Önce VLAN ağ geçidi, sonra VPN çıkış kararı

Varsayılan ağ geçidine sahip olan cihaz, çıkış ilkesinin nerede uygulanabileceğine karar verir. İki VLAN'ı tek bir geçişten geçirin ve çıkışı kaynağa göre seçin.

İki VLAN farklı VPN çıkışlarına ihtiyaç duyar ve ilk soru hangi ilkenin yazılacağı değil, hangi cihazın varsayılan ağ geçidine yanıt verdiğidir. Anahtar VLAN'lar arasında yönlendirme yapıyorsa, güvenlik duvarı kuralı paketlerin asla izlemediği bir yolu tanımlayabilir. Çıkış ilkesine dokunmadan önce topolojiyi gezin.

Birinci adım: her VLAN'ın kullandığı ağ geçidini bulun

Her istemciye ağ geçidini sorun ve anahtara hangi arayüzün VLAN'a sahip olduğunu sorun. Varsayılan ağ geçidi, alt ağı terk eden trafik için ilk yönlendirme kararını belirler, bu nedenle hangi cihazın ilke uygulayabileceğini de belirler.

ip route show default
show ip interface brief

İki tutarlı düzen yaygındır. Ya güvenlik duvarı VLAN arayüzlerine sahiptir ve aralarında yönlendirme yapar, ya da çok katmanlı anahtar bunlara sahiptir ve yerel olarak yönlendirir, yalnızca dış hedefleri güvenlik duvarına gönderir. İkisi de çalışır ve ilkeyi farklı yerlere koyar.

Birini bilerek seçin, çünkü karışık düzen kuralların yanlış cihazda sonlanma yoludur.

İkinci adım: yerel ilkenin nerede yaşadığına karar verin

Anahtar personel ile laboratuvar arasında yönlendirme yapıyorsa, güvenlik duvarı kuralı güvenlik duvarına asla ulaşmayan bir alışverişi denetleyemez. Yerel ilke anahtarın kendi erişim denetimlerinde yaşamalıdır veya trafik bilerek bir denetim noktasından geçirilmelidir.

Ters seçimin de bir maliyeti vardır. Güvenlik duvarını her VLAN için ağ geçidi yapmak, yerel olarak yönlendirilen trafiği o cihazın kapasite ve kullanılabilirlik planına koyar, böylece güvenlik duvarının yeniden başlatılması VLAN'lar arasında kesinti olur. Anahtarların durumsuz veya güvenlik duvarlarının yavaş olduğunu varsaymak yerine gerçek donanımı değerlendirin. Yeniden başlattığınız cihaz aynı zamanda iki yoğun alt ağ arasındaki yol değilse kapasite planlaması daha kolaydır.

Önemli olan, seçilen ilkenin paketlerin gerçekte izlediği yol üzerinde olup olmadığıdır.

Üçüncü adım: iki cihaza tek bir geçiş verin

Anahtar yönlendirme yaptığında, tek bir geçiş alt ağı topolojiyi okunabilir tutar; iki kutuyu rakip yönlendiriciler olarak her istemci VLAN'ına asmak yerine. Anahtar istemci alt ağlarına, güvenlik duvarı ise dış tarafa sahiptir.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Anahtar dış hedefleri güvenlik duvarının geçiş adresine gönderir ve güvenlik duvarının anahtar üzerinden iki istemci önekine dönüş yolları vardır. Geçiş sırasında yönetim erişimini, DHCP ağ geçidi ayarlarını ve VLAN üyeliğini bozulmadan koruyun, çünkü o üç şey temiz bir geçişi konsol kablosuyla geçen bir öğleden sonraya dönüştürür.

Geçiş tasarımı ayrıca bir sonraki güvenlik duvarı değişimini yeniden kablolama projesi yerine yönlendirme değişikliği yapar.

Dördüncü adım: çıkışı gelen kaynağa göre seçin

Olağan yönlendirme ve arada kaynak çevirisi olmadan, güvenlik duvarı geçiş arayüzünde orijinal personel veya laboratuvar adresini alır. İki VLAN tek bir bağlantı üzerinden gelir ve IP kimlikleri bunu korur.

VPN seçimini o kaynak adresi ve gerçek giriş yolu üzerindeki amaçlanan hedeflerle ifade edin. OPNsense'in kural belgeleri, sistem yönlendirmesini izleyen varsayılan ağ geçidi ayarını, ilke tabanlı yönlendirmeyi çağıran açık ağ geçidinden ayırır. Seçim paketin nereden geldiğine bağlıysa açık biçimi kullanın. Normal bir varsayılan rotanın kaynağa bakmak için hiçbir nedeni yoktur.

Yerel hedefleri aşırı geniş bir çıkış kuralının dışında tutun ve çalıştırdığınız sürüm için desteklenen ağ geçidi modelini kontrol edin.

Beşinci adım: iki yolu da kanıtlayın

Sonucu iki cümle olarak yazın: personelin onaylı hedeflere trafiği A çıkışından, laboratuvarın onaylı hedeflere trafiği B çıkışından çıkar. Dönüş yollarını, çeviri kurallarını ve bir çıkış kapalıyken amaçlanan davranışı ekleyin.

traceroute -n 198.51.100.10

Ardından yerel VLAN'lar arası hizmeti ayrı olarak test edin, çünkü aynı tasarımda farklı bir kararı çalıştırır.

Her VLAN'dan taze bir akış, çalışan bir yerel hizmet ve belgelenmiş bir arıza yolu birlikte tasarımı kanıtlar; tek bir başarılı ping yalnızca o anda bir yolun var olduğunu kanıtlar.

İlgili makaleler