Прво мрежни пролаз VLAN-а, затим одлука о излазу VPN-а

Два VLAN-а захтевају различите излазе VPN-а, а прво питање није коју политику писати него који уређај одговара на подразумевани мрежни пролаз. Ако прекидач усмерава између VLAN-ова, правило заштитног зида може описати пут којим пакети никада не иду. Прођите топологију пре него што дирнете политику излаза.

Први корак: пронађите мрежни пролаз који користи сваки VLAN

Питајте сваког клијента за његов мрежни пролаз и питајте прекидач који интерфејс поседује VLAN. Подразумевани мрежни пролаз одређује прву одлуку усмеравања за саобраћај који напушта подмрежу, па одређује и који уређај може применити политику.

ip route show default
show ip interface brief

Уобичајена су два усклађена распореда. Заштитни зид поседује VLAN интерфејсе и усмерава између њих; или вишеслојни прекидач их поседује и усмерава локално, шаљући заштитном зиду само спољна одредишта. Оба раде и смештају политику на различита места.

Изаберите један намерно, јер мешовити распоред је начин на који правила заврше на погрешном уређају.

Други корак: одлучите где живи локална политика

Ако прекидач усмерава између запослених и лабораторије, правило заштитног зида не може прегледати размену која никада не стигне до заштитног зида. Локална политика мора живети у сопственим контролама приступа прекидача, или се саобраћај мора намерно усмерити кроз тачку прегледа.

И обрнути избор има цену. Постављање заштитног зида као мрежног пролаза за сваки VLAN ставља локално усмерени саобраћај у план капацитета и доступности тог уређаја, па поновно покретање заштитног зида постаје прекид између VLAN-ова. Процените стварни хардвер уместо да претпостављате да су прекидачи без стања или да су заштитни зидови спори. Планирање капацитета је лакше када уређај који поново покрећете није и пут између две заузете подмреже.

Важно је налази ли се изабрана политика на путу којим пакети стварно иду.

Трећи корак: дајте двама уређајима један транзит

Када прекидач усмерава, једна транзитна подмрежа држи топологију читљивом, уместо да обе кутије обеси на сваки клијентски VLAN као конкурентске усмераваче. Прекидач поседује клијентске подмреже, а заштитни зид поседује спољашњу страну.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Прекидач шаље спољна одредишта на транзитну адресу заштитног зида, а заштитни зид има повратне руте до оба клијентска префикса кроз прекидач. Током миграције одржите недирнутим приступ управљања, DHCP поставке мрежног пролаза и чланство у VLAN-у, јер то троје претвара чисту замену у поподне са конзолним каблом.

Транзитни дизајн такође чини следећу замену заштитног зида променом усмеравања, а не пројектом поновног каблирања.

Четврти корак: изаберите излаз према извору који долази

Уз обично усмеравање и без превођења извора између, заштитни зид прима изворну адресу запослених или лабораторије на транзитном интерфејсу. Оба VLAN-а долазе преко једне везе и њихов IP идентитет то преживљава.

Изразите избор VPN-а том изворном адресом и предвиђеним одредиштима на стварном улазном путу. Документација о правилима OPNsense разликује поставку подразумеваног мрежног пролаза, која следи системско усмеравање, од експлицитног мрежног пролаза, који позива усмеравање засновано на политици. Користите експлицитни облик када избор зависи од тога одакле је пакет дошао. Обична подразумевана рута нема разлога да гледа извор.

Држите локална одредишта изван прешироког правила излаза и проверите подржани модел мрежног пролаза за издање које покрећете.

Пети корак: докажите оба пута

Запишите резултат у две реченице: саобраћај запослених према одобреним одредиштима излази кроз излаз A, а саобраћај лабораторије према одобреним одредиштима излази кроз излаз B. Додајте повратне руте, правила превођења и предвиђено понашање када је излаз недоступан.

traceroute -n 198.51.100.10

Затим одвојено тестирајте локалну услугу између VLAN-ова, јер она вежба другу одлуку у истом дизајну.

Свеж ток са сваког VLAN-а, исправна локална услуга и документован пут при испаду заједно доказују дизајн; један успешан ping доказује само да је један пут постојао у том тренутку.