شبكتان بمعرّفين مختلفين ومخرجان: أي سياسة تفوز وأين؟

شبكتان بمعرّفين مختلفين على بوابة واحدة تبدوان شبكتين، وليستا كذلك حتى تعاملهما البوابة على هذا النحو. يسلّم الراديو كلتيهما إلى الجسر نفسه ما لم تربط نقطة الوصول كل معرّف بشبكة VLAN خاصة به. وحتى مع واجهات منفصلة، يتبع المرور المسار وسياسة الجدار الناري التي تطبقها البوابة على ذلك الدخول. معرّف الشبكة تسمية، أما السياسة فهي ما تكتبه.

معرّف الشبكة ليس السياسة

سمِّ الشبكتين واكتب مخرجاتهما المقصودة قبل أن تلمس الموجّه. يذهب المنزل إلى WAN العادية، ويذهب العمل إلى واجهة VPN، ولا يرث أي منهما مسار الآخر. وإذا وقع المعرّفان على جسر واحد غير مقسّم، فلم تصنع الأسماء شيئًا. ذلك الجسر المسطّح هو الطريقة الأكثر شيوعًا لفشل هذا التصميم بهدوء.

على نقطة الوصول أن تعرضهما كواجهتين منفصلتين، موسومتين أو مفصولتين بجسر. هذا شرط مسبق لا تفصيل. اكتب الربط قبل القاعدة الأولى.

صنّف حسب واجهة الدخول

صنّف عند النقطة التي تدخل فيها الحزمة إلى البوابة. محدّد واجهة الدخول في قاعدة السياسة منفصل عن بادئة المصدر، وهو الطريقة الصادقة للقول إن هذا المرور جاء من العمل. المطابقة على عنوان المصدر وحده تتيح لعميل على شبكة العمل أن يدّعي عنوان المنزل ويسلك مسار المنزل.

ip rule show

تحقّق من المصدر مقابل واجهة الدخول أيضًا، حتى يتوافق الاختباران بدل أن يتناقضا. القاعدة التي تفحص واحدًا منهما فقط هي نصف سياسة.

أبقِ نفق البوابة نفسه خارج الأمر

أبقِ اتصال VPN الخارجي للبوابة على الشبكة الأساسية التي تعمل. القاعدة المكتوبة لعملاء العمل المُمرَّرين يجب ألا تلتقط النفق الذي يحملهم بشكل متكرر، فتلك هي الطريقة الكلاسيكية لبناء حلقة لا تظهر إلا تحت الحمل. استثنِ مسار الإخراج المحلي أو قصّر القاعدة على المرور المُمرَّر. اختبر حالة الحلقة بنقل كبير، لا ببينغ واحد.

يحتاج الترجمة إلى العناية نفسها. إذا كان مخرج VPN يشترط عنوان نفق البوابة كمصدر، فطبّق ذلك على مصادر العمل الخارجة من واجهة VPN فقط. ترجمة WAN العادية للمنزل نطاق آخر، وقاعدة إخفاء واحدة غير مشروطة لا تستطيع التعبير عن الاثنين.

اكتب القاعدتين جنبًا إلى جنب، حتى يظهر الزوج كتصميم لا كسطرين غير مرتبطين. تعليق يسمّي المصدر والمخرج المقصود يكفي.

قرّر حالة الفشل عن قصد

قرّر ما يحدث عندما يختفي مسار VPN. بالنسبة لشبكة عمل، الجواب الصادق عادة هو الرفض: لا رجوع إلى WAN العادية، لأن الغاية من المعرّف المنفصل أن مروره لا يخرج عبر المسار الخطأ. إعادة الاتصال التلقائية راحة، وليست سياسة الحجب. قاعدة رفض لا تسجّل شيئًا لا يمكن تمييزها عن شبكة معطوبة.

ip route show table work

اختبر اتصالًا جديدًا من كل معرّف، ثم أزل النفق واختبر مرة أخرى. يجب أن يحتفظ المنزل بمساره العادي بينما يفشل العمل مغلقًا. افحص IPv6 بشكل منفصل، لأن شبكتي IPv4 الفرعيتين لا تقولان شيئًا عنه، كما يوثّق مرجع قواعد السياسة المحدّدات المستخدمة أعلاه.