Tunnel SSH et les ports de base de données via WAN2 dans un routeur double WAN

Il n'y a pas de moyen facile de diviser Internet en deux sans diviser également vos réseaux en deux. La bonne nouvelle est que cela ressemble assez à ce que vous vous attendiez à devoir faire de toute façon.

Si vous avez VLAN100 configuré pour utiliser le FAI A et VLAN200 configuré pour utiliser le FAI B, alors vous pouvez faire du routage inter-vlan pour obtenir un accès complet au LAN pour les deux réseaux, et définir vos passerelles par défaut vers les FAI respectifs pour contrôler l'accès à Internet.

Maintenant, si vous vouliez faire en sorte que tous vos développeurs et non-développeurs soient sur les bons VLAN, que ce soit branchés ou en WiFi, il existe plusieurs façons d'y parvenir.

Pour votre WiFi, vous pourriez utiliser une authentification WPA2-Enterprise avec un serveur RADIUS qui spécifie le VLAN sur lequel placer l'utilisateur. Essentiellement, au lieu d'avoir la même clé partagée pour se connecter au WiFi, les utilisateurs se connectent avec un nom d'utilisateur et un mot de passe. Le nom d'utilisateur fourni indique sur quel VLAN ils seront placés. Ubiquiti UniFi (un bon choix, d'ailleurs) peut absolument le faire.

L'autre option pour le WiFi serait simplement d'avoir deux SSID, un sur chaque VLAN, et il suffit d'instruire votre personnel de se connecter à l'un ou à l'autre. UniFi peut également le faire très facilement.

Pour vos connexions câblées, vous pouvez utiliser le contrôle d'accès au réseau basé sur le port 802.1x. Essentiellement, c'est similaire à WPA2-Enterprise. Lorsqu'un utilisateur se branche sur le réseau, le système d'exploitation détecte que vous devez effectuer une authentification 802.1x et demande à l'utilisateur un nom d'utilisateur/mot de passe réseau (ou le transmet dans le cas de l'Active Directory et de Windows). Une fois authentifié, 802.1x placera l'utilisateur sur le VLAN approprié. De cette façon, les utilisateurs peuvent se brancher où ils veulent et se retrouver sur le bon réseau.

L'autre option, si vos utilisateurs sont fixes, est simplement d'assigner manuellement des VLAN basés sur les ports à leur port Ethernet et ainsi toute personne qui s'assoit et se branche sur un port donné se retrouvera sur l'un des deux réseaux.

Avec cette configuration, les développeurs se connecteraient directement à AWS/Azure via Terminal/Putty sans aucun problème mais ils navigueraient également via la même passerelle, ce qui serait plus lent.

C'est un problème difficile à surmonter. Si vous avez un ensemble très spécifique d'adresses IP auxquelles vous vous connectez, alors quelques règles de routage pourraient être utiles. Mais ce qui a tendance à se produire ensuite, c'est que si vous avez un pare-feu SPI de base, il arrive souvent qu'ils rejettent les connexions de retour parce qu'ils ne les ont pas vues être initiées (routage asynchrone).

Mais il semble que les développeurs ne seront pas plus mal lotis qu'ils ne le sont actuellement. Actuellement, vous enfoncez 35 personnes dans un tuyau de 4 Mbps. Maintenant, vous n'en enfoncez que 10 dans ce tuyau, donc cela pourrait quand même être une victoire.