Две SSID мрежи, два изхода: коя политика къде печели?

Две SSID мрежи на един шлюз изглеждат като две мрежи и не са, докато шлюзът не започне да се отнася към тях по този начин. Радиото предава и двете към един и същ мост, освен ако точката за достъп не свърже всяка SSID със собствен VLAN. И дори при отделни интерфейси трафикът следва маршрута и политиката на защитната стена, които шлюзът прилага към този вход. SSID е етикет; политиката е това, което записвате.

SSID не е политиката

Назовайте двете мрежи и запишете предвидените им изходи, преди да пипате рутера. Домът отива към обикновения WAN, Работата отива към интерфейса на VPN и нито една не наследява пътя на другата. Ако двете SSID попаднат на един несегментиран мост, имената не са създали нищо. Този плосък мост е най-честият начин този дизайн да се провали тихо.

Точката за достъп трябва да ги представи като отделни интерфейси, маркирани или разделени чрез мост. Това е предпоставка, не подробност. Запишете съответствието преди първото правило.

Класифицирайте по входящ интерфейс

Класифицирайте в точката, в която пакетът влиза в шлюза. Селекторът за входящ интерфейс в правило за политика е отделен от префикса на източника и това е честният начин да се каже, че този трафик идва от Работата. Съпоставянето само по адрес на източника позволява на клиент в Работата да претендира за адрес на Дома и да поеме пътя на Дома.

ip rule show

Проверете източника и спрямо входа, така че двата теста да се съгласуват, вместо да си противоречат. Правило, което проверява само едно от двете, е половината от политика.

Дръжте собствения тунел на шлюза извън това

Дръжте собствената външна VPN връзка на шлюза върху underlay, който работи. Правило, написано за препращани клиенти на Работата, не бива рекурсивно да прихваща тунела, който ги носи, защото това е класическият начин да се създаде цикъл, който се появява само под натоварване. Освободете локалния изходен път или ограничете правилото до препращан трафик. Тествайте случая с цикъла с голямо прехвърляне, а не с един ping.

Транслацията изисква същото внимание. Ако изходът на VPN изисква адреса на тунела на шлюза като източник, прилагайте това само към източници на Работата, които напускат интерфейса на VPN. Обикновената WAN транслация на Дома е различен обхват и едно безусловно правило за masquerade не може да изрази и двете.

Запишете двете правила едно до друго, така че двойката да се вижда като дизайн, а не като два несвързани реда. Коментар, който назовава източника и предвидения изход, е достатъчен.

Решете състоянието при отказ нарочно

Решете какво се случва, когато маршрутът на VPN изчезне. За работна мрежа честният отговор обикновено е отказ: без връщане към обикновения WAN, защото смисълът на отделната SSID е, че трафикът ѝ не излиза по грешния път. Автоматичното повторно свързване е удобство, а не политиката на блокиране. Правило за отказ, което никога не записва в журнал, е неразличимо от повредена мрежа.

ip route show table work

Тествайте ново свързване от всяка SSID, след което премахнете тунела и тествайте отново. Домът трябва да запази обикновения си път, докато Работата се проваля затворено. Проверете IPv6 отделно, защото две подмрежи IPv4 не казват нищо за него, а справката за правилата на политиката документира селекторите, използвани по-горе.