Najprv brána VLAN, potom rozhodnutie o výstupe VPN

Dve VLAN potrebujú rôzne výstupy VPN a prvá otázka nie je, akú politiku napísať, ale ktoré zariadenie odpovedá na predvolenú bránu. Ak smerovač smeruje medzi VLAN, pravidlo brány firewall môže opísať cestu, ktorou pakety nikdy nejdú. Prejdite topológiu, skôr než sa dotknete výstupnej politiky.

Prvý krok: nájdite bránu, ktorú používa každá VLAN

Opýtajte sa každého klienta na jeho bránu a opýtajte sa prepínača, ktoré rozhranie vlastní VLAN. Predvolená brána určuje prvé rozhodnutie o smerovaní prevádzky opúšťajúcej podsiete, preto určuje aj to, ktoré zariadenie môže uplatniť politiku.

ip route show default
show ip interface brief

Bežné sú dve súvislé usporiadania. Buď brána firewall vlastní rozhrania VLAN a smeruje medzi nimi, alebo viacvrstvový prepínač ich vlastní a smeruje lokálne a posiela bráne firewall iba externé ciele. Obe fungujú a umiestňujú politiku na rôzne miesta.

Vyberte jedno zámerne, pretože zmiešané usporiadanie je spôsob, akým pravidlá skončia na nesprávnom zariadení.

Druhý krok: rozhodnite, kde žije lokálna politika

Ak prepínač smeruje medzi zamestnancami a laboratóriom, pravidlo brány firewall nemôže skontrolovať výmenu, ktorá sa k bráne nikdy nedostane. Lokálna politika musí žiť vo vlastných prístupových kontrolách prepínača, alebo sa prevádzka musí zámerne viesť cez kontrolný bod.

Opačná voľba má tiež cenu. Urobiť z brány firewall bránu pre každú VLAN stavia lokálne smerovanú prevádzku do plánu kapacity a dostupnosti tohto zariadenia, takže reštart brány firewall sa stane výpadkom medzi VLAN. Hodnoťte skutočný hardvér namiesto predpokladu, že prepínače sú bezstavové alebo brány firewall pomalé. Plánovanie kapacity je ľahšie, keď zariadenie, ktoré reštartujete, nie je aj cestou medzi dvoma vyťaženými podsietami.

Záleží na tom, či zvolená politika leží na ceste, ktorou pakety skutočne idú.

Tretí krok: dajte obom zariadeniam jeden tranzit

Keď prepínač smeruje, jediná tranzitná podsieť udržiava topológiu čitateľnou, namiesto zavesenia oboch škatúľ na každú klientsku VLAN ako súperiacich smerovačov. Prepínač vlastní klientske podsiete a brána firewall vlastní vonkajšok.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Prepínač posiela externé ciele na tranzitnú adresu brány firewall a brána firewall má spätné trasy do oboch klientskych prefixov cez prepínač. Počas migrácie zachovajte nedotknutý prístup na správu, nastavenia brány DHCP a členstvo vo VLAN, pretože práve tie tri menia čisté prepnutie na popoludnie s konzolovým káblom.

Tranzitný návrh tiež robí z ďalšej výmeny brány firewall zmenu smerovania, nie projekt prekablovania.

Štvrtý krok: vyberte výstup podľa prichádzajúceho zdroja

Pri bežnom smerovaní a bez prekladu zdroja medzi tým brána firewall prijme na tranzitnom rozhraní pôvodnú adresu zamestnancov alebo laboratória. Obe VLAN prichádzajú cez jedno spojenie a ich IP identita to prežije.

Vyjadrite voľbu VPN pomocou tej zdrojovej adresy a zamýšľaných cieľov na skutočnej vstupnej ceste. Dokumentácia pravidiel OPNsense rozlišuje nastavenie predvolenej brány, ktoré nasleduje systémové smerovanie, od explicitnej brány, ktorá vyvoláva smerovanie založené na politike. Použite explicitnú formu, keď voľba závisí od toho, odkiaľ paket prišiel. Bežná predvolená trasa nemá dôvod pozerať sa na zdroj.

Držte lokálne ciele mimo príliš širokého výstupného pravidla a skontrolujte podporovaný model brány pre verziu, ktorú prevádzkujete.

Piaty krok: dokážte obe cesty

Napíšte výsledok ako dve vety: prevádzka zamestnancov k schváleným cieľom vychádza cez výstup A a prevádzka laboratória k schváleným cieľom vychádza cez výstup B. Pridajte spätné trasy, pravidlá prekladu a zamýšľané správanie, keď je výstup nedostupný.

traceroute -n 198.51.100.10

Potom samostatne otestujte lokálnu službu medzi VLAN, pretože precvičuje iné rozhodnutie v tom istom návrhu.

Čerstvý tok z každej VLAN, fungujúca lokálna služba a zdokumentovaná cesta pri výpadku spolu dokazujú návrh; jediný úspešný ping dokazuje len to, že v tej chvíli existovala jedna cesta.