VLAN-gateway först, sedan beslutet om VPN-utgång

Enheten som äger standardgatewayen avgör var utgångspolicyn kan gälla. Låt båda VLAN passera genom en enda transit och välj utgång efter källa.

Två VLAN behöver olika VPN-utgångar, och den första frågan är inte vilken policy som ska skrivas utan vilken enhet som svarar på standardgatewayen. Om en switch routar mellan VLAN kan en brandväggsregel beskriva en väg som paketen aldrig tar. Gå igenom topologin innan du rör utgångspolicyn.

Steg ett: hitta gatewayen som varje VLAN använder

Fråga varje klient om dess gateway och fråga switchen vilket gränssnitt som äger VLAN. Standardgatewayen bestämmer det första routingbeslutet för trafik som lämnar subnätet, så den bestämmer också vilken enhet som kan tillämpa en policy.

ip route show default
show ip interface brief

Två sammanhängande upplägg är vanliga. Antingen äger brandväggen VLAN-gränssnitten och routar mellan dem, eller så äger flernivåswitchen dem och routar lokalt och skickar bara externa mål till brandväggen. Båda fungerar, och de placerar policyn på olika ställen.

Välj ett med avsikt, eftersom ett blandat upplägg är hur regler hamnar på fel enhet.

Steg två: bestäm var den lokala policyn bor

Om switchen routar mellan personal och labb kan en brandväggsregel inte granska ett utbyte som aldrig når brandväggen. Den lokala policyn måste bo i switchens egna åtkomstkontroller, eller så måste trafiken medvetet styras genom en granskningspunkt.

Det motsatta valet har också ett pris. Att göra brandväggen till gateway för varje VLAN lägger lokal routad trafik i den enhetens kapacitets- och tillgänglighetsplan, så en omstart av brandväggen blir ett avbrott mellan VLAN. Utvärdera den faktiska hårdvaran i stället för att anta att switchar är tillståndslösa eller att brandväggar är långsamma. Kapacitetsplanering är enklare när enheten du startar om inte också är vägen mellan två upptagna subnät.

Det som spelar roll är om den valda policyn ligger på vägen som paketen faktiskt följer.

Steg tre: ge de två enheterna en enda transit

När switchen routar håller ett enda transitsubnät topologin läsbar, i stället för att hänga båda lådorna på varje klient-VLAN som konkurrerande routrar. Switchen äger klientsubnäten och brandväggen äger utsidan.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Switchen skickar externa mål till brandväggens transitadress, och brandväggen har returrutter till båda klientprefixen genom switchen. Behåll administrationstillgång, DHCP-gatewayinställningar och VLAN-medlemskap intakta under migreringen, eftersom de tre är det som gör en ren övergång till en eftermiddag med konsolkabel.

En transitdesign gör också nästa brandväggsbyte till en routingändring i stället för ett omkabblingsprojekt.

Steg fyra: välj utgången utifrån källan som anländer

Med vanlig routing och ingen källöversättning emellan tar brandväggen emot den ursprungliga personal- eller labbadressen på transitgränssnittet. Båda VLAN anländer över en enda länk, och deras IP-identiteter överlever det.

Uttryck VPN-valet med den källadressen och de avsedda målen på den faktiska ingångsvägen. OPNsense regeldokumentation skiljer mellan en standardgatewayinställning, som följer systemroutingen, och en explicit gateway, som anropar policybaserad routing. Använd den explicita formen när valet beror på varifrån paketet kom. En vanlig standardrutt har ingen anledning att titta på källan alls.

Håll lokala mål utanför en alltför bred utgångsregel, och kontrollera den gatewaymodell som stöds för den version du kör.

Steg fem: bevisa båda vägarna

Skriv resultatet som två meningar: personalens trafik till godkända mål lämnar genom utgång A, och labbets trafik till godkända mål lämnar genom utgång B. Lägg till returrutterna, översättningsreglerna och det avsedda beteendet när en utgång ligger nere.

traceroute -n 198.51.100.10

Testa sedan en lokal tjänst mellan VLAN separat, eftersom den övar ett annat beslut i samma design.

Ett färskt flöde från varje VLAN, en fungerande lokal tjänst och en dokumenterad felväg bevisar tillsammans designen; en enda lyckad ping bevisar bara att en väg fanns i det ögonblicket.

Relaterade artiklar