To SSID'er, to udgange: hvilken politik vinder hvor?

To SSID'er på én gateway ligner to netværk og er det ikke, før gatewayen behandler dem sådan. Radioen sender begge til den samme bro, medmindre adgangspunktet knytter hvert SSID til sit eget VLAN. Og selv med adskilte interfaces følger trafikken den rute og firewallpolitik, som gatewayen anvender på den indgang. SSID'et er en etiket; politikken er det, du skriver ned.

SSID'et er ikke politikken

Navngiv de to netværk, og skriv deres tilsigtede udgange ned, før du rører routeren. Hjem går til det almindelige WAN, Arbejde går til VPN-interfacet, og ingen af dem arver den andens vej. Hvis begge SSID'er ender på én usegmenteret bro, har navnene ikke skabt noget. Den flade bro er den mest almindelige måde, hvorpå dette design fejler lydløst.

Adgangspunktet skal præsentere dem som adskilte interfaces, tagget eller broet fra hinanden. Det er en forudsætning, ikke en detalje. Skriv mappingen ned før den første regel.

Klassificér efter indgangsinterface

Klassificér på det punkt, hvor pakken kommer ind i gatewayen. Indgangsinterface-vælgeren i en politikregel er adskilt fra et kilde-præfiks, og det er den ærlige måde at sige, at denne trafik kom fra Arbejde. Kun at matche på kildeadressen lader en klient på Arbejde gøre krav på en Hjem-adresse og tage Hjems vej.

ip rule show

Validér også kilden mod indgangen, så de to tests stemmer overens i stedet for at modsige hinanden. En regel, der kun kontrollerer én af dem, er en halv politik.

Hold gatewayens egen tunnel ude af det

Hold gatewayens egen ydre VPN-forbindelse på det underlag, der virker. En regel skrevet til videresendte Arbejde-klienter bør ikke rekursivt fange den tunnel, der bærer dem, for det er den klassiske måde at bygge en løkke, som kun viser sig under belastning. Undtag den lokale udgangsvej, eller begræns reglen til videresendt trafik. Test løkkens tilfælde med en stor overførsel, ikke en enkelt ping.

Oversættelse kræver samme omhu. Hvis VPN-udgangen kræver gatewayens tunneladresse som kilde, skal du kun anvende det på Arbejde-kilder, der forlader VPN-interfacet. Hjems almindelige WAN-oversættelse er et andet anvendelsesområde, og én ubetinget masquerade-regel kan ikke udtrykke begge.

Skriv begge regler ved siden af hinanden, så parret er synligt som et design i stedet for to urelaterede linjer. En kommentar, der navngiver kilden og den tilsigtede udgang, er nok.

Beslut fejltilstanden med vilje

Beslut, hvad der sker, når VPN-ruten forsvinder. For et arbejdsnetværk er det ærlige svar normalt at afvise: intet fald tilbage til det almindelige WAN, fordi pointen med det adskilte SSID er, at dets trafik ikke forlader gennem den forkerte vej. Automatisk genopkobling er en bekvemmelighed, ikke blokeringspolitikken. En afvisningsregel, der aldrig logger, kan ikke skelnes fra et ødelagt netværk.

ip route show table work

Test en frisk forbindelse fra hvert SSID, fjern derefter tunnelen og test igen. Hjem bør beholde sin almindelige vej, mens Arbejde fejler lukket. Kontrollér IPv6 separat, fordi to IPv4-subnet siger intet om det, og politikregel-referencen dokumenterer de vælgere, der er brugt ovenfor.