Prvo gateway na VLAN-u, zatim odluka o VPN izlazu

Dva VLAN-a trebaju različite VPN izlaze, a prvo pitanje nije koju politiku pisati nego koji uređaj odgovara na zadani gateway. Ako prekidač usmjerava između VLAN-ova, pravilo vatrozida može opisati put kojim paketi nikada ne idu. Prođite topologiju prije nego dirnete politiku izlaza.

Prvi korak: pronađite gateway koji koristi svaki VLAN

Pitajte svakog klijenta za njegov gateway i pitajte prekidač koje sučelje posjeduje VLAN. Zadani gateway određuje prvu odluku usmjeravanja za promet koji napušta podmrežu, pa određuje i koji uređaj može primijeniti politiku.

ip route show default
show ip interface brief

Uobičajena su dva skladna rasporeda. Vatrozid posjeduje VLAN sučelja i usmjerava između njih; ili višeslojni prekidač posjeduje njih i usmjerava lokalno, šaljući samo vanjska odredišta vatrozidu. Oba rade i smještaju politiku na različita mjesta.

Odaberite jedan namjerno, jer mješoviti raspored je način na koji pravila završe na pogrešnom uređaju.

Drugi korak: odlučite gdje živi lokalna politika

Ako prekidač usmjerava između osoblja i laboratorija, pravilo vatrozida ne može pregledati razmjenu koja nikada ne stigne do vatrozida. Lokalna politika mora živjeti u vlastitim kontrolama pristupa prekidača, ili se promet mora namjerno usmjeriti kroz točku pregleda.

Obrnuti izbor također ima cijenu. Postavljanje vatrozida kao gatewaya za svaki VLAN stavlja lokalni usmjereni promet u plan kapaciteta i dostupnosti tog uređaja, pa ponovno pokretanje vatrozida postaje prekid između VLAN-ova. Procijenite stvarni hardver umjesto da pretpostavljate da su prekidači bez stanja ili da su vatrozidi spori. Planiranje kapaciteta lakše je kada uređaj koji ponovno pokrećete nije i put između dvije zauzete podmreže.

Važno je nalazi li se odabrana politika na putu kojim paketi stvarno idu.

Treći korak: dajte dvama uređajima jedan tranzit

Kada prekidač usmjerava, jedna tranzitna podmreža drži topologiju čitljivom, umjesto da objema kutijama objesi svaki klijentski VLAN kao suparničke usmjerivače. Prekidač posjeduje klijentske podmreže, a vatrozid posjeduje vanjsku stranu.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Prekidač šalje vanjska odredišta na tranzitnu adresu vatrozida, a vatrozid ima povratne rute do oba klijentska prefiksa kroz prekidač. Tijekom migracije održite upravljački pristup, DHCP postavke gatewaya i članstvo u VLAN-u netaknutima, jer to troje pretvara čistu zamjenu u poslijepodne s konzolnim kablom.

Tranzitni dizajn također čini sljedeću zamjenu vatrozida promjenom usmjeravanja, a ne projektom ponovnog kabliranja.

Četvrti korak: odaberite izlaz prema izvoru koji dolazi

Uz obično usmjeravanje i bez prevođenja izvora između, vatrozid prima izvornu adresu osoblja ili laboratorija na tranzitnom sučelju. Oba VLAN-a dolaze preko jedne veze i njihovi IP identiteti to preživljavaju.

Izrazite izbor VPN-a koristeći tu izvornu adresu i namjeravana odredišta na stvarnom ulaznom putu. Dokumentacija o pravilima OPNsense razlikuje postavku zadanog gatewaya, koja slijedi sistemsko usmjeravanje, od eksplicitnog gatewaya, koji pokreće usmjeravanje temeljeno na politici. Upotrijebite eksplicitni oblik kada izbor ovisi o tome odakle je paket došao. Obična zadana ruta nema razloga gledati izvor.

Držite lokalna odredišta izvan preširokog pravila izlaza i provjerite podržani model gatewaya za izdanje koje pokrećete.

Peti korak: dokažite oba puta

Zapišite rezultat u dvije rečenice: promet osoblja prema odobrenim odredištima izlazi kroz izlaz A, a promet laboratorija prema odobrenim odredištima izlazi kroz izlaz B. Dodajte povratne rute, pravila prevođenja i namjeravano ponašanje kada je izlaz nedostupan.

traceroute -n 198.51.100.10

Zatim odvojeno testirajte lokalnu uslugu između VLAN-ova, jer ona vježba drugu odluku u istom dizajnu.

Svjež tok sa svakog VLAN-a, ispravna lokalna usluga i dokumentiran put pri ispadu zajedno dokazuju dizajn; jedan uspješan ping dokazuje samo da je jedan put postojao u tom trenutku.