Së pari porta e VLAN-it, pastaj vendimi për daljen e VPN-së

Dy VLAN kanë nevojë për dalje të ndryshme VPN, dhe pyetja e parë nuk është cila politikë të shkruhet, por cila pajisje përgjigjet për portën e paracaktuar. Nëse një switch bën routing midis VLAN-eve, një rregull i firewall-it mund të përshkruajë një rrugë që paketat nuk e ndjekin kurrë. Kaloni topologjinë përpara se të prekni politikën e daljes.

Së pari: gjeni portën që përdor secila VLAN

Pyetni çdo klient për portën e tij dhe pyetni switch-in cili ndërfaqe zotëron VLAN-in. Porta e paracaktuar përcakton vendimin e parë të routing-ut për trafikun që largohet nga nënrrjeti, prandaj përcakton edhe cila pajisje mund të zbatojë një politikë.

ip route show default
show ip interface brief

Dy konfigurime koherente janë të zakonshme. Ose firewall-i zotëron ndërfaqet VLAN dhe bën routing midis tyre, ose switch-i shumështresor i zotëron dhe bën routing lokalisht, duke dërguar vetëm destinacionet e jashtme te firewall-i. Të dyja funksionojnë, dhe e vendosin politikën në vende të ndryshme.

Zgjidhni njërën me qëllim, sepse një konfigurim i përzier është mënyra se si rregullat përfundojnë në pajisjen e gabuar.

Hapi i dytë: vendosni ku jeton politika lokale

Nëse switch-i bën routing midis stafit dhe laboratorit, një rregull i firewall-it nuk mund të inspektojë një shkëmbim që nuk arrin kurrë te firewall-i. Politika lokale duhet të jetojë në kontrollet e aksesit të vetë switch-it, ose trafiku duhet të drejtohet me qëllim përmes një pike inspektimi.

Edhe zgjedhja e kundërt ka kosto. Bërja e firewall-it portë për çdo VLAN e vendos trafikun e routuar lokalisht në planin e kapacitetit dhe disponueshmërisë së asaj pajisjeje, kështu që një rindezje e firewall-it bëhet ndërprerje midis VLAN-eve. Vlerësoni harduerin real në vend që të supozoni se switch-et janë pa gjendje ose firewall-et janë të ngadaltë. Planifikimi i kapacitetit është më i lehtë kur pajisja që rindizni nuk është edhe rruga midis dy nënrrjeteve të ngarkuara.

Ajo që ka rëndësi është nëse politika e zgjedhur qëndron në rrugën që ndjekin vërtet paketat.

Hapi i tretë: jepni dy pajisjeve një tranzit

Kur switch-i bën routing, një nënrrjet i vetëm tranziti e mban topologjinë të lexueshme, në vend që t'i varë të dy kutitë në çdo VLAN klienti si routera rivalë. Switch-i zotëron nënrrjetet e klientëve dhe firewall-i zotëron pjesën e jashtme.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Switch-i i dërgon destinacionet e jashtme në adresën e tranzitit të firewall-it, dhe firewall-i ka rrugë kthimi drejt të dy prefikseve të klientëve përmes switch-it. Gjatë migrimit mbajni të paprekur aksesin e menaxhimit, cilësimet e portës DHCP dhe anëtarësimin në VLAN, sepse pikërisht ato të tre e kthejnë një kalim të pastër në një pasdite me kabllo konsolë.

Një dizajn tranziti e bën edhe zëvendësimin e radhës të firewall-it një ndryshim routing-u, jo një projekt rikabllimi.

Hapi i katërt: zgjidhni daljen sipas burimit që mbërrin

Me routing të zakonshëm dhe pa përkthim burimi në mes, firewall-i merr adresën origjinale të stafit ose të laboratorit në ndërfaqen e tranzitit. Të dyja VLAN-et mbërrijnë përmes një lidhjeje, dhe identitetet e tyre IP e mbijetojnë këtë.

Shprehni zgjedhjen e VPN-së me atë adresë burimi dhe destinacionet e synuara në rrugën reale të hyrjes. Dokumentacioni i rregullave i OPNsense dallon një cilësim të portës së paracaktuar, që ndjek routing-un e sistemit, nga një portë e qartë, që thërret routing të bazuar në politikë. Përdorni formën e qartë kur zgjedhja varet nga vendi prej nga erdhi paketa. Një rrugë normale e paracaktuar nuk ka asnjë arsye të shikojë burimin.

Mbani destinacionet lokale jashtë një rregulli daljeje shumë të gjerë, dhe kontrolloni modelin e portës së mbështetur për versionin që ekzekutoni.

Hapi i pestë: provoni të dyja rrugët

Shkruani rezultatin si dy fjali: trafiku i stafit drejt destinacioneve të miratuara del përmes daljes A, dhe trafiku i laboratorit drejt destinacioneve të miratuara del përmes daljes B. Shtoni rrugët e kthimit, rregullat e përkthimit dhe sjelljen e synuar kur një dalje është jashtë funksionit.

traceroute -n 198.51.100.10

Pastaj testoni veçmas një shërbim lokal midis VLAN-eve, sepse ushtron një vendim tjetër në të njëjtin dizajn.

Një rrjedhë e re nga çdo VLAN, një shërbim lokal që funksionon dhe një rrugë dështimi e dokumentuar së bashku vërtetojnë dizajnin; një ping i suksesshëm vërteton vetëm se në atë moment ekzistonte një rrugë.