Twee SSID's, twee uitgange: watter beleid wen waar?

Twee SSID's op een gateway lyk soos twee netwerke, en dit is nie, totdat die gateway hulle so behandel. Die radio gee albei aan dieselfde brug oor tensy die toegangspunt elke SSID aan sy eie VLAN koppel. En selfs met aparte interfaces volg die verkeer die roete en vuurmuurbeleid wat die gateway op daardie ingang toepas. Die SSID is 'n etiket; die beleid is wat jy neerskryf.

Die SSID is nie die beleid nie

Noem die twee netwerke en skryf hul beoogde uitgange neer voordat jy aan die roeter raak. Huis gaan na die gewone WAN, Werk gaan na die VPN-interface, en nie een erf die ander se pad nie. As albei SSID's op een ongesegmenteerde brug beland, het die name niks geskep nie. Daardie plat brug is die mees algemene manier waarop hierdie ontwerp stilweg misluk.

Die toegangspunt moet hulle as aparte interfaces aanbied, gemerk of apart gebrug. Dit is 'n voorvereiste, nie 'n detail nie. Skryf die koppeling neer voordat die eerste reël geskryf word.

Klassifiseer volgens ingangsinterface

Klassifiseer op die punt waar die pakkie die gateway binnekom. Die inkomende-interface-kieser in 'n beleidsreël is apart van 'n bronvoorvoegsel, en dit is die eerlike manier om te sê dat hierdie verkeer van Werk af kom. Om net op die bronadres te pas, laat 'n kliënt op Werk 'n Huis-adres opeis en Huis se pad neem.

ip rule show

Valideer die bron ook teen die ingang, sodat die twee toetse ooreenstem in plaas van mekaar weerspreek. 'n Reël wat net een van hulle nagaan, is half 'n beleid.

Hou die gateway se eie tonnel daar buite

Hou die gateway se eie buitenste VPN-verbinding op die onderlaag wat werk. 'n Reël wat vir deurgevoerde Werk-kliënte geskryf is, moet nie die tonnel wat hulle dra, rekursief vang nie, want dit is die klassieke manier om 'n lus te bou wat net onder las verskyn. Stel die plaaslike uitgangspad vry of beperk die reël tot deurgevoerde verkeer. Toets die lusgeval met 'n groot oordrag, nie 'n enkele ping nie.

Vertaling het dieselfde sorg nodig. As die VPN-uitgang die gateway se tonneladres as bron vereis, pas dit net toe op Werk-bronne wat die VPN-interface verlaat. Huis se gewone WAN-vertaling is 'n ander omvang, en een onbeperkte masquerade-reël kan nie altwee uitdruk nie.

Skryf albei reëls langs mekaar, sodat die paar as 'n ontwerp sigbaar is eerder as twee onverwante lyne. 'n Kommentaar wat die bron en die beoogde uitgang noem, is genoeg.

Besluit die fouttoestand met opset

Besluit wat gebeur wanneer die VPN-roete verdwyn. Vir 'n werknetwerk is die eerlike antwoord gewoonlik weier: geen terugval na die gewone WAN nie, want die punt van die aparte SSID is dat sy verkeer nie deur die verkeerde pad vertrek nie. Outomatiese herverbinding is 'n gerief, nie die blokkeringsbeleid nie. 'n Weieringsreël wat nooit log nie, is nie van 'n stukkende netwerk te onderskei nie.

ip route show table work

Toets 'n vars verbinding vanaf elke SSID, verwyder dan die tonnel en toets weer. Huis moet sy gewone pad hou terwyl Werk geslote faal. Kontroleer IPv6 apart, want twee IPv4-subnette sê niks daaroor nie, en die beleidsreël-verwysing dokumenteer die kiesers wat hierbo gebruik is.