Можно ли использовать ACL IPv4 "allow" для обхода разделения VLAN через файрвол?

Можно ли использовать ACL IPv4 "allow" для обхода разделения VLAN через файрвол?, wifiman

latexyankee

Guest

15.11.2024 18:47:00

Привет, пытаюсь понять, как лучше организовать всё, чтобы оставалось относительно просто. У нас теперь есть ACL, так что отлично, наконец-то. А теперь как их внедрить. У меня есть несколько серверов и клиентов, которые я хочу держать в разных сетях, но при этом хочу максимальную скорость при общении друг с другом, передаче файлов и т.д., чтобы немного разгрузить процессор роутера/файрвола.

Моя мысль такова: держать все сети, построенные на UDM, то есть все VLANы по-прежнему создаются с UDM в качестве шлюза. Разделить различные серверы/клиенты/IOT-устройства. А затем переопределять это с помощью либо MAC, либо IPv4 ACL для определённых устройств с высокой нагрузкой. Это бы оставило эту коммуникацию на уровне коммутатора, верно?

Я начинаю новую сетевую настройку с нуля и пытаюсь решить, создавать ли VLANы на коммутаторе и использовать ACL для разделения ИЛИ создавать их на шлюзе и использовать ACL для переопределения определенных блоков. Я просто не хочу размещать устройства для потокового видео на доверенной сети, где находится мой сервер или NAS. Есть и другие сценарии использования, но это хороший пример.

С включением ACL, если бы вы начинали с нуля и у вас были какие-то серверы/клиенты, передающие большие файлы, что бы вы сделали для максимальной производительности? Некоторые из этих клиентов и серверов должны быть в разных сетях.

latexyankee

Guest

15.11.2024 20:21:00

Окей, подумал ещё раз об этом. Я потеряю возможность фильтровать пакеты по конкретным протоколам, по определённым портам и т.д. Думаю, мне лучше оставить всё на UDM, так как сеть не огромная, меньше 75 клиентов. Но определённо нужно, чтобы весь трафик сервера/клиента на 10Гб шёл через свитч. Интересно, можно ли это сделать с помощью ACL "allow" правил? Всё, что я нахожу по ACL, обычно связано с блокировкой. К тому же, у меня проблемы с подтверждением, будет ли выполняться ACL, сконфигурированный для сетей, где UDM указан как шлюз. Вот что я нашёл от ChatGPT:Пример потери:ACL не может блокировать трафик с VLAN 20 (Гости) к VLAN 10 (Корпоративная), если эти VLANы маршрутизируются через UniFi роутер. Это для меня подразумевает, что ACL не будет работать, если сетевой роутер настроен на UDM. Однако, ACL на свитче находятся выше правил файрвола, верно? Значит, свитч увидит совпадение ACL и будет маршрутизировать этот трафик локально, вместо того, чтобы пересылать его на UDM? По крайней мере, я на это надеюсь.

ДОБАВЛЕНО - Согласно ChatGPT, это не сработает, так как ACL не может перехватывать трафик внутри сетей, где UDM указан в качестве роутера. Я этого боялся:ACL не будут работать для перехвата межсетевого трафика, маршрутизируемого UDM. Если UDM установлен в качестве шлюза, он определяет маршрутизацию межсетевого трафика, и трафик должен проходить через него.

Так что я снова вернулся к квадрату одного, размышляя, чего я лишусь, если создам свои сети на свитче с ACL вместо шлюза и файрвола.

latexyankee

Guest

15.11.2024 19:35:00

Всё подключено к L3-коммутатору, каждый клиент. Учитывая, что я начинаю с нуля с 4 VLAN, почти имеет смысл создать все VLAN на коммутаторе, использовать IPV4 ACL для их разделения. Можно блокировать несколько сетей одним правилом, так что в 4 IP ACL сети будут разделены и не нужно будет беспокоиться о межсетевом трафике, так как всё маршрутизируется на уровне коммутатора. Бум. Готово. Правда? Только управляющая сеть будет иметь firewall, настроенный как роутер/шлюз. Я просто говорю, раз у меня есть оборудование, и я строю новую сеть (не нужно беспокоиться о том, чтобы что-то сломать), разве это не хороший выбор? Иначе я, возможно, теряю возможную производительность? Я говорю "возможно", потому что UDM понадобится подстраховаться в случае проблем с межсетевым трафиком, но ВСЕ РАВНО… мне кажется, это правильная вещь. UDM говорит, что у него максимальная пропускная способность межсетевого трафика 1Gbps, зачем соглашаться на это, если у меня есть 10GB устройства? С поверхностным уровнем сетевых знаний как этот дизайн повлияет на firewall-правила в будущем? Я знаю, что любые firewall-правила, назначенные этим сетям, не будут выполняться, потому что трафик не дойдет до шлюза, если он не предназначен для WAN. Так что я как-то себя ограничиваю, делая что-то более сложным в будущем? Весь трафик WAN попадет на FW-правила, но я ДОЛЖЕН что-то упускать из виду, иначе все бы это делали, и на YouTube было бы полно видео сооцену весной. Это домашняя сеть, но будет некоторое интенсивное использование/количество пользователей и также VPN-соединения в некоторых случаях. Я выслушаю все, что кто-нибудь скажет, но, пожалуйста, критикуйте мою теорию и объясните, КАК это может быть плохой идеей. Снова возможно создать и сегментировать все сети на UDM и использовать правила IPV4 ACL ALLOW для подключения клиентов к серверам в разных VLAN… это тоже должно иметь трафик, маршрутизируемый на уровне коммутатора, который также будет работать на скорости линии? Я хотел изолировать устройства с макро-уровня, но при этом иметь L3-маршрутизацию, поэтому я и купил этот коммутатор год назад, чтобы потом узнать, что я не могу эффективно делать это из-за отсутствия поддержки ACL. Теперь он здесь, и я также купил UDM-SE, поэтому я ломаю все и перестраиваю с нуля для наилучшей возможной производительности/безопасности и обучения. Спасибо всем.

RobbieH Guest	#4 15.11.2024 18:51:00 Вам понадобятся L3-коммутаторы. Кстати: по умолчанию шлюзы Unifi пропускают весь трафик внутри VLAN. Вам решать, какие правила настроить, чтобы блокировать трафик. Да, это не совсем логично, если честно. Дома я не разделяю свои устройства для стриминга с VLAN, на котором находится мой Plex-сервер, и не отделяю их от моей обычной сети. Я также не разделяю свой NAS от домашних устройств. Зачем это нужно? Я знаю, кто мои пользователи.

Читают тему (гостей: 1)