory jest zmianą routingu, a nie projektem ponownego okablowania.

Krok czwarty: wybierz wyjście według przychodzącego źródła

Przy zwykłym routingu i bez tłumaczenia źródła pomiędzy, zapora otrzymuje oryginalny adres personelu lub laboratorium na interfejsie tranzytowym. Obie sieci VLAN przychodzą przez jedno łącze, a ich tożsamość IP to przetrwa.

Wyraź wybór VPN tym adresem źródłowym i zamierzonymi celami na rzeczywistej ścieżce wejścia. Dokumentacja reguł OPNsense rozróżnia ustawienie bramy domyślnej, które podąża za routingiem systemu, od jawnej bramy, która wywołuje routing oparty na polityce. Użyj formy jawnej, gdy wybór zależy od tego, skąd przyszedł pakiet. Zwykła trasa domyślna nie ma powodu patrzeć na źródło.

Trzymaj cele lokalne poza zbyt szeroką regułą wyjścia i sprawdź obsługiwany model bramy dla wersji, którą uruchamiasz.

Krok piąty: udowodnij obie ścieżki

Zapisz wynik w dwóch zdaniach: ruch personelu do zatwierdzonych celów wychodzi przez wyjście A, a ruch laboratorium do zatwierdzonych celów wychodzi przez wyjście B. Dodaj trasy powrotne, reguły tłumaczenia i zamierzone zachowanie, gdy wyjście jest niedostępne.

traceroute -n 198.51.100.10

Następnie przetestuj osobno lokalną usługę między sieciami VLAN, bo ćwiczy inną decyzję w tym samym projekcie.

Świeży strumień z każdej sieci VLAN, działająca usługa lokalna i udokumentowana ścieżka awarii razem dowodzą projektu; jeden udany ping dowodzi tylko, że w tej chwili istniała jedna ścieżka.

Powiązane artykuły