Zwei SSIDs, zwei Ausgänge: Welche Richtlinie gewinnt wo?

Zwei SSIDs auf einem Gateway sehen wie zwei Netzwerke aus und sind es nicht, bis das Gateway sie so behandelt. Das Funkgerät übergibt beide an dieselbe Bridge, sofern der Access Point nicht jede SSID ihrem eigenen VLAN zuordnet. Und selbst mit getrennten Interfaces folgt der Datenverkehr der Route und der Firewall-Richtlinie, die das Gateway auf diesen Eingang anwendet. Die SSID ist eine Bezeichnung; die Richtlinie ist das, was Sie aufschreiben.

Die SSID ist nicht die Richtlinie

Benennen Sie die beiden Netzwerke und schreiben Sie ihre vorgesehenen Ausgänge auf, bevor Sie den Router anfassen. Zuhause geht über das gewöhnliche WAN, Arbeit geht über das VPN-Interface, und keines erbt den Pfad des anderen. Landen beide SSIDs auf einer unsegmentierten Bridge, haben die Namen nichts geschaffen. Diese flache Bridge ist der häufigste Weg, auf dem dieses Design still scheitert.

Der Access Point muss sie als getrennte Interfaces darstellen, getaggt oder getrennt gebrückt. Das ist eine Voraussetzung, kein Detail. Schreiben Sie die Zuordnung vor der ersten Regel auf.

Nach Eingangsinterface klassifizieren

Klassifizieren Sie an der Stelle, an der das Paket in das Gateway eintritt. Der Eingangsinterface-Selektor in einer Richtlinienregel ist von einem Quellpräfix getrennt, und das ist die ehrliche Art zu sagen, dass dieser Verkehr von Arbeit kam. Nur auf die Quelladresse zu passen lässt einen Client in Arbeit eine Zuhause-Adresse beanspruchen und den Pfad von Zuhause nehmen.

ip rule show

Prüfen Sie die Quelle auch gegen den Eingang, damit die beiden Tests übereinstimmen, statt einander zu widersprechen. Eine Regel, die nur eines von beidem prüft, ist eine halbe Richtlinie.

Halten Sie den eigenen Tunnel des Gateways heraus

Halten Sie die eigene äußere VPN-Verbindung des Gateways auf dem Underlay, das funktioniert. Eine Regel für weitergeleitete Arbeits-Clients sollte den Tunnel, der sie trägt, nicht rekursiv einfangen, denn das ist der klassische Weg, eine Schleife zu bauen, die nur unter Last auftritt. Nehmen Sie den lokalen Ausgangspfad aus oder beschränken Sie die Regel auf weitergeleiteten Verkehr. Testen Sie den Schleifenfall mit einer großen Übertragung, nicht mit einem einzelnen Ping.

Die Übersetzung braucht dieselbe Sorgfalt. Verlangt der VPN-Ausgang die Tunneladresse des Gateways als Quelle, wenden Sie das nur auf Arbeitsquellen an, die das VPN-Interface verlassen. Die gewöhnliche WAN-Übersetzung von Zuhause ist ein anderer Bereich, und eine unqualifizierte Masquerade-Regel kann beides nicht ausdrücken.

Schreiben Sie beide Regeln nebeneinander, damit das Paar als Design sichtbar ist und nicht als zwei unzusammenhängende Zeilen. Ein Kommentar, der Quelle und vorgesehenen Ausgang nennt, genügt.

Den Fehlerzustand bewusst festlegen

Legen Sie fest, was passiert, wenn die VPN-Route verschwindet. Für ein Arbeitsnetz ist die ehrliche Antwort meist Ablehnen: kein Rückfall auf das gewöhnliche WAN, denn der Sinn der getrennten SSID ist, dass ihr Verkehr nicht über den falschen Pfad hinausgeht. Automatische Wiederverbindung ist eine Annehmlichkeit, nicht die Sperrrichtlinie. Eine Ablehnungsregel, die nie protokolliert, ist von einem kaputten Netzwerk nicht zu unterscheiden.

ip route show table work

Testen Sie eine frische Verbindung von jeder SSID, entfernen Sie dann den Tunnel und testen Sie erneut. Zuhause sollte seinen gewöhnlichen Pfad behalten, während Arbeit geschlossen scheitert. Prüfen Sie IPv6 separat, denn zwei IPv4-Subnetze sagen nichts darüber aus, und die Referenz zu Richtlinienregeln dokumentiert die oben verwendeten Selektoren.