İki SSID, iki çıxış: hansı siyasət harada qalib gəlir?

Bir şlüz üzərində iki SSID iki şəbəkə kimi görünür və şlüz onlara belə yanaşmayana qədər iki şəbəkə deyil. Radio hər ikisini eyni körpüyə verir, əgər giriş nöqtəsi hər SSID-ni öz VLAN-ına bağlamırsa. Və ayrı interfeyslər olsa belə, trafik şlüzün həmin girişə tətbiq etdiyi marşrut və firewall siyasətinə uyğun gedir. SSID bir etiketdir; siyasət isə yazdığınız şeydir.

SSID siyasət deyil

İki şəbəkəni adlandırın və marşrutlaşdırıcıya toxunmadan əvvəl onların nəzərdə tutulan çıxışlarını yazın. Ev adi WAN-a gedir, İş VPN interfeysinə gedir və heç biri digərinin yolunu miras almır. Əgər hər iki SSID bir seqmentləşdirilməmiş körpüdə qalırsa, adlar heç nə yaratmayıb. Həmin düz körpü bu dizaynın səssizcə uğursuz olmasının ən geniş yayılmış yoludur.

Giriş nöqtəsi onları ayrı interfeyslər kimi təqdim etməlidir, etiketlənmiş və ya ayrı körpülənmiş. Bu bir detal deyil, ilkin şərtdir. Xəritələməni ilk qaydadan əvvəl yazın.

Giriş interfeysinə görə təsnif edin

Təsnifatı paketin şlüzə daxil olduğu nöqtədə edin. Siyasət qaydasındakı giriş interfeysi seçicisi mənbə prefiksindən ayrıdır və bu trafikin İşdən gəldiyini söyləməyin dürüst yoludur. Yalnız mənbə ünvanına uyğunlaşdırmaq İşdəki klientə Ev ünvanını iddia edib Evin yolunu tutmağa imkan verir.

ip rule show

Mənbəyi girişə qarşı da yoxlayın ki, iki test bir-birini təkzib etmək yerinə uzlaşsın. Yalnız birini yoxlayan qayda siyasətin yarısıdır.

Şlüzün öz tunelini kənarda saxlayın

Şlüzün öz xarici VPN bağlantısını işləyən underlay üzərində saxlayın. Yönləndirilmiş İş klientləri üçün yazılmış qayda onları daşıyan tuneli rekursiv tutmamalıdır; bu, yalnız yük altında görünən döngə qurmağın klassik yoludur. Lokal çıxış yolunu azad edin və ya qaydayı yönləndirilmiş trafiklə məhdudlaşdırın. Döngə halını böyük köçürmə ilə sınayın, bir ping ilə yox.

Tərcümə də eyni diqqət tələb edir. Əgər VPN çıxışı mənbə kimi şlüzün tunel ünvanını tələb edirsə, bunu yalnız VPN interfeysindən çıxan İş mənbələrinə tətbiq edin. Evin adi WAN tərcüməsi fərqli bir əhatədir və bir şərtsiz masquerade qaydası hər ikisini ifadə edə bilməz.

Hər iki qaydanı bir-birinin yanında yazın ki, cüt iki əlaqəsiz sətir kimi deyil, dizayn kimi görünsün. Mənbəni və nəzərdə tutulan çıxışı adlandıran bir şərh kifayətdir.

Uğursuzluq vəziyyətini qəsdən qərar verin

VPN marşrutu yox olduqda nə baş verəcəyini qərar verin. İş şəbəkəsi üçün dürüst cavab adətən rədd etməkdir: adi WAN-a heç bir geri dönüş yoxdur, çünki ayrı SSID-in məqsədi onun trafikinin yanlış yoldan çıxmamasıdır. Avtomatik yenidən qoşulma rahatlıqdır, bloklama siyasəti deyil. Heç vaxt jurnal yazmayan rədd qaydasını xarab şəbəkədən ayırmaq mümkün deyil.

ip route show table work

Hər SSID-dən təzə bağlantı sınayın, sonra tuneli silin və yenidən sınayın. Ev adi yolunu saxlamalı, İş isə bağlı şəkildə uğursuz olmalıdır. IPv6-nı ayrıca yoxlayın, çünki iki IPv4 alt şəbəkəsi bu barədə heç nə demir və siyasət qaydası arayışı yuxarıda istifadə olunan seçiciləri sənədləşdirir.