Pokud neva rozeberu jen svoje navrhy
....
4.)vlastni VLAN mezi Fortigate a Fw1: To je zajimava varianta co by asi stala za pokus. Pokud rozumim spravne, kazda VPN by mela vlastni VLAN a vni v zasade libovolny IP rozsah. Jiz ted pouzivame na FGT VLANy pro pristup z VPN a jak jsem se ted dival FGT neumi VLAN nad VLAN interfacem. Takze by bylo nutne zmenit sitove schema ale to by se dalo. mel by "AgentK" chut si to zkusit nastavit v nasem test prostredi? -navrhni prosim budget
Co ty VDOMy? Do overlapping networks nastaveni bych sel az v kranim pripade. Funguje to, ale pak je problem s navazovanim spojeni z centra->klienty. Asi by to slo udelat VIPkama, ale je to strasnej kludge.
VDOMy by byly rozdeleny na klienty. Co klient, vlastni VDOM. VDOM je interni tag, nema prakticky na vykon vliv, pokud tedy nepocitame akceleraci. Ta se pres vdom-linky vypne. Jsou modely, co maji akcelerovane VDOM-linky, ale to pak zalezi co v te siti mate. Da se to obejit vlastnim kabelem zapojenym z fgt portu zpet do FGT ... a opet pouzit VLANy.
To jsme ale uz trochu mimo tema.
No, testovaci prostredi muzu zkusit, problem je cas. Jak na to spechas? Muze to pripadne udelat nekdo z mych kolegu.
5.)Pokud tam mas/te mikrotiky, tak bych to zkusil routing-markama nebo VRFkama: Ano, routing marky to na MK predpokladam daj , ale jak pak dal na FGT? S VRF nemam zkusenost. Jaky je prinos oproti routing markam?
...
Routing-marky a VRF spolupracuji. Muzes pouzit routing-mark tak, aby traffic spadl do vlastni routovaci tabulky, pripadne priradit interface do VRF.
Takze bych v prerouringu route-markoval rmark-klientA,B,C ... a nechal bych je routovat specifickou routing tabuli rt-A,B,C .. s defaultou do te VLAN. A zpetne totez. Je to trochu prace a ma svoje uskali, napr. IP adresy mikortiku, ale da se to ukocirovat.
Pokud je nutny nejaky proboz mezi A,B,C muze se nechat ve VRF routa nebo prefix prosaknout do jine VRF. Ale to asi neni treba delat, jestli to dobre chapu.
-K-