پہلے VLAN گیٹ وے، پھر VPN ایگزٹ کا فیصلہ

دو VLAN کو مختلف VPN ایگزٹ درکار ہیں، اور پہلا سوال یہ نہیں کہ کون سی پالیسی لکھی جائے بلکہ یہ ہے کہ کون سا آلہ ڈیفالٹ گیٹ وے کا جواب دیتا ہے۔ اگر سوئچ VLAN کے درمیان روٹ کرتا ہے تو فائر وال قاعدہ ایسا راستہ بیان کر سکتا ہے جس پر پیکٹ کبھی نہیں جاتے۔ ایگزٹ پالیسی کو چھونے سے پہلے ٹوپولوجی پر چلیں۔

پہلا مرحلہ: ہر VLAN کا استعمال کردہ گیٹ وے تلاش کریں

ہر کلائنٹ سے اس کا گیٹ وے پوچھیں، اور سوئچ سے پوچھیں کہ کون سا انٹرفیس VLAN رکھتا ہے۔ ڈیفالٹ گیٹ وے سب نیٹ چھوڑنے والے ٹریفک کے لیے پہلا روٹنگ فیصلہ طے کرتا ہے، اس لیے یہ بھی طے کرتا ہے کہ کون سا آلہ پالیسی لاگو کر سکتا ہے۔

ip route show default
show ip interface brief

دو ہم آہنگ ترتیبیں عام ہیں۔ یا تو فائر وال VLAN انٹرفیس رکھتا ہے اور ان کے درمیان روٹ کرتا ہے، یا ملٹی لیئر سوئچ انہیں رکھتا ہے اور مقامی طور پر روٹ کرتا ہے، صرف بیرونی منازل فائر وال کو بھیجتا ہے۔ دونوں کام کرتی ہیں، اور وہ پالیسی کو مختلف جگہوں پر رکھتی ہیں۔

جان بوجھ کر ایک منتخب کریں، کیونکہ مخلوط ترتیب ہی وہ راستہ ہے جس سے قواعد غلط آلے پر پہنچتے ہیں۔

دوسرا مرحلہ: طے کریں کہ مقامی پالیسی کہاں رہتی ہے

اگر سوئچ عملے اور لیب کے درمیان روٹ کرتا ہے تو فائر وال قاعدہ ایسے تبادلے کا معائنہ نہیں کر سکتا جو کبھی فائر وال تک نہیں پہنچتا۔ مقامی پالیسی سوئچ کے اپنے رسائی کنٹرول میں رہنی چاہیے، یا ٹریفک کو جان بوجھ کر معائنہ نقطے سے گزارنا ہوگا۔

الٹ انتخاب کی بھی قیمت ہے۔ ہر VLAN کے لیے فائر وال کو گیٹ وے بنانا مقامی طور پر روٹ شدہ ٹریفک کو اس آلے کے صلاحیت اور دستیابی کے منصوبے میں ڈال دیتا ہے، اس لیے فائر وال کا دوبارہ آغاز VLAN کے درمیان رکاوٹ بن جاتا ہے۔ سوئچ کو بے حالت یا فائر وال کو سست ماننے کے بجائے حقیقی ہارڈ ویئر کا جائزہ لیں۔ صلاحیت کی منصوبہ بندی آسان ہوتی ہے جب آپ جس آلے کو دوبارہ شروع کرتے ہیں وہ دو مصروف سب نیٹ کے درمیان راستہ بھی نہ ہو۔

اہم یہ ہے کہ منتخب پالیسی اس راستے پر ہے جس پر پیکٹ واقعی چلتے ہیں۔

تیسرا مرحلہ: دونوں آلوں کو ایک ٹرانزٹ دیں

جب سوئچ روٹ کرتا ہے تو ایک ٹرانزٹ سب نیٹ ٹوپولوجی کو پڑھنے کے قابل رکھتا ہے، بجائے اس کے کہ دونوں بکس کو ہر کلائنٹ VLAN پر حریف روٹر کے طور پر لٹکایا جائے۔ سوئچ کلائنٹ سب نیٹ رکھتا ہے اور فائر وال باہر کا حصہ رکھتا ہے۔

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

سوئچ بیرونی منازل فائر وال کے ٹرانزٹ پتے پر بھیجتا ہے، اور فائر وال کے پاس سوئچ کے ذریعے دونوں کلائنٹ پریفکس تک واپسی کے راستے ہیں۔ منتقلی کے دوران انتظامی رسائی، DHCP گیٹ وے کی ترتیبات اور VLAN رکنیت کو برقرار رکھیں، کیونکہ یہی تین چیزیں صاف تبدیلی کو کنسول کیبل والی دوپہر میں بدل دیتی ہیں۔

ٹرانزٹ ڈیزائن اگلی فائر وال تبدیلی کو دوبارہ وائرنگ منصوبے کے بجائے روٹنگ کی تبدیلی بنا دیتا ہے۔

چوتھا مرحلہ: آنے والے ماخذ سے ایگزٹ منتخب کریں

عام روٹنگ اور درمیان میں ماخذ ترجمہ کے بغیر، فائر وال کو ٹرانزٹ انٹرفیس پر اصل عملے یا لیب کا پتہ ملتا ہے۔ دونوں VLAN ایک لنک سے آتے ہیں، اور ان کی IP شناخت اسے سہارتی ہے۔

اس ماخذ پتے اور حقیقی دخول راستے پر مطلوبہ منازل استعمال کرتے ہوئے VPN انتخاب بیان کریں۔ OPNsense کی قواعد کی دستاویزات ڈیفالٹ گیٹ وے ترتیب، جو نظام کی روٹنگ کی پیروی کرتی ہے، اور واضح گیٹ وے، جو پالیسی پر مبنی روٹنگ کو بلاتا ہے، میں فرق کرتی ہیں۔ جب انتخاب اس پر منحصر ہو کہ پیکٹ کہاں سے آیا تو واضح شکل استعمال کریں۔ عام ڈیفالٹ راستے کے پاس ماخذ کو دیکھنے کی کوئی وجہ نہیں۔

مقامی منازل کو بہت وسیع ایگزٹ قاعدے سے باہر رکھیں، اور جو ریلیز آپ چلاتے ہیں اس کے لیے معاون گیٹ وے ماڈل جانچیں۔

پانچواں مرحلہ: دونوں راستے ثابت کریں

نتیجہ دو جملوں میں لکھیں: منظور شدہ منازل کی طرف عملے کا ٹریفک ایگزٹ A سے نکلتا ہے، اور منظور شدہ منازل کی طرف لیب کا ٹریفک ایگزٹ B سے نکلتا ہے۔ واپسی کے راستے، ترجمے کے قواعد اور کسی ایگزٹ کے بند ہونے پر مطلوبہ رویہ شامل کریں۔

traceroute -n 198.51.100.10

پھر مقامی بین VLAN سروس الگ سے جانچیں، کیونکہ یہ اسی ڈیزائن میں مختلف فیصلہ استعمال کرتی ہے۔

ہر VLAN سے نیا بہاؤ، کام کرنے والی مقامی سروس اور دستاویزی ناکامی کا راستہ مل کر ڈیزائن ثابت کرتے ہیں؛ ایک کامیاب ping صرف یہ ثابت کرتا ہے کہ اس لمحے ایک راستہ موجود تھا۔