Dva SSID-a, dva izlaza: koja politika gdje pobjeđuje?

Dva SSID-a na jednom mrežnom prolazu izgledaju kao dvije mreže i nisu, dok ih prolaz tako ne tretira. Radio predaje oba istom mostu, osim ako pristupna točka preslika svaki SSID na vlastiti VLAN. Čak i sa odvojenim sučeljima, promet slijedi rutu i politiku vatrozida koju prolaz primjenjuje na taj ulaz. SSID je oznaka; politika je ono što zapišete.

SSID nije politika

Imenujte dvije mreže i zapišite njihove predviđene izlaze prije nego dodirnete usmjerivač. Dom ide na obični WAN, Posao ide na VPN sučelje, i nijedan ne nasljeđuje put onog drugog. Ako oba SSID-a završe na jednom nesegmentiranom mostu, imena nisu stvorila ništa. Taj ravni most je najčešći način na koji ovaj dizajn tiho propada.

Pristupna točka ih mora predstaviti kao odvojena sučelja, označena ili mostom razdvojena. To je preduvjet, ne detalj. Zapišite preslikavanje prije prvog pravila.

Klasificirajte po ulaznom sučelju

Klasificirajte na mjestu gdje paket ulazi u prolaz. Birač ulaznog sučelja u pravilu politike odvojen je od prefiksa izvora, i to je iskren način da se kaže da je ovaj promet došao iz Posa. Podudaranje samo po adresi izvora dopušta klijentu na Poslu da traži adresu Doma i preuzme put Doma.

ip rule show

Validirajte izvor i prema ulazu, kako bi se dva testa slagala umjesto da si proturječe. Pravilo koje provjerava samo jedno od njih je pola politike.

Držite vlastiti tunel prolaza izvan toga

Držite vlastitu vanjsku VPN vezu prolaza na podlozi koja radi. Pravilo napisano za proslijeđene klijente Posa ne treba rekurzivno hvatati tunel koji ih nosi, jer je to klasičan način da se izgradi petlja koja se pojavljuje samo pod opterećenjem. Izdvojite lokalnu izlaznu putanju ili ograničite pravilo na proslijeđeni promet. Testirajte slučaj petlje velikim prijenosom, a ne jednim pingom.

Prevođenje treba istu pažnju. Ako VPN izlaz zahtijeva adresu tunela prolaza kao izvor, primijenite to samo na izvore Posa koji napuštaju VPN sučelje. Obično WAN prevođenje Doma je drugi opseg, i jedno bezuslovno masquerade pravilo ne može izraziti oboje.

Napišite oba pravila jedno uz drugo, kako bi par bio vidljiv kao dizajn, a ne kao dva nepovezana reda. Komentar koji imenuje izvor i predviđeni izlaz je dovoljan.

Odlučite stanje kvara namjerno

Odlučite šta se dogodi kada VPN ruta nestane. Za poslovnu mrežu iskren odgovor je obično odbiti: nema povratka na obični WAN, jer je svrha odvojenog SSID-a da njegov promet ne izlazi pogrešnim putem. Automatsko ponovno povezivanje je pogodnost, a ne politika blokiranja. Pravilo odbijanja koje nikad ne bilježi ne može se razlikovati od pokvarene mreže.

ip route show table work

Testirajte novu vezu sa svakog SSID-a, zatim uklonite tunel i testirajte ponovo. Dom treba zadržati svoj obični put dok Posao pada zatvoreno. Provjerite IPv6 odvojeno, jer dvije IPv4 podmreže ne govore ništa o tome, i referenca za pravila politike dokumentuje birače korištene gore.