Kwanza lango la VLAN, kisha uamuzi wa kutoka kwa VPN

VLAN mbili zinahitaji matokeo tofauti ya VPN, na swali la kwanza si sera ipi iandikwe bali kifaa kipi hujibu lango chaguo-msingi. Ikiwa swichi inaelekeza kati ya VLAN, kanuni ya firewall inaweza kueleza njia ambayo pakiti hazipiti kamwe. Pitia topolojia kabla ya kugusa sera ya kutoka.

Hatua ya kwanza: pata lango ambalo kila VLAN hutumia

Uliza kila mteja kuhusu lango lake, na uliza swichi ni kiolesura kipi kinachomiliki VLAN. Lango chaguo-msingi huamua uamuzi wa kwanza wa uelekezaji kwa trafiki inayoondoka kwenye subnet, kwa hiyo pia huamua kifaa kipi kinaweza kutumia sera.

ip route show default
show ip interface brief

Mipangilio miwili thabiti ni ya kawaida. Aidha firewall inamiliki violesura vya VLAN na inaelekeza kati yao, au swichi ya tabaka nyingi inavimiliki na inaelekeza ndani ya nchi, ikituma tu maeneo ya nje kwa firewall. Zote mbili zinafanya kazi, na zinaweka sera mahali tofauti.

Chagua moja kwa makusudi, kwa sababu mpangilio mchanganyiko ndio njia ambayo kanuni huishia kwenye kifaa kisicho sahihi.

Hatua ya pili: amua sera ya ndani inaishi wapi

Ikiwa swichi inaelekeza kati ya wafanyakazi na maabara, kanuni ya firewall haiwezi kukagua mabadilishano ambayo hayafiki firewall kamwe. Sera ya ndani lazima iishi katika udhibiti wa ufikiaji wa swichi yenyewe, au trafiki lazima ielekezwe kwa makusudi kupitia kituo cha ukaguzi.

Uchaguzi wa kinyume pia una gharama. Kufanya firewall kuwa lango kwa kila VLAN huweka trafiki inayoelekezwa ndani katika mpango wa uwezo na upatikanaji wa kifaa hicho, kwa hiyo kuwasha upya firewall huwa kukatika kati ya VLAN. Tathmini maunzi halisi badala ya kudhani swichi hazina hali au firewall ni polepole. Upangaji wa uwezo ni rahisi wakati kifaa unachowasha upya si pia njia kati ya subnet mbili zenye shughuli nyingi.

Muhimu ni kama sera iliyochaguliwa iko kwenye njia ambayo pakiti hufuata kwa kweli.

Hatua ya tatu: wape vifaa viwili usafiri mmoja

Swichi inapoelekeza, subnet moja ya usafiri huweka topolojia isomeke, badala ya kutundika masanduku yote mawili kwenye kila VLAN ya mteja kama vipanga njia washindani. Swichi inamiliki subnet za wateja na firewall inamiliki upande wa nje.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Swichi hutuma maeneo ya nje kwa anwani ya usafiri ya firewall, na firewall ina njia za kurudi kwa viambishi awali viwili vya mteja kupitia swichi. Wakati wa uhamishaji, weka ufikiaji wa usimamizi, mipangilio ya lango la DHCP na uanachama wa VLAN bila kuguswa, kwa sababu hizo tatu ndizo zinazobadilisha mabadiliko safi kuwa mchana wenye kebo ya konsoli.

Muundo wa usafiri pia hufanya uingizwaji ujao wa firewall kuwa mabadiliko ya uelekezaji badala ya mradi wa kuweka waya upya.

Hatua ya nne: chagua kutoka kwa chanzo kinachofika

Kwa uelekezaji wa kawaida na bila tafsiri ya chanzo katikati, firewall hupokea anwani ya awali ya wafanyakazi au maabara kwenye kiolesura cha usafiri. VLAN zote mbili hufika kupitia kiungo kimoja, na utambulisho wao wa IP hushinda hilo.

Eleza uchaguzi wa VPN kwa kutumia anwani hiyo ya chanzo na maeneo yaliyokusudiwa kwenye njia halisi ya kuingia. Nyaraka za kanuni za OPNsense zinatofautisha mpangilio wa lango chaguo-msingi, unaofuata uelekezaji wa mfumo, na lango dhahiri, linaloita uelekezaji unaotegemea sera. Tumia fomu dhahiri wakati uchaguzi unategemea pakiti ilikotoka. Njia ya kawaida ya chaguo-msingi haina sababu ya kuangalia chanzo kabisa.

Wezesha maeneo ya ndani nje ya kanuni ya kutoka iliyo pana mno, na angalia modeli ya lango inayotumika kwa toleo unalolifanya kazi.

Hatua ya tano: thibitisha njia zote mbili

Andika matokeo kama sentensi mbili: trafiki ya wafanyakazi kwenda maeneo yaliyoidhinishwa hutoka kupitia kutoka A, na trafiki ya maabara kwenda maeneo yaliyoidhinishwa hutoka kupitia kutoka B. Ongeza njia za kurudi, kanuni za tafsiri na tabia inayokusudiwa wakati kutoka kumezimwa.

traceroute -n 198.51.100.10

Kisha jaribu huduma ya ndani kati ya VLAN kando, kwa sababu inafanya mazoezi ya uamuzi tofauti katika muundo huo huo.

Mtiririko mpya kutoka kwa kila VLAN, huduma ya ndani inayofanya kazi na njia ya kushindwa iliyoandikwa kwa pamoja zinathibitisha muundo; ping moja iliyofanikiwa inathibitisha tu kwamba njia moja ilikuwepo wakati huo.