Avval VLAN shlyuzi, keyin VPN chiqishi qarori

Ikki VLAN turli VPN chiqishlariga muhtoj, va birinchi savol qaysi siyosat yozilishi emas, balki qaysi qurilma standart shlyuzga javob berishidir. Agar kommutator VLANlar orasida marshrutlasa, tarmoq ekrani qoidasi paketlar hech qachon bosib o'tmaydigan yo'lni tasvirlashi mumkin. Chiqish siyosatiga tegishdan oldin topologiyani ko'zdan kechiring.

Birinchi qadam: har bir VLAN ishlatadigan shlyuzni toping

Har bir mijozdan uning shlyuzini so'rang va kommutatordan qaysi interfeys VLANga egaligini so'rang. Standart shlyuz quyi tarmoqdan chiqadigan trafik uchun birinchi marshrutlash qarorini belgilaydi, shuning uchun qaysi qurilma siyosat qo'llay olishini ham belgilaydi.

ip route show default
show ip interface brief

Ikki izchil tartib keng tarqalgan. Yoki tarmoq ekrani VLAN interfeyslariga ega va ular orasida marshrutlaydi, yoki ko'p qatlamli kommutator ularga ega va mahalliy marshrutlaydi, faqat tashqi manzillarni tarmoq ekraniga yuboradi. Ikkalasi ham ishlaydi va siyosatni turli joylarga qo'yadi.

Bittasini ataylab tanlang, chunki aralash tartib qoidalar noto'g'ri qurilmaga tushishining yo'lidir.

Ikkinchi qadam: mahalliy siyosat qayerda yashashini hal qiling

Agar kommutator xodimlar va laboratoriya orasida marshrutlasa, tarmoq ekrani qoidasi ekranga hech qachon yetib bormaydigan almashinuvni tekshira olmaydi. Mahalliy siyosat kommutatorning o'z kirish nazoratida yashashi kerak, yoki trafik ataylab tekshiruv nuqtasidan o'tkazilishi kerak.

Teskari tanlovning ham narxi bor. Tarmoq ekranini har bir VLAN uchun shlyuz qilish mahalliy marshrutlangan trafikni o'sha qurilmaning sig'im va mavjudlik rejasiga kiritadi, shuning uchun tarmoq ekranini qayta ishga tushirish VLANlar orasidagi uzilishga aylanadi. Kommutatorlar holatsiz yoki tarmoq ekranlari sekin deb o'ylash o'rniga haqiqiy apparatni baholang. Qayta ishga tushirilayotgan qurilma ikki band quyi tarmoq orasidagi yo'l ham bo'lmasa, sig'imni rejalash osonroq.

Muhimi, tanlangan siyosat paketlar haqiqatan bosib o'tadigan yo'lda ekanligi.

Uchinchi qadam: ikki qurilmaga bitta tranzit bering

Kommutator marshrutlaganda, bitta tranzit quyi tarmoq topologiyani o'qishli saqlaydi, ikkala qutini raqib marshrutizator sifatida har bir mijoz VLANga osib qo'yish o'rniga. Kommutator mijoz quyi tarmoqlariga, tarmoq ekrani esa tashqi tomonga ega.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Kommutator tashqi manzillarni tarmoq ekranining tranzit manziliga yuboradi, tarmoq ekranining esa kommutator orqali ikkala mijoz prefiksiga qaytish yo'llari bor. Ko'chirish davomida boshqaruv ruxsati, DHCP shlyuz sozlamalari va VLAN a'zoligini buzilmasdan saqlang, chunki aynan shu uchtasi toza o'tishni konsol kabeli bilan o'tkaziladigan tushdan keyinga aylantiradi.

Tranzit dizayni keyingi tarmoq ekrani almashtirishni qayta sim tortish loyihasi emas, marshrutlash o'zgarishiga aylantiradi.

To'rtinchi qadam: chiqishni kelayotgan manbaga qarab tanlang

Oddiy marshrutlash va orada manba tarjimasi bo'lmasa, tarmoq ekrani tranzit interfeysda asl xodimlar yoki laboratoriya manzilini oladi. Ikkala VLAN bitta havola orqali keladi va ularning IP shaxsiyati buni saqlab qoladi.

VPN tanlovini shu manba manzili va haqiqiy kirish yo'lidagi mo'ljallangan manzillar bilan ifodalang. OPNsense qoidalar hujjati tizim marshrutlashiga ergashadigan standart shlyuz sozlamasini siyosatga asoslangan marshrutlashni chaqiradigan aniq shlyuzdan ajratadi. Tanlov paket qayerdan kelganiga bog'liq bo'lsa, aniq shakldan foydalaning. Oddiy standart marshrutning manbaga qarashga hech qanday sababi yo'q.

Mahalliy manzillarni haddan tashqari keng chiqish qoidasidan tashqarida tuting va ishlatayotgan versiyangiz uchun qo'llab-quvvatlanadigan shlyuz modelini tekshiring.

Beshinchi qadam: ikkala yo'lni isbotlang

Natijani ikki jumlada yozing: xodimlarning tasdiqlangan manzillarga trafigi A chiqishi orqali chiqadi, laboratoriyaning tasdiqlangan manzillarga trafigi B chiqishi orqali chiqadi. Qaytish yo'llarini, tarjima qoidalarini va chiqish o'chirilganda mo'ljallangan xatti-harakatni qo'shing.

traceroute -n 198.51.100.10

So'ngra mahalliy VLANlararo xizmatni alohida sinab ko'ring, chunki u xuddi shu dizaynda boshqa qarorni mashq qildiradi.

Har bir VLANdan yangi oqim, ishlaydigan mahalliy xizmat va hujjatlashtirilgan nosozlik yo'li birgalikda dizaynni isbotlaydi; bitta muvaffaqiyatli ping faqat o'sha paytda bitta yo'l bo'lganini isbotlaydi.