Сначала шлюз VLAN, затем решение о выходе VPN

Устройство, владеющее шлюзом по умолчанию, определяет, где можно применить политику выхода. Проведите оба VLAN через один транзит и выбирайте выход по источнику.

Двум VLAN нужны разные выходы VPN, и первый вопрос не в том, какую политику писать, а в том, какое устройство отвечает на шлюз по умолчанию. Если коммутатор маршрутизирует между VLAN, правило межсетевого экрана может описать путь, по которому пакеты никогда не пойдут. Пройдите топологию, прежде чем трогать политику выхода.

Первый шаг: найдите шлюз, который использует каждый VLAN

Спросите каждого клиента о его шлюзе и спросите коммутатор, какой интерфейс владеет VLAN. Шлюз по умолчанию определяет первое решение о маршрутизации для трафика, покидающего подсеть, поэтому он же определяет, какое устройство может применить политику.

ip route show default
show ip interface brief

Обычны две согласованные схемы. Либо межсетевой экран владеет интерфейсами VLAN и маршрутизирует между ними, либо многоуровневый коммутатор владеет ими и маршрутизирует локально, отправляя на межсетевой экран только внешние назначения. Обе работают, и они размещают политику в разных местах.

Выберите одну осознанно, потому что смешанная схема — это путь, которым правила оказываются не на том устройстве.

Второй шаг: решите, где живёт локальная политика

Если коммутатор маршрутизирует между сотрудниками и лабораторией, правило межсетевого экрана не может проверить обмен, который никогда не доходит до экрана. Локальная политика должна жить в собственных средствах контроля доступа коммутатора, либо трафик нужно намеренно направить через точку проверки.

У обратного выбора тоже есть цена. Назначение межсетевого экрана шлюзом для каждого VLAN помещает локально маршрутизируемый трафик в план ёмкости и доступности этого устройства, поэтому перезагрузка экрана становится простоем между VLAN. Оценивайте реальное оборудование, а не предполагайте, что коммутаторы не хранят состояние или что межсетевые экраны медленны. Планировать ёмкость легче, когда перезагружаемое устройство не является также путём между двумя занятыми подсетями.

Важно, находится ли выбранная политика на пути, по которому пакеты действительно идут.

Третий шаг: дайте двум устройствам один транзит

Когда коммутатор маршрутизирует, одна транзитная подсеть сохраняет топологию читаемой, а не подвешивает оба устройства к каждому клиентскому VLAN как конкурирующие маршрутизаторы. Коммутатор владеет клиентскими подсетями, а межсетевой экран внешней стороной.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Коммутатор отправляет внешние назначения на транзитный адрес межсетевого экрана, а у экрана есть обратные маршруты к обоим клиентским префиксам через коммутатор. Сохраняйте неизменными доступ управления, настройки шлюза DHCP и членство в VLAN во время миграции, потому что именно эти три превращают чистый переход в день с консольным кабелем.

Транзитная схема также делает следующую замену межсетевого экрана изменением маршрутизации, а не проектом перекладки кабеля.

Четвёртый шаг: выбирайте выход по приходящему источнику

При обычной маршрутизации и без трансляции источника посередине межсетевой экран получает исходный адрес сотрудников или лаборатории на транзитном интерфейсе. Оба VLAN приходят по одному каналу, и их IP-идентичность это переживает.

Выразите выбор VPN этим адресом источника и предполагаемыми назначениями на реальном пути входа. Документация по правилам OPNsense различает настройку шлюза по умолчанию, которая следует системной маршрутизации, и явный шлюз, который вызывает маршрутизацию на основе политик. Используйте явную форму, когда выбор зависит от того, откуда пришёл пакет. Обычный маршрут по умолчанию не имеет причин смотреть на источник.

Держите локальные назначения вне слишком широкого правила выхода и проверьте поддерживаемую модель шлюза для вашей версии.

Пятый шаг: докажите оба пути

Запишите результат двумя предложениями: трафик сотрудников к одобренным назначениям выходит через выход A, а трафик лаборатории к одобренным назначениям выходит через выход B. Добавьте обратные маршруты, правила трансляции и предполагаемое поведение при недоступном выходе.

traceroute -n 198.51.100.10

Затем отдельно проверьте локальную службу между VLAN, потому что она упражняет другое решение в той же схеме.

Свежий поток из каждого VLAN, работающая локальная служба и документированный путь отказа вместе доказывают схему; один успешный ping доказывает лишь то, что в этот момент существовал один путь.

Похожие статьи