Дзве SSID, два выхады: якая палітыка дзе перамагае?

Дзве SSID на адным шлюзе выглядаюць як дзве сеткі і не з'яўляюцца імі, пакуль шлюз не пачне ставіцца да іх менавіта так. Радыё аддае абедзве ў адзін і той жа мост, калі кропка доступу не супаставіць кожную SSID з уласным VLAN. І нават з асобнымі інтэрфейсамі трафік ідзе па тым маршруце і той палітыцы брандмаўэра, якія шлюз ужывае да гэтага ўваходу. SSID — гэта метка; палітыка — гэта тое, што вы запісваеце.

SSID — не палітыка

Назвіце дзве сеткі і запішыце іх меркаваныя выхады, перш чым брацца за маршрутызатар. Дом ідзе ў звычайны WAN, Праца ідзе ў інтэрфейс VPN, і ні адзін не наследуе шлях іншага. Калі абедзве SSID трапляюць на адзін несегментаваны мост, назвы нічога не стварылі. Гэты плоскі мост — самы распаўсюджаны спосаб, якім такі дызайн ціха правальваецца.

Кропка доступу павінна прадставіць іх як асобныя інтэрфейсы, з пазнакай або разведзеныя па мастах. Гэта перадумова, а не дробязь. Запішыце супастаўленне да першага правіла.

Класіфікуйце па ўваходным інтэрфейсе

Класіфікуйце ў тым пункце, дзе пакет уваходзіць у шлюз. Селектар уваходнага інтэрфейса ў правіле палітыкі асобны ад прэфікса крыніцы, і гэта сумленны спосаб сказаць, што гэты трафік прыйшоў з Працы. Супастаўленне толькі па адрасе крыніцы дазваляе кліенту ў Працы заявіць адрас Дому і пайсці шляхам Дому.

ip rule show

Праверце крыніцу таксама супраць уваходу, каб два тэсты ўзгадняліся, а не супярэчылі адно аднаму. Правіла, якое правярае толькі адзін з іх, — гэта палова палітыкі.

Трымайце ўласны тунель шлюза па-за гэтым

Трымайце ўласнае знешняе злучэнне VPN шлюза на працоўным underlay. Правіла, напісанае для перанакіраваных кліентаў Працы, не павінна рэкурсіўна захопліваць тунель, які іх нясе, бо гэта класічны спосаб пабудаваць пятлю, якая з'яўляецца толькі пад нагрузкай. Вызваліце лакальны шлях выхаду або абмяжуйце правіла перанакіраваным трафікам. Праверце выпадак пятлі вялікай перадачай, а не адным пінгам.

Пераклад патрабуе такой жа ўвагі. Калі выхад VPN патрабуе адрас тунеля шлюза як крыніцу, ужывайце гэта толькі да крыніц Працы, якія пакідаюць інтэрфейс VPN. Звычайны пераклад WAN для Дому — гэта іншы абсяг, і адно безумоўнае правіла masquerade не можа выразіць абодва.

Запішыце абодва правілы побач, каб пара была бачная як дызайн, а не як два незвязаныя радкі. Каментара з назвай крыніцы і меркаванага выхаду дастаткова.

Вызначце стан адмовы свядома

Вызначце, што адбудзецца, калі маршрут VPN знікне. Для працоўнай сеткі сумленны адказ звычайна — адмовіць: без вяртання да звычайнага WAN, бо сэнс асобнай SSID у тым, што яе трафік не выходзіць няправільным шляхам. Аўтаматычнае перападключэнне — гэта зручнасць, а не палітыка блакавання. Правіла адмовы, якое ніколі не лагуецца, немагчыма адрозніць ад зламанай сеткі.

ip route show table work

Праверце свежае злучэнне з кожнай SSID, затым выдаліце тунель і праверце зноў. Дом павінен захаваць звычайны шлях, а Праца — закрыта адмовіць. Праверце IPv6 асобна, бо дзве падсеткі IPv4 нічога пра гэта не кажуць, і даведнік па правілах палітыкі апісвае селектары, выкарыстаныя вышэй.