Dau SSID, dau allanfa: pa bolisi sy’n ennill ble?

Mae dau SSID ar un porth yn edrych fel dwy rwydwaith ac nid ydynt, nes bod y porth yn eu trin felly. Mae’r radio yn rhoi’r ddau i’r un bont oni bai bod y man mynediad yn mapio pob SSID i’w VLAN ei hun. A hyd yn oed gyda rhyngwynebau ar wahân, mae’r traffig yn dilyn y llwybr a’r polisi wal dân y mae’r porth yn eu cymhwyso i’r fynedfa honno. Label yw SSID; y polisi yw’r hyn rydych chi’n ei ysgrifennu i lawr.

Nid SSID yw’r polisi

Enwch y ddwy rwydwaith ac ysgrifennwch eu hallanfeydd arfaethedig cyn cyffwrdd â’r llwybrydd. Mae Cartref yn mynd i’r WAN cyffredin, mae Gwaith yn mynd i ryngwyneb VPN, ac nid yw’r naill yn etifeddu llwybr y llall. Os bydd y ddau SSID yn glanio ar un bont heb ei segmentu, nid yw’r enwau wedi creu unrhyw beth. Y bont wastad honno yw’r ffordd fwyaf cyffredin i’r dyluniad hwn fethu’n dawel.

Rhaid i’r man mynediad eu cyflwyno fel rhyngwynebau ar wahân, wedi’u tagio neu wedi’u pontio ar wahân. Rhagofyniad yw hyn, nid manylyn. Ysgrifennwch y mapio i lawr cyn y rheol gyntaf.

Dosberthwch yn ôl rhyngwyneb mynediad

Dosberthwch ar y pwynt lle mae’r pecyn yn mynd i mewn i’r porth. Mae’r detholydd rhyngwyneb mynediad mewn rheol bolisi ar wahân i ragddodiad ffynhonnell, a dyma’r ffordd onest o ddweud bod y traffig hwn wedi dod o Waith. Mae paru ar y cyfeiriad ffynhonnell yn unig yn gadael i gleient ar Waith hawlio cyfeiriad Cartref a chymryd llwybr Cartref.

ip rule show

Dilyswch y ffynhonnell yn erbyn y fynedfa hefyd, fel bod y ddau brawf yn cytuno yn lle bod yn gwrth-ddweud ei gilydd. Mae rheol sy’n gwirio dim ond un ohonynt yn hanner polisi.

Cadwch dwnnel y porth ei hun allan o hyn

Cadwch gysylltiad VPN allanol y porth ar yr is-haen sy’n gweithio. Ni ddylai rheol a ysgrifennwyd ar gyfer cleientiaid Gwaith sydd wedi’u hanfon ymlaen ddal y twnnel sy’n eu cario’n ailadroddus, gan mai dyna’r ffordd glasurol o adeiladu dolen sy’n ymddangos dim ond dan lwyth. Eithrwch y llwybr allbwn lleol neu gwmpaswch y rheol i draffig a anfonir ymlaen. Profwch achos y ddolen gyda throsglwyddiad mawr, nid un ping.

Mae angen yr un gofal ar gyfieithu. Os yw allanfa’r VPN yn gofyn am gyfeiriad twnnel y porth fel ffynhonnell, cymhwyswch hynny dim ond i ffynonellau Gwaith sy’n gadael rhyngwyneb VPN. Mae cyfieithu WAN cyffredin Cartref yn gwmpas gwahanol, ac ni all un rheol masquerade heb ei chymhwyso fynegi’r ddau.

Ysgrifennwch y ddwy reol nesaf at ei gilydd, fel bod y pâr yn weladwy fel dyluniad yn hytrach na dwy linell ddigyswllt. Mae sylw sy’n enwi’r ffynhonnell a’r allanfa arfaethedig yn ddigon.

Penderfynwch ar y cyflwr methiant yn fwriadol

Penderfynwch beth sy’n digwydd pan fydd y llwybr VPN yn diflannu. Ar gyfer rhwydwaith gwaith, yr ateb onest fel arfer yw gwrthod: dim cwymp yn ôl i’r WAN cyffredin, oherwydd pwynt yr SSID ar wahân yw nad yw ei draffig yn gadael drwy’r llwybr anghywir. Mae ailgysylltu awtomatig yn gyfleustra, nid y polisi blocio. Mae rheol wrthod nad yw byth yn logio yn amhosibl ei gwahaniaethu oddi wrth rwydwaith wedi torri.

ip route show table work

Profwch gysylltiad newydd o bob SSID, yna tynnwch y twnnel a phrofwch eto. Dylai Cartref gadw ei lwybr cyffredin tra bod Gwaith yn methu ar gau. Gwiriwch IPv6 ar wahân, oherwydd nid yw dwy is-rwydwaith IPv4 yn dweud dim amdano, ac mae’r cyfeirlyfr rheolau polisi yn dogfennu’r detholwyr a ddefnyddiwyd uchod.