మొదట VLAN గేట్‌వే, తర్వాత VPN నిష్క్రమణ నిర్ణయం
డిఫాల్ట్ గేట్‌వే ఉన్న పరికరమే నిష్క్రమణ విధానం ఎక్కడ వర్తించగలదో నిర్ణయిస్తుంది. రెండు VLANలను ఒకే ట్రాన్సిట్ ద్వారా పంపి మూలం ప్రకారం నిష్క్రమణను ఎంచుకోండి.
రెండు VLANలకు వేర్వేరు VPN నిష్క్రమణలు అవసరం, మొదటి ప్రశ్న ఏ విధానం రాయాలని కాదు, ఏ పరికరం డిఫాల్ట్ గేట్‌వేకు సమాధానం ఇస్తుందని. స్విచ్ VLANల మధ్య రూట్ చేస్తే, ప్యాకెట్లు ఎప్పుడూ వెళ్లని మార్గాన్ని ఫైర్‌వాల్ నియమం వివరించవచ్చు. నిష్క్రమణ విధానాన్ని తాకే ముందు టోపాలజీని నడవండి.
మొదటి దశ: ప్రతి VLAN ఉపయోగించే గేట్‌వేను కనుగొనండి
ప్రతి క్లయింట్‌ను దాని గేట్‌వే గురించి అడగండి, ఏ ఇంటర్‌ఫేస్ VLAN కలిగి ఉందో స్విచ్‌ను అడగండి. డిఫాల్ట్ గేట్‌వే సబ్‌నెట్ నుండి బయటకు వెళ్లే ట్రాఫిక్‌కు మొదటి రూటింగ్ నిర్ణయాన్ని నిర్ణయిస్తుంది, కాబట్టి ఏ పరికరం విధానాన్ని వర్తింపజేయగలదో కూడా నిర్ణయిస్తుంది.
ip route show default
show ip interface briefరెండు సుసంగత లేఅవుట్‌లు సాధారణం. ఒకటి ఫైర్‌వాల్ VLAN ఇంటర్‌ఫేస్‌లను కలిగి వాటి మధ్య రూట్ చేస్తుంది; లేదా మల్టీలేయర్ స్విచ్ వాటిని కలిగి స్థానికంగా రూట్ చేస్తుంది, బాహ్య గమ్యస్థానాలను మాత్రమే ఫైర్‌వాల్‌కు పంపుతుంది. రెండూ పని చేస్తాయి, అవి విధానాన్ని వేర్వేరు ప్రదేశాల్లో ఉంచుతాయి.
ఉద్దేశపూర్వకంగా ఒకటి ఎంచుకోండి, ఎందుకంటే మిశ్రమ లేఅవుట్ అనేది నియమాలు తప్పు పరికరంలో ముగిసే మార్గం.
రెండో దశ: స్థానిక విధానం ఎక్కడ నివసిస్తుందో నిర్ణయించండి
స్విచ్ సిబ్బంది మరియు ప్రయోగశాల మధ్య రూట్ చేస్తే, ఫైర్‌వాల్‌కు ఎప్పుడూ చేరని మార్పిడిని ఫైర్‌వాల్ నియమం తనిఖీ చేయలేదు. స్థానిక విధానం స్విచ్ యొక్క సొంత యాక్సెస్ నియంత్రణల్లో ఉండాలి, లేదా ట్రాఫిక్ ఉద్దేశపూర్వకంగా తనిఖీ బిందువు ద్వారా మళ్లించాలి.
వ్యతిరేక ఎంపికకు కూడా ధర ఉంటుంది. ప్రతి VLANకు ఫైర్‌వాల్‌ను గేట్‌వే చేయడం స్థానికంగా రూట్ అయిన ట్రాఫిక్‌ను ఆ పరికరం సామర్థ్యం మరియు లభ్యత ప్రణాళికలో చేరుస్తుంది, కాబట్టి ఫైర్‌వాల్ రీబూట్ VLANల మధ్య అంతరాయంగా మారుతుంది. స్విచ్‌లు స్థితిలేనివి లేదా ఫైర్‌వాల్‌లు నెమ్మదిగా ఉంటాయని ఊహించకుండా నిజమైన హార్డ్‌వేర్‌ను అంచనా వేయండి. మీరు రీబూట్ చేసే పరికరం రెండు రద్దీగా ఉన్న సబ్‌నెట్‌ల మధ్య మార్గం కూడా కాకపోతే సామర్థ్య ప్రణాళిక సులభం.
ముఖ్యమైనది, ఎంచుకున్న విధానం ప్యాకెట్లు నిజంగా అనుసరించే మార్గంలో ఉందా అనేది.
మూడో దశ: రెండు పరికరాలకు ఒక ట్రాన్సిట్ ఇవ్వండి
స్విచ్ రూట్ చేసినప్పుడు, ఒకే ట్రాన్సిట్ సబ్‌నెట్ టోపాలజీని చదవగలిగేలా ఉంచుతుంది, రెండు పెట్టెలను ప్రత్యర్థి రౌటర్లుగా ప్రతి క్లయింట్ VLANకు వేలాడదీయడం బదులు. స్విచ్ క్లయింట్ సబ్‌నెట్‌లను కలిగి ఉంటుంది, ఫైర్‌వాల్ బయటి భాగాన్ని కలిగి ఉంటుంది.
# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1స్విచ్ బాహ్య గమ్యస్థానాలను ఫైర్‌వాల్ ట్రాన్సిట్ చిరునామాకు పంపుతుంది, ఫైర్‌వాల్‌కు స్విచ్ ద్వారా రెండు క్లయింట్ ప్రిఫిక్స్‌లకు తిరిగి వెళ్లే మార్గాలు ఉన్నాయి. స్థానభ్రంశం సమయంలో నిర్వహణ యాక్సెస్, DHCP గేట్‌వే సెట్టింగ్‌లు మరియు VLAN సభ్యత్వాన్ని చెక్కుచెదరకుండా ఉంచండి, ఎందుకంటే ఆ మూడే శుభ్రమైన మార్పును కన్సోల్ కేబుల్‌తో మధ్యాహ్నంగా మారుస్తాయి.
ట్రాన్సిట్ డిజైన్ తదుపరి ఫైర్‌వాల్ మార్పిడిని తిరిగి వైరింగ్ ప్రాజెక్ట్ బదులు రూటింగ్ మార్పుగా మారుస్తుంది.
నాలుగో దశ: వచ్చే మూలం నుండి నిష్క్రమణను ఎంచుకోండి
సాధారణ రూటింగ్ మరియు మధ్యలో మూల అనువాదం లేకుండా, ఫైర్‌వాల్ ట్రాన్సిట్ ఇంటర్‌ఫేస్‌లో అసలు సిబ్బంది లేదా ప్రయోగశాల చిరునామాను పొందుతుంది. రెండు VLANలు ఒక లింక్ ద్వారా వస్తాయి, వాటి IP గుర్తింపు దాన్ని తట్టుకుంటుంది.
ఆ మూల చిరునామా మరియు నిజమైన ఇన్‌గ్రెస్ మార్గంలోని ఉద్దేశిత గమ్యస్థానాలను ఉపయోగించి VPN ఎంపికను వ్యక్తపరచండి. OPNsense యొక్క నియమ పత్రాలు సిస్టమ్ రూటింగ్‌ను అనుసరించే డిఫాల్ట్ గేట్‌వే సెట్టింగ్ మరియు విధాన ఆధారిత రూటింగ్‌ను పిలిచే స్పష్ట గేట్‌వే మధ్య భేదాన్ని చూపుతాయి. ఎంపిక ప్యాకెట్ ఎక్కడి నుండి వచ్చిందనే దానిపై ఆధారపడితే స్పష్ట రూపాన్ని ఉపయోగించండి. సాధారణ డిఫాల్ట్ మార్గానికి మూలాన్ని చూడటానికి ఎటువంటి కారణం లేదు.
స్థానిక గమ్యస్థానాలను చాలా విశాలమైన నిష్క్రమణ నియమం వెలుపల ఉంచండి, మరియు మీరు నడుపుతున్న విడుదలకు మద్దతు ఉన్న గేట్‌వే నమూనాను తనిఖీ చేయండి.
ఐదో దశ: రెండు మార్గాలను నిరూపించండి
ఫలితాన్ని రెండు వాక్యాలుగా రాయండి: ఆమోదించబడిన గమ్యస్థానాలకు సిబ్బంది ట్రాఫిక్ నిష్క్రమణ A ద్వారా బయటకు వెళ్తుంది, ఆమోదించబడిన గమ్యస్థానాలకు ప్రయోగశాల ట్రాఫిక్ నిష్క్రమణ B ద్వారా బయటకు వెళ్తుంది. తిరిగి వచ్చే మార్గాలు, అనువాద నియమాలు మరియు నిష్క్రమణ డౌన్‌లో ఉన్నప్పుడు ఉద్దేశిత ప్రవర్తనను జోడించండి.
traceroute -n 198.51.100.10తర్వాత స్థానిక అంతర్-VLAN సేవను విడిగా పరీక్షించండి, ఎందుకంటే అది అదే డిజైన్‌లో వేరే నిర్ణయాన్ని సాధన చేస్తుంది.
ప్రతి VLAN నుండి కొత్త ప్రవాహం, పని చేసే స్థానిక సేవ మరియు పత్రబద్ధమైన వైఫల్య మార్గం కలిసి డిజైన్‌ను నిరూపిస్తాయి; ఒక విజయవంతమైన ping ఆ క్షణంలో ఒక మార్గం ఉందని మాత్రమే నిరూపిస్తుంది.