Спочатку шлюз VLAN, потім рішення про вихід VPN

Двом VLAN потрібні різні виходи VPN, і перше питання не в тому, яку політику писати, а в тому, який пристрій відповідає на шлюз за замовчуванням. Якщо комутатор маршрутизує між VLAN, правило міжмережевого екрана може описати шлях, яким пакети ніколи не підуть. Пройдіть топологію, перш ніж торкатися політики виходу.

Перший крок: знайдіть шлюз, який використовує кожен VLAN

Запитайте кожного клієнта про його шлюз і запитайте комутатор, який інтерфейс володіє VLAN. Шлюз за замовчуванням визначає перше рішення про маршрутизацію для трафіку, що залишає підмережу, тому він також визначає, який пристрій може застосувати політику.

ip route show default
show ip interface brief

Поширені дві узгоджені схеми. Або міжмережевий екран володіє інтерфейсами VLAN і маршрутизує між ними, або багаторівневий комутатор володіє ними і маршрутизує локально, надсилаючи на екран лише зовнішні призначення. Обидві працюють, і вони розміщують політику в різних місцях.

Виберіть одну свідомо, бо змішана схема це шлях, яким правила опиняються не на тому пристрої.

Другий крок: вирішіть, де живе локальна політика

Якщо комутатор маршрутизує між співробітниками та лабораторією, правило міжмережевого екрана не може перевірити обмін, який ніколи не досягає екрана. Локальна політика повинна жити у власних засобах контролю доступу комутатора, або трафік треба навмисно направити через точку перевірки.

У зворотного вибору теж є ціна. Призначення міжмережевого екрана шлюзом для кожного VLAN поміщає локально маршрутизований трафік у план ємності й доступності цього пристрою, тому перезавантаження екрана стає простоєм між VLAN. Оцінюйте реальне обладнання, а не припускайте, що комутатори не зберігають стан або що міжмережеві екрани повільні. Планувати ємність легше, коли пристрій, який ви перезавантажуєте, не є також шляхом між двома зайнятими підмережами.

Важливо, чи перебуває вибрана політика на шляху, яким пакети справді йдуть.

Третій крок: дайте двом пристроям один транзит

Коли комутатор маршрутизує, одна транзитна підмережа зберігає топологію читабельною, а не підвішує обидва пристрої до кожного клієнтського VLAN як конкуруючі маршрутизатори. Комутатор володіє клієнтськими підмережами, а міжмережевий екран зовнішньою стороною.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Комутатор надсилає зовнішні призначення на транзитну адресу міжмережевого екрана, а екран має зворотні маршрути до обох клієнтських префіксів через комутатор. Зберігайте незмінними доступ керування, налаштування шлюзу DHCP і членство у VLAN під час міграції, бо саме ці три перетворюють чистий перехід на день із консольним кабелем.

Транзитна схема також робить наступну заміну міжмережевого екрана зміною маршрутизації, а не проєктом перепрокладання кабелю.

Четвертий крок: вибирайте вихід за джерелом, що приходить

За звичайної маршрутизації та без трансляції джерела посередині міжмережевий екран отримує початкову адресу співробітників або лабораторії на транзитному інтерфейсі. Обидва VLAN приходять одним каналом, і їхня IP-ідентичність це переживає.

Висловіть вибір VPN цією адресою джерела та передбачуваними призначеннями на реальному шляху входу. Документація правил OPNsense розрізняє налаштування шлюзу за замовчуванням, що йде за системною маршрутизацією, і явний шлюз, що викликає маршрутизацію на основі політик. Використовуйте явну форму, коли вибір залежить від того, звідки прийшов пакет. Звичайний маршрут за замовчуванням не має причин дивитися на джерело.

Тримайте локальні призначення поза занадто широким правилом виходу і перевірте підтримувану модель шлюзу для вашої версії.

П'ятий крок: доведіть обидва шляхи

Запишіть результат двома реченнями: трафік співробітників до схвалених призначень виходить через вихід A, а трафік лабораторії до схвалених призначень виходить через вихід B. Додайте зворотні маршрути, правила трансляції та передбачувану поведінку, коли вихід недоступний.

traceroute -n 198.51.100.10

Потім окремо перевірте локальну службу між VLAN, бо вона вправляє інше рішення в тій самій схемі.

Свіжий потік з кожного VLAN, робоча локальна служба і задокументований шлях відмови разом доводять схему; один успішний ping доводить лише те, що в той момент існував один шлях.