Dues SSID, dues sortides: quina política guanya on?

Dues SSID en una sola passarel·la semblen dues xarxes i no ho són fins que la passarel·la les tracta com a tals. La ràdio lliura les dues al mateix pont tret que el punt d’accés assigni cada SSID al seu propi VLAN. I fins i tot amb interfícies separades, el trànsit segueix la ruta i la política de tallafocs que la passarel·la aplica a aquella entrada. La SSID és una etiqueta; la política és el que escriviu.

La SSID no és la política

Anomeneu les dues xarxes i escriviu-ne les sortides previstes abans de tocar l’encaminador. Casa va a la WAN ordinària, Feina va a la interfície VPN, i cap de les dues hereta el camí de l’altra. Si les dues SSID acaben en un sol pont no segmentat, els noms no han creat res. Aquest pont pla és la manera més comuna que aquest disseny falli en silenci.

El punt d’accés les ha de presentar com a interfícies separades, etiquetades o separades pel pont. Això és un requisit previ, no un detall. Escriviu la correspondència abans de la primera regla.

Classifiqueu per interfície d’entrada

Classifiqueu en el punt on el paquet entra a la passarel·la. El selector d’interfície d’entrada d’una regla de política és diferent d’un prefix d’origen, i és la manera honesta de dir que aquest trànsit ve de Feina. Fer coincidir només l’adreça d’origen permet que un client de Feina reclami una adreça de Casa i prengui el camí de Casa.

ip rule show

Valideu també l’origen contra l’entrada, de manera que les dues proves coincideixin en lloc de contradir-se. Una regla que només comprova una de les dues és mitja política.

Manteniu el túnel propi de la passarel·la fora d’això

Manteniu la connexió VPN externa de la passarel·la sobre la capa de transport que funciona. Una regla escrita per als clients de Feina reenviats no hauria de capturar recursivament el túnel que els transporta, que és la manera clàssica de construir un bucle que només apareix sota càrrega. Exempteu el camí de sortida local o limiteu la regla al trànsit reenviat. Proveu el cas del bucle amb una transferència gran, no amb un sol ping.

La traducció necessita la mateixa cura. Si la sortida VPN requereix l’adreça del túnel de la passarel·la com a origen, apliqueu-ho només als orígens de Feina que surten de la interfície VPN. La traducció WAN ordinària de Casa és un àmbit diferent, i una sola regla de masquerade sense qualificar no pot expressar les dues.

Escriviu les dues regles l’una al costat de l’altra, perquè el parell sigui visible com un disseny i no com dues línies sense relació. Un comentari que anomena l’origen i la sortida prevista és suficient.

Decidiu l’estat de fallada a propòsit

Decidiu què passa quan la ruta VPN desapareix. Per a una xarxa de feina, la resposta honesta sol ser denegar: cap retorn a la WAN ordinària, perquè el sentit de la SSID separada és que el seu trànsit no surti pel camí equivocat. La reconnexió automàtica és una comoditat, no la política de bloqueig. Una regla de denegació que mai no registra res és indistingible d’una xarxa espatllada.

ip route show table work

Proveu una connexió nova des de cada SSID, després retireu el túnel i torneu a provar. Casa hauria de mantenir el seu camí ordinari mentre Feina falla tancada. Comproveu IPv6 per separat, perquè dues subxarxes IPv4 no en diuen res, i la referència de regles de política documenta els selectors emprats més amunt.