Cổng VLAN trước, sau đó quyết định lối ra VPN

Hai VLAN cần các lối ra VPN khác nhau, và câu hỏi đầu tiên không phải viết chính sách nào mà là thiết bị nào trả lời cổng mặc định. Nếu một switch định tuyến giữa các VLAN, quy tắc tường lửa có thể mô tả một đường đi mà các gói tin không bao giờ đi. Đi qua sơ đồ mạng trước khi chạm vào chính sách lối ra.

Bước một: tìm cổng mà mỗi VLAN sử dụng

Hỏi từng máy khách về cổng của nó, và hỏi switch giao diện nào sở hữu VLAN. Cổng mặc định quyết định quyết định định tuyến đầu tiên cho lưu lượng rời khỏi mạng con, vì vậy nó cũng quyết định thiết bị nào có thể áp dụng chính sách.

ip route show default
show ip interface brief

Hai cách bố trí nhất quán là phổ biến. Hoặc tường lửa sở hữu các giao diện VLAN và định tuyến giữa chúng, hoặc switch đa lớp sở hữu chúng và định tuyến cục bộ, chỉ gửi các đích bên ngoài đến tường lửa. Cả hai đều hoạt động, và chúng đặt chính sách ở những nơi khác nhau.

Chọn một cách có chủ đích, vì bố trí hỗn hợp là cách các quy tắc kết thúc trên thiết bị sai.

Bước hai: quyết định chính sách cục bộ sống ở đâu

Nếu switch định tuyến giữa nhân viên và phòng lab, quy tắc tường lửa không thể kiểm tra một trao đổi không bao giờ đến tường lửa. Chính sách cục bộ phải sống trong các kiểm soát truy cập của chính switch, hoặc lưu lượng phải được chủ động dẫn qua một điểm kiểm tra.

Lựa chọn ngược lại cũng có giá. Biến tường lửa thành cổng cho mọi VLAN đưa lưu lượng định tuyến cục bộ vào kế hoạch dung lượng và tính sẵn sàng của thiết bị đó, vì vậy khởi động lại tường lửa trở thành gián đoạn giữa các VLAN. Đánh giá phần cứng thực tế thay vì cho rằng switch không trạng thái hoặc tường lửa chậm. Lập kế hoạch dung lượng dễ hơn khi thiết bị bạn khởi động lại không đồng thời là đường đi giữa hai mạng con bận rộn.

Điều quan trọng là chính sách đã chọn có nằm trên đường đi mà các gói tin thực sự đi hay không.

Bước ba: cho hai thiết bị một tranzit

Khi switch định tuyến, một mạng con tranzit duy nhất giữ sơ đồ mạng dễ đọc, thay vì treo cả hai hộp trên mọi VLAN máy khách như những router đối thủ. Switch sở hữu các mạng con máy khách và tường lửa sở hữu phía ngoài.

# on the switch
ip route 0.0.0.0/0 10.255.0.2
# on the firewall
ip route add 10.20.10.0/24 via 10.255.0.1
ip route add 10.20.20.0/24 via 10.255.0.1

Switch gửi các đích bên ngoài đến địa chỉ tranzit của tường lửa, và tường lửa có các tuyến quay lại cả hai tiền tố máy khách qua switch. Giữ nguyên truy cập quản trị, cài đặt cổng DHCP và tư cách thành viên VLAN trong quá trình di chuyển, vì ba điều đó biến một lần chuyển sạch thành một buổi chiều với cáp console.

Thiết kế tranzit cũng biến lần thay tường lửa tiếp theo thành thay đổi định tuyến thay vì dự án đi dây lại.

Bước bốn: chọn lối ra theo nguồn đến

Với định tuyến thông thường và không có dịch nguồn ở giữa, tường lửa nhận địa chỉ ban đầu của nhân viên hoặc phòng lab trên giao diện tranzit. Cả hai VLAN đến qua một liên kết, và danh tính IP của chúng vẫn giữ nguyên.

Diễn đạt lựa chọn VPN bằng địa chỉ nguồn đó và các đích dự định trên đường vào thực tế. Tài liệu quy tắc của OPNsense phân biệt cài đặt cổng mặc định, theo định tuyến hệ thống, với cổng rõ ràng, gọi định tuyến dựa trên chính sách. Dùng dạng rõ ràng khi lựa chọn phụ thuộc vào nơi gói tin đến. Một tuyến mặc định thông thường không có lý do gì để nhìn vào nguồn.

Giữ các đích cục bộ ngoài một quy tắc lối ra quá rộng, và kiểm tra mô hình cổng được hỗ trợ cho bản phát hành bạn chạy.

Bước năm: chứng minh cả hai đường

Viết kết quả thành hai câu: lưu lượng nhân viên đến các đích đã duyệt đi ra qua lối ra A, và lưu lượng phòng lab đến các đích đã duyệt đi ra qua lối ra B. Thêm các tuyến quay lại, quy tắc dịch và hành vi dự định khi một lối ra bị ngắt.

traceroute -n 198.51.100.10

Sau đó kiểm tra riêng một dịch vụ cục bộ giữa các VLAN, vì nó thực hành một quyết định khác trong cùng thiết kế.

Một luồng mới từ mỗi VLAN, một dịch vụ cục bộ hoạt động và một đường lỗi có tài liệu cùng chứng minh thiết kế; một ping thành công chỉ chứng minh rằng có một đường tồn tại vào thời điểm đó.