Gateway ng VLAN muna, pagkatapos ang desisyon sa exit ng VPN

Dalawang VLAN ang nangangailangan ng magkaibang exit ng VPN, at ang unang tanong ay hindi kung anong patakaran ang isusulat kundi kung aling device ang sumasagot sa default gateway. Kung ang switch ay nagra-route sa pagitan ng mga VLAN, maaaring ilarawan ng patakaran ng firewall ang isang landas na hindi tinatahak ng mga packet. Suriin ang topology bago hawakan ang patakaran sa exit.

Unang hakbang: hanapin ang gateway na ginagamit ng bawat VLAN

Tanungin ang bawat client tungkol sa gateway nito, at tanungin ang switch kung aling interface ang may-ari ng VLAN. Ang default gateway ang nagtatakda ng unang desisyon sa routing para sa trapikong umaalis sa subnet, kaya tinatakda rin nito kung aling device ang makakapagpatupad ng patakaran.

ip route show default
show ip interface brief

Karaniwan ang dalawang magkakaugnay na layout. Maaaring ang firewall ang may-ari ng mga interface ng VLAN at nagra-route sa pagitan ng mga ito; o ang multilayer switch ang may-ari ng mga ito at nagra-route nang lokal, na nagpapadala lamang ng panlabas na destinasyon sa firewall. Gumagana ang dalawa, at inilalagay nila ang patakaran sa magkaibang lugar.

Pumili ng isa nang sadya, dahil ang pinaghalong layout ang paraan kung paano napupunta ang mga patakaran sa maling device.

Ikalawang hakbang: magpasya kung saan nakatira ang lokal na patakaran

Kung ang switch ay nagra-route sa pagitan ng staff at lab, hindi masusuri ng patakaran ng firewall ang isang palitan na hindi umaabot sa firewall. Ang lokal na patakaran ay dapat manirahan sa sariling mga kontrol sa access ng switch, o kailangang sadyang idaan ang trapiko sa isang punto ng inspeksyon.

May halaga rin ang kabaligtarang pagpili. Ang gawing gateway ang firewall para sa bawat VLAN ay naglalagay ng lokal na naka-route na trapiko sa plano ng kapasidad at availability ng device na iyon, kaya ang pag-restart ng firewall ay nagiging pagkawala sa pagitan ng mga VLAN. Suriin ang aktwal na hardware sa halip na ipagpalagay na ang mga switch ay walang estado o mabagal ang mga firewall. Mas madali ang pagpaplano ng kapasidad kapag ang device na ini-restart mo ay hindi rin ang landas sa pagitan ng dalawang abalang subnet.

Ang mahalaga ay kung ang piniling patakaran ay nasa landas na aktwal na tinatahak ng mga packet.

Ikatlong hakbang: bigyan ang dalawang device ng isang transit

Kapag nagra-route ang switch, pinapanatili ng isang transit subnet na madaling basahin ang topology, sa halip na ibitin ang dalawang kahon sa bawat client VLAN bilang magkaribal na router. Ang switch ang may-ari ng mga subnet ng client at ang firewall ang may-ari ng labas.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Ipinapadala ng switch ang panlabas na destinasyon sa transit address ng firewall, at ang firewall ay may mga return route sa dalawang client prefix sa pamamagitan ng switch. Panatilihing buo ang access sa pamamahala, mga setting ng gateway ng DHCP at pagiging miyembro ng VLAN sa panahon ng migrasyon, dahil ang tatlong iyon ang nagpapalit ng malinis na paglipat tungo sa isang hapon na may console cable.

Ginagawa rin ng disenyo ng transit na ang susunod na pagpapalit ng firewall ay pagbabago sa routing sa halip na proyekto ng muling pag-wire.

Ikaapat na hakbang: piliin ang exit mula sa pinagmulang dumarating

Sa ordinaryong routing at walang pagsasalin ng pinagmulan sa pagitan, natatanggap ng firewall ang orihinal na address ng staff o lab sa transit interface. Dumating ang dalawang VLAN sa isang link, at nananatili ang kanilang pagkakakilanlang IP.

Ipahayag ang pagpili ng VPN gamit ang address ng pinagmulang iyon at ang mga nilalayong destinasyon sa aktwal na landas ng pagpasok. Ang dokumentasyon ng mga patakaran ng OPNsense ay nagtatangi ng setting ng default gateway, na sumusunod sa routing ng system, mula sa tahasang gateway, na tumatawag ng routing na batay sa patakaran. Gamitin ang tahasang anyo kapag ang pagpili ay nakasalalay sa pinanggalingan ng packet. Ang ordinaryong default route ay walang dahilan upang tingnan ang pinagmulan.

Ilayo ang mga lokal na destinasyon sa labis na malawak na patakaran sa exit, at suriin ang sinusuportahang modelo ng gateway para sa release na pinapatakbo mo.

Ikalimang hakbang: patunayan ang dalawang landas

Isulat ang resulta bilang dalawang pangungusap: ang trapiko ng staff patungo sa mga aprubadong destinasyon ay lumalabas sa exit A, at ang trapiko ng lab patungo sa mga aprubadong destinasyon ay lumalabas sa exit B. Idagdag ang mga return route, mga patakaran sa pagsasalin at ang nilalayong pag-uugali kapag down ang isang exit.

traceroute -n 198.51.100.10

Pagkatapos, subukan nang hiwalay ang isang lokal na serbisyo sa pagitan ng mga VLAN, dahil nagsasanay ito ng ibang desisyon sa parehong disenyo.

Ang bagong daloy mula sa bawat VLAN, isang gumaganang lokal na serbisyo at isang dokumentadong landas ng pagkabigo ay sama-samang nagpapatunay sa disenyo; ang isang matagumpay na ping ay nagpapatunay lamang na may isang landas sa sandaling iyon.