Mai întâi poarta VLAN, apoi decizia privind ieșirea VPN

Două VLAN au nevoie de ieșiri VPN diferite, iar prima întrebare nu este ce politică se scrie, ci ce dispozitiv răspunde la poarta implicită. Dacă un switch rutează între VLAN-uri, o regulă de firewall poate descrie o cale pe care pachetele nu o urmează niciodată. Parcurgeți topologia înainte de a atinge politica de ieșire.

Primul pas: găsiți poarta pe care o folosește fiecare VLAN

Întrebați fiecare client despre poarta sa și întrebați switch-ul ce interfață deține VLAN-ul. Poarta implicită determină prima decizie de rutare pentru traficul care părăsește subrețeaua, deci determină și ce dispozitiv poate aplica o politică.

ip route show default
show ip interface brief

Sunt obișnuite două configurații coerente. Fie firewall-ul deține interfețele VLAN și rutează între ele, fie switch-ul multistrat le deține și rutează local, trimițând la firewall doar destinațiile externe. Ambele funcționează și așază politica în locuri diferite.

Alegeți una în mod deliberat, pentru că o configurație mixtă este modul în care regulile ajung pe dispozitivul greșit.

Al doilea pas: decideți unde locuiește politica locală

Dacă switch-ul rutează între personal și laborator, o regulă de firewall nu poate inspecta un schimb care nu ajunge niciodată la firewall. Politica locală trebuie să locuiască în controalele de acces ale switch-ului, sau traficul trebuie direcționat intenționat printr-un punct de inspecție.

Și alegerea inversă are un cost. Transformarea firewall-ului în poartă pentru fiecare VLAN pune traficul rutat local în planul de capacitate și disponibilitate al acelui echipament, astfel încât o repornire a firewall-ului devine o întrerupere între VLAN-uri. Evaluați hardware-ul real în loc să presupuneți că switch-urile sunt fără stare sau că firewall-urile sunt lente. Planificarea capacității este mai ușoară când dispozitivul pe care îl reporniți nu este și calea dintre două subrețele aglomerate.

Contează dacă politica aleasă se află pe calea pe care pachetele o urmează efectiv.

Al treilea pas: dați celor două dispozitive un singur tranzit

Când switch-ul rutează, o singură subrețea de tranzit păstrează topologia lizibilă, în loc să atârne ambele cutii de fiecare VLAN de client ca routere rivale. Switch-ul deține subrețelele clienților, iar firewall-ul deține exteriorul.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Switch-ul trimite destinațiile externe la adresa de tranzit a firewall-ului, iar firewall-ul are rute de întoarcere către ambele prefixe de client prin switch. Păstrați intacte accesul de administrare, setările de poartă DHCP și apartenența la VLAN în timpul migrării, pentru că acestea trei transformă o tranziție curată într-o după-amiază cu un cablu de consolă.

Un design de tranzit face și următoarea înlocuire a firewall-ului o schimbare de rutare, nu un proiect de recablare.

Al patrulea pas: alegeți ieșirea după sursa care sosește

Cu rutare obișnuită și fără traducere a sursei între ele, firewall-ul primește adresa originală a personalului sau a laboratorului pe interfața de tranzit. Ambele VLAN sosesc pe o singură legătură, iar identitățile lor IP rezistă.

Exprimați alegerea VPN cu acea adresă de sursă și destinațiile prevăzute pe calea reală de intrare. Documentația regulilor OPNsense distinge o setare de poartă implicită, care urmează rutarea sistemului, de o poartă explicită, care invocă rutarea bazată pe politici. Folosiți forma explicită atunci când alegerea depinde de unde a venit pachetul. O rută implicită obișnuită nu are niciun motiv să se uite la sursă.

Țineți destinațiile locale în afara unei reguli de ieșire prea largi și verificați modelul de poartă acceptat pentru versiunea pe care o rulați.

Al cincilea pas: dovediți ambele căi

Scrieți rezultatul în două propoziții: traficul personalului către destinații aprobate iese prin ieșirea A, iar traficul laboratorului către destinații aprobate iese prin ieșirea B. Adăugați rutele de întoarcere, regulile de traducere și comportamentul dorit când o ieșire este indisponibilă.

traceroute -n 198.51.100.10

Apoi testați separat un serviciu local între VLAN-uri, pentru că exersează o altă decizie în același design.

Un flux nou din fiecare VLAN, un serviciu local funcțional și o cale de eșec documentată dovedesc împreună designul; un singur ping reușit dovedește doar că în acel moment exista o singură cale.