Dvě SSID, dva výstupy: která politika kde vyhraje?

Dvě SSID na jedné bráně vypadají jako dvě sítě a nejsou jimi, dokud je brána takto nebere. Rádio předá obě na stejný most, pokud přístupový bod nepřiřadí každé SSID vlastní VLAN. A i s oddělenými rozhraními provoz sleduje trasu a politiku firewallu, kterou brána na tento vstup aplikuje. SSID je štítek; politika je to, co zapíšete.

SSID není politika

Pojmenujte obě sítě a zapište jejich zamýšlené výstupy, než se dotknete routeru. Domov jde na běžný WAN, Práce jde na rozhraní VPN a ani jedno nedědí cestu toho druhého. Pokud obě SSID skončí na jednom nesegmentovaném mostě, jména nic nevytvořila. Ten plochý most je nejčastější způsob, jakým tento návrh tiše selhává.

Přístupový bod je musí představit jako oddělená rozhraní, označená nebo mostem rozdělená. To je předpoklad, ne detail. Zapište mapování dřív než první pravidlo.

Klasifikujte podle vstupního rozhraní

Klasifikujte v místě, kde paket vstupuje do brány. Selektor vstupního rozhraní v pravidle politiky je oddělený od prefixu zdroje a je poctivý způsob, jak říct, že tento provoz přišel z Práce. Párování pouze podle zdrojové adresy dovolí klientovi v Práci nárokovat adresu Domova a jít cestou Domova.

ip rule show

Ověřte zdroj i proti vstupu, aby se oba testy shodovaly, místo aby si odporovaly. Pravidlo, které kontroluje jen jeden z nich, je polovina politiky.

Nechte vlastní tunel brány stranou

Držte vlastní vnější VPN spojení brány na underlay, který funguje. Pravidlo napsané pro předávané klienty Práce by nemělo rekurzivně zachytit tunel, který je nese, protože to je klasický způsob, jak postavit smyčku, která se objeví jen pod zátěží. Vyjměte lokální výstupní cestu nebo omezte pravidlo na předávaný provoz. Otestujte případ smyčky velkým přenosem, ne jedním pingem.

Překlad potřebuje stejnou péči. Pokud výstup VPN vyžaduje adresu tunelu brány jako zdroj, použijte to jen na zdroje Práce, které opouštějí rozhraní VPN. Běžný překlad WAN pro Domov je jiný rozsah a jedno neomezené pravidlo masquerade nemůže vyjádřit obojí.

Napište obě pravidla vedle sebe, aby byla dvojice vidět jako návrh, a ne jako dva nesouvisející řádky. Komentář, který pojmenuje zdroj a zamýšlený výstup, stačí.

Rozhodněte stav selhání záměrně

Rozhodněte, co se stane, když trasa VPN zmizí. U pracovní sítě je poctivá odpověď obvykle odmítnout: žádný návrat na běžný WAN, protože smyslem oddělené SSID je, že její provoz neodchází špatnou cestou. Automatické opětovné připojení je pohodlí, ne blokovací politika. Pravidlo odmítnutí, které nikdy nezapisuje do logu, nelze rozeznat od rozbité sítě.

ip route show table work

Otestujte nové připojení z každé SSID, potom tunel odeberte a otestujte znovu. Domov by měl udržet svou běžnou cestu, zatímco Práce selže zavřeně. Zkontrolujte IPv6 zvlášť, protože dvě podsítě IPv4 o tom nic neříkají, a reference pravidel politiky dokumentuje selektory použité výše.