Najprej prehod VLAN, nato odločitev o izhodu VPN

Naprava, ki ima privzeti prehod, odloča, kje se lahko uporabi izhodna politika. Obe VLAN speljite skozi en tranzit in izberite izhod glede na vir.

Dve VLAN potrebujeta različna izhoda VPN, in prvo vprašanje ni, katero politiko napisati, ampak katera naprava odgovarja na privzeti prehod. Če stikalo usmerja med VLAN, lahko pravilo požarnega zidu opiše pot, po kateri paketi nikoli ne gredo. Preglejte topologijo, preden se dotaknete izhodne politike.

Prvi korak: poiščite prehod, ki ga uporablja vsaka VLAN

Vsakega odjemalca vprašajte za njegov prehod in stikalo vprašajte, kateri vmesnik ima VLAN. Privzeti prehod določi prvo odločitev o usmerjanju prometa, ki zapusti podomrežje, zato določi tudi, katera naprava lahko uporabi politiko.

ip route show default
show ip interface brief

Pogosti sta dve skladni postavitvi. Bodisi požarni zid ima vmesnike VLAN in usmerja med njimi, bodisi večplastno stikalo jih ima in usmerja lokalno ter pošilja požarnemu zidu samo zunanje cilje. Obe delujeta in politiko postavljata na različna mesta.

Izberite eno namerno, ker je mešana postavitev način, kako pravila končajo na napačni napravi.

Drugi korak: odločite, kje živi lokalna politika

Če stikalo usmerja med osebjem in laboratorijem, pravilo požarnega zidu ne more pregledati izmenjave, ki nikoli ne doseže požarnega zidu. Lokalna politika mora živeti v lastnih nadzorih dostopa stikala, ali pa je treba promet namerno speljati skozi pregledno točko.

Tudi obratna izbira ima ceno. Če požarni zid postane prehod za vsako VLAN, lokalno usmerjen promet vstopi v načrt zmogljivosti in razpoložljivosti te naprave, zato ponovni zagon požarnega zidu postane prekinitev med VLAN. Ocenite dejansko strojno opremo, namesto da predpostavljate, da so stikala brez stanja ali da so požarni zidovi počasni. Načrtovanje zmogljivosti je lažje, ko naprava, ki jo znova zaženete, ni tudi pot med dvema zasedenima podomrežjema.

Pomembno je, ali izbrana politika leži na poti, po kateri paketi resnično gredo.

Tretji korak: dajte obema napravama en tranzit

Ko stikalo usmerja, eno tranzitno podomrežje ohranja topologijo berljivo, namesto da bi obe škatli obesili na vsako odjemalsko VLAN kot tekmujoča usmerjevalnika. Stikalo ima odjemalska podomrežja, požarni zid pa zunanjost.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Stikalo pošilja zunanje cilje na tranzitni naslov požarnega zidu, požarni zid pa ima povratne poti do obeh odjemalskih predpon prek stikala. Med selitvijo ohranite nedotaknjen dostop za upravljanje, nastavitve prehoda DHCP in članstvo v VLAN, ker prav te tri spremenijo čist preklop v popoldne s konzolno vrvico.

Tranzitna zasnova tudi naslednjo zamenjavo požarnega zidu spremeni v spremembo usmerjanja, ne v projekt ponovnega ožičenja.

Četrti korak: izberite izhod glede na prihajajoči vir

Pri običajnem usmerjanju in brez prevajanja vira vmes požarni zid na tranzitnem vmesniku prejme prvotni naslov osebja ali laboratorija. Obe VLAN prideta po eni povezavi in njuna identiteta IP to preživi.

Izrazite izbiro VPN s tem naslovom vira in predvidenimi cilji na dejanski vstopni poti. Dokumentacija pravil OPNsense razlikuje nastavitev privzetega prehoda, ki sledi sistemskemu usmerjanju, od izrecnega prehoda, ki sproži usmerjanje na podlagi politik. Uporabite izrecno obliko, ko je izbira odvisna od tega, od kod je paket prišel. Običajna privzeta pot nima nobenega razloga, da bi gledala na vir.

Lokalne cilje držite zunaj preširokega izhodnega pravila in preverite podprti model prehoda za različico, ki jo poganjate.

Peti korak: dokažite obe poti

Rezultat zapišite v dveh stavkih: promet osebja do odobrenih ciljev izhaja skozi izhod A, promet laboratorija do odobrenih ciljev pa skozi izhod B. Dodajte povratne poti, pravila prevajanja in predvideno vedenje, ko je izhod nedosegljiv.

traceroute -n 198.51.100.10

Nato ločeno preizkusite lokalno storitev med VLAN, ker vadi drugačno odločitev v isti zasnovi.

Svež tok iz vsake VLAN, delujoča lokalna storitev in dokumentirana pot ob odpovedi skupaj dokažejo zasnovo; en sam uspešen ping dokaže le, da je v tistem trenutku obstajala ena pot.

Sorodni članki