טוב, אז ניתן כבר לסכם מה הושג ולהתקדם עוד צעד אחד קטן...
דבר ראשון, כבר קיימת קישוריות L2 בין המתג הישן והחדשים, קיים VLAN חדש מתפקד ומקושר גם לפורטים של המחשבים שיהיו מחוברים עליו וקיימת התחלה של ניתוב L3 בתוך המתגים לתת רשת החדשה של ה VLAN החדש.
עכשיו כדאי לחשוב למה לא ניתן להגיע למחשבים של התת הרשת הישנה מתוך התת רשת החדשה וגם הפוך.
מחשבים של התת הרשת הישנה לא מודעים כלל לתת רשת החדשה מבחינת הניתוב שלהם, כי הנתב שלהם ( שער ברירת מחדל שלהם ) הוא אותו Fortigate 100D , הידוע לשמצה. לכל תקשורת שמחוץ לתת רשת שלהם הם פונים עליו. והוא בתורו צריך לדעת לאן לנתב את התקשורת זו. כרגע הוא יודע איך לצאת לאינטרנט ויכול להיות גם יודע איך לצאת לתת רשת של הטלפונייה ארגונית, אבל לא לתת רשת החדשה. כל מה שנצטרך להגדיר ב FORTINET, זה ניתוב סטטי שמוביל לתת רשת זו וגם להגדיר כלל ב FIREWALL שלו שמאפשר לתקשר עם תת רשת זו והפוך. בשביל ניתוב זה נגדיר כרשת יעד : 10.10.201.0/24 , כ GATEWAY את הרגל של המתג שקרובה לנתב שכרגע מגדירים: 10.10.200.254 , וגם את הרגל של FORTINET שמחוברת לתת רשת 10.10.200 ( שאת השם של הרגל זו אתה כבר צריך לדעת לפי החיבורים הקיימים במקום ) .
אחרי זה נדרש להגדיר גם את הכלל המתאים ב FIREWALL .
ועכשיו לסיבה חשובה למה הניתוב לא עובד גם אחרי זה.
במתג הראשי שלך בטבלת ניתוב שלו מוגדרת שורה של ניתוב ברירת מחדל שפונה לעצמו ולא לשער ברירת מחדל האמיתי ( ל FORTIGATE ) . כך שהמתג וההתקנים שמשתמשים בו כבנתב לא יכולים להמשיך ממנו הלאה לשום מקום. השורה : ip route 0.0.0.0 0.0.0.0 10.10.200.254 לא מובילה לשום מקום. והיא צריכה להיות :
ip route 0.0.0.0 0.0.0.0 10.10.200.1
עכשיו זה כבר נראה יותר היגיוני ושני הנתבים יודעים זה על זה וכל ההתקני רשת שמחוברים עליהם יכולים לנסות לתקשר אחד עם השני. בתהליך של ההגדרות הניתוב מומלץ גם להשתמש בכלי traceroute שיכול לתת דיאגנוסטיקה מצויינת לניתוב לא תקין ולזיהוי של לולאות ניתוב שצריך להפתר מהן.
וכרגע לכמה תובנות נוספות חשובות. אם ניתוב ברשת זו יעבוד בצורה תקינה כמו שהיא מחוברת כרגע, זה עדיין לא סיום של העבודה. אלה רק ההתחלה שלה. ואני אסביר למה אני מתכוון. בטופולוגיית רשת כפי שקיימת כרגע, ניתוב של כל התעבורה בין הרשתות של ה VLANS השונים תעבור דרך מנגנון ניתוב של FORTIGATE . דבר זה בעיתי ביותר, כי מוצר זה לא יכול לנתב נפחים גדולים של תעבורה.
מתגי L3 נועדו לזה שהניתוב בין התתי רשתות שקיימות על כל ה VLANS שלהם יתבצעו בתוך המתג. הניתוב בתוך המתג מתבצע בתוך ה backbone שלו במהירות של wirespeed ולא קשור במעבד חיצוני. לצורך זה נדרש לתכנן את הרשת כך שהנתב ( במקרה שלך זה FORTIGATE ) שמוביל לעולם החיצון ( לאינטרנט ) יהיה מחובר על VLAN נפרד שמשמש רק לניתוב. כך כל הניתוב בין ה VLANs יתבצע בתוך המנגנון הניתוב של המתג הראשי וכל שאר התקשורת תופנה לנתב החיצוני. מדובר על דבר שהוא א' ב'.
עכשיו על הדברים שכבר הזכרתי מקודם. כמו שאתה רואה, ברגע שלא מוגדר פרוטוקול סביר של ניתוב דינאמי, למשל OSPF , כל הגדרת ניתוב, אפילו הכי קטנה ופשוטה הופכת להיות לסיפור שלא נגמר שמצריך הגדרות ידניות בכל הציודי תקשורת ובכל שינוי זה חוזר על עצמו. שימוש בניתוב דינאמי פותר את הבעיה זו אחד ולתמיד.
בקשר לחוסר של הגנת LOOP . היום במצב הקיים ברשת שלך, כל אחד שיחבר שני קצוות של כבל רשת לשני נקודות תקשורת יגרום להשבתה מוחלטת לרשת כולה. בגרך כלל זה לא קורה במזיד, אלה מחוסר ההבנה של האנשים. דבר ראשון שמבצעים במתגים, זה מונעים מצב זה.
בקשר לחוסר ההגנה מ rogue dhcp . היום במצב הקיים ברשת שלך, כל אחד שיחבר רכיב רשת ( נתב ביתי שהוא הביא מהבית בשביל שיהיה לו חיבור אלחוטי במשרד ) או יריץ על מחשב שלו שרת DHCP בטעות, יגרום למצב שכל התת רשת זו תהייה מושבתת כליל בגלל שכל המחשבים והתקני רשת יקבלו כתובות מ rogue dhcp . וכאן לא מדובר אפילו על פורצים או אנשים רעים שבשנייה משביתים לך את הרשת ללא שיש לך אפשרות לאתר את הבעיה.
עכשיו בקשר לרשת שירשת. כמו במקרים אחרים שיודעים שקיימת תורשה בעייתית, כמו נטייה להשמנה, לסוכרת וכו', נדרשת עבודה מאומצת לצורך הקטנת סיכונים. במקרה שלך מדובר על תכנון כללי של כל הרשת שלך ובשלב הראשון של הפעלת כל המנגנוני רשת נדרשים, שכבר פירטתי לפני זה.
בשלב הבא, כדאי מאוד להתחיל להטמיעה מנגנוני רשת אוטומטיים וכאלה שנותנים אפשרות של אבטחת מידע תוך כדי הקטנה של הפעיולות הנדרשת לצורך הגדרות רשת שונות. למשל טמעה של מנגנונים כמו הקצאה דינאמית של מספרי VLAN לפי הזיהוי של המחשב המחובר ופרוטוקולים זיהוי, כמו 802.1x , שנותנים אפשרות של העברת מחשב ממשרד למשרד עם כל ההגדרות של VLAN שלו על הפורט ללא הצורך בהגדרות ידניות בתוך המתג. גם שימוש ב VTP מפשט בהרבה את העבודה של ההגדרות המתגים וכו'.
דבר ראשון, כבר קיימת קישוריות L2 בין המתג הישן והחדשים, קיים VLAN חדש מתפקד ומקושר גם לפורטים של המחשבים שיהיו מחוברים עליו וקיימת התחלה של ניתוב L3 בתוך המתגים לתת רשת החדשה של ה VLAN החדש.
עכשיו כדאי לחשוב למה לא ניתן להגיע למחשבים של התת הרשת הישנה מתוך התת רשת החדשה וגם הפוך.
מחשבים של התת הרשת הישנה לא מודעים כלל לתת רשת החדשה מבחינת הניתוב שלהם, כי הנתב שלהם ( שער ברירת מחדל שלהם ) הוא אותו Fortigate 100D , הידוע לשמצה. לכל תקשורת שמחוץ לתת רשת שלהם הם פונים עליו. והוא בתורו צריך לדעת לאן לנתב את התקשורת זו. כרגע הוא יודע איך לצאת לאינטרנט ויכול להיות גם יודע איך לצאת לתת רשת של הטלפונייה ארגונית, אבל לא לתת רשת החדשה. כל מה שנצטרך להגדיר ב FORTINET, זה ניתוב סטטי שמוביל לתת רשת זו וגם להגדיר כלל ב FIREWALL שלו שמאפשר לתקשר עם תת רשת זו והפוך. בשביל ניתוב זה נגדיר כרשת יעד : 10.10.201.0/24 , כ GATEWAY את הרגל של המתג שקרובה לנתב שכרגע מגדירים: 10.10.200.254 , וגם את הרגל של FORTINET שמחוברת לתת רשת 10.10.200 ( שאת השם של הרגל זו אתה כבר צריך לדעת לפי החיבורים הקיימים במקום ) .
אחרי זה נדרש להגדיר גם את הכלל המתאים ב FIREWALL .
ועכשיו לסיבה חשובה למה הניתוב לא עובד גם אחרי זה.
במתג הראשי שלך בטבלת ניתוב שלו מוגדרת שורה של ניתוב ברירת מחדל שפונה לעצמו ולא לשער ברירת מחדל האמיתי ( ל FORTIGATE ) . כך שהמתג וההתקנים שמשתמשים בו כבנתב לא יכולים להמשיך ממנו הלאה לשום מקום. השורה : ip route 0.0.0.0 0.0.0.0 10.10.200.254 לא מובילה לשום מקום. והיא צריכה להיות :
ip route 0.0.0.0 0.0.0.0 10.10.200.1
עכשיו זה כבר נראה יותר היגיוני ושני הנתבים יודעים זה על זה וכל ההתקני רשת שמחוברים עליהם יכולים לנסות לתקשר אחד עם השני. בתהליך של ההגדרות הניתוב מומלץ גם להשתמש בכלי traceroute שיכול לתת דיאגנוסטיקה מצויינת לניתוב לא תקין ולזיהוי של לולאות ניתוב שצריך להפתר מהן.
וכרגע לכמה תובנות נוספות חשובות. אם ניתוב ברשת זו יעבוד בצורה תקינה כמו שהיא מחוברת כרגע, זה עדיין לא סיום של העבודה. אלה רק ההתחלה שלה. ואני אסביר למה אני מתכוון. בטופולוגיית רשת כפי שקיימת כרגע, ניתוב של כל התעבורה בין הרשתות של ה VLANS השונים תעבור דרך מנגנון ניתוב של FORTIGATE . דבר זה בעיתי ביותר, כי מוצר זה לא יכול לנתב נפחים גדולים של תעבורה.
מתגי L3 נועדו לזה שהניתוב בין התתי רשתות שקיימות על כל ה VLANS שלהם יתבצעו בתוך המתג. הניתוב בתוך המתג מתבצע בתוך ה backbone שלו במהירות של wirespeed ולא קשור במעבד חיצוני. לצורך זה נדרש לתכנן את הרשת כך שהנתב ( במקרה שלך זה FORTIGATE ) שמוביל לעולם החיצון ( לאינטרנט ) יהיה מחובר על VLAN נפרד שמשמש רק לניתוב. כך כל הניתוב בין ה VLANs יתבצע בתוך המנגנון הניתוב של המתג הראשי וכל שאר התקשורת תופנה לנתב החיצוני. מדובר על דבר שהוא א' ב'.
עכשיו על הדברים שכבר הזכרתי מקודם. כמו שאתה רואה, ברגע שלא מוגדר פרוטוקול סביר של ניתוב דינאמי, למשל OSPF , כל הגדרת ניתוב, אפילו הכי קטנה ופשוטה הופכת להיות לסיפור שלא נגמר שמצריך הגדרות ידניות בכל הציודי תקשורת ובכל שינוי זה חוזר על עצמו. שימוש בניתוב דינאמי פותר את הבעיה זו אחד ולתמיד.
בקשר לחוסר של הגנת LOOP . היום במצב הקיים ברשת שלך, כל אחד שיחבר שני קצוות של כבל רשת לשני נקודות תקשורת יגרום להשבתה מוחלטת לרשת כולה. בגרך כלל זה לא קורה במזיד, אלה מחוסר ההבנה של האנשים. דבר ראשון שמבצעים במתגים, זה מונעים מצב זה.
בקשר לחוסר ההגנה מ rogue dhcp . היום במצב הקיים ברשת שלך, כל אחד שיחבר רכיב רשת ( נתב ביתי שהוא הביא מהבית בשביל שיהיה לו חיבור אלחוטי במשרד ) או יריץ על מחשב שלו שרת DHCP בטעות, יגרום למצב שכל התת רשת זו תהייה מושבתת כליל בגלל שכל המחשבים והתקני רשת יקבלו כתובות מ rogue dhcp . וכאן לא מדובר אפילו על פורצים או אנשים רעים שבשנייה משביתים לך את הרשת ללא שיש לך אפשרות לאתר את הבעיה.
עכשיו בקשר לרשת שירשת. כמו במקרים אחרים שיודעים שקיימת תורשה בעייתית, כמו נטייה להשמנה, לסוכרת וכו', נדרשת עבודה מאומצת לצורך הקטנת סיכונים. במקרה שלך מדובר על תכנון כללי של כל הרשת שלך ובשלב הראשון של הפעלת כל המנגנוני רשת נדרשים, שכבר פירטתי לפני זה.
בשלב הבא, כדאי מאוד להתחיל להטמיעה מנגנוני רשת אוטומטיים וכאלה שנותנים אפשרות של אבטחת מידע תוך כדי הקטנה של הפעיולות הנדרשת לצורך הגדרות רשת שונות. למשל טמעה של מנגנונים כמו הקצאה דינאמית של מספרי VLAN לפי הזיהוי של המחשב המחובר ופרוטוקולים זיהוי, כמו 802.1x , שנותנים אפשרות של העברת מחשב ממשרד למשרד עם כל ההגדרות של VLAN שלו על הפורט ללא הצורך בהגדרות ידניות בתוך המתג. גם שימוש ב VTP מפשט בהרבה את העבודה של ההגדרות המתגים וכו'.
