Δύο SSID, δύο έξοδοι: ποια πολιτική κερδίζει και πού;

Δύο SSID σε μία πύλη μοιάζουν με δύο δίκτυα και δεν είναι, μέχρι η πύλη να τα αντιμετωπίσει έτσι. Το ραδιόφωνο παραδίδει και τα δύο στην ίδια γέφυρα, εκτός αν το σημείο πρόσβασης αντιστοιχίσει κάθε SSID στο δικό του VLAN. Και ακόμη και με χωριστές διεπαφές, η κίνηση ακολουθεί τη διαδρομή και την πολιτική τείχους προστασίας που εφαρμόζει η πύλη σε αυτή την είσοδο. Το SSID είναι ετικέτα· η πολιτική είναι αυτό που γράφετε.

Το SSID δεν είναι η πολιτική

Ονομάστε τα δύο δίκτυα και γράψτε τις προβλεπόμενες εξόδους τους πριν αγγίξετε τον δρομολογητή. Το Σπίτι πηγαίνει στο συνηθισμένο WAN, η Εργασία πηγαίνει στη διεπαφή VPN, και κανένα δεν κληρονομεί τη διαδρομή του άλλου. Αν και τα δύο SSID καταλήξουν σε μία μη τμηματοποιημένη γέφυρα, τα ονόματα δεν δημιούργησαν τίποτα. Αυτή η επίπεδη γέφυρα είναι ο πιο συνηθισμένος τρόπος με τον οποίο αυτός ο σχεδιασμός αποτυγχάνει σιωπηλά.

Το σημείο πρόσβασης πρέπει να τα παρουσιάσει ως χωριστές διεπαφές, με ετικέτα ή με χωριστή γέφυρα. Αυτό είναι προϋπόθεση, όχι λεπτομέρεια. Γράψτε την αντιστοίχιση πριν από τον πρώτο κανόνα.

Ταξινόμηση κατά διεπαφή εισόδου

Ταξινομήστε στο σημείο όπου το πακέτο εισέρχεται στην πύλη. Ο επιλογέας διεπαφής εισόδου σε έναν κανόνα πολιτικής είναι ξεχωριστός από ένα πρόθεμα πηγής, και είναι ο έντιμος τρόπος να πούμε ότι αυτή η κίνηση ήρθε από την Εργασία. Η αντιστοίχιση μόνο στη διεύθυνση πηγής επιτρέπει σε έναν πελάτη στην Εργασία να διεκδικήσει διεύθυνση Σπιτιού και να πάρει τη διαδρομή του Σπιτιού.

ip rule show

Επικυρώστε την πηγή και ως προς την είσοδο, ώστε οι δύο έλεγχοι να συμφωνούν αντί να αλληλοσυγκρούονται. Ένας κανόνας που ελέγχει μόνο ένα από τα δύο είναι μισή πολιτική.

Κρατήστε τη σήραγγα της ίδιας της πύλης έξω από αυτό

Κρατήστε την εξωτερική σύνδεση VPN της ίδιας της πύλης στο υπόστρωμα που λειτουργεί. Ένας κανόνας γραμμένος για προωθούμενους πελάτες Εργασίας δεν πρέπει να συλλαμβάνει αναδρομικά τη σήραγγα που τους μεταφέρει, γιατί αυτός είναι ο κλασικός τρόπος να χτιστεί ένας βρόχος που εμφανίζεται μόνο υπό φορτίο. Εξαιρέστε την τοπική διαδρομή εξόδου ή περιορίστε τον κανόνα στην προωθούμενη κίνηση. Δοκιμάστε την περίπτωση του βρόχου με μεγάλη μεταφορά, όχι με ένα ping.

Η μετάφραση χρειάζεται την ίδια προσοχή. Αν η έξοδος VPN απαιτεί τη διεύθυνση σήραγγας της πύλης ως πηγή, εφαρμόστε το μόνο σε πηγές Εργασίας που φεύγουν από τη διεπαφή VPN. Η συνηθισμένη μετάφραση WAN του Σπιτιού είναι άλλο πεδίο, και ένας κανόνας masquerade χωρίς περιορισμό δεν μπορεί να εκφράσει και τα δύο.

Γράψτε και τους δύο κανόνες δίπλα-δίπλα, ώστε το ζεύγος να φαίνεται ως σχεδιασμός και όχι ως δύο άσχετες γραμμές. Ένα σχόλιο που ονομάζει την πηγή και την προβλεπόμενη έξοδο αρκεί.

Αποφασίστε την κατάσταση αστοχίας επίτηδες

Αποφασίστε τι συμβαίνει όταν η διαδρομή VPN εξαφανιστεί. Για ένα δίκτυο εργασίας η έντιμη απάντηση είναι συνήθως άρνηση· καμία επιστροφή στο συνηθισμένο WAN, γιατί το νόημα του χωριστού SSID είναι ότι η κίνησή του δεν φεύγει από τη λάθος διαδρομή. Η αυτόματη επανασύνδεση είναι ευκολία, όχι η πολιτική αποκλεισμού. Ένας κανόνας άρνησης που δεν καταγράφει ποτέ δεν ξεχωρίζει από ένα χαλασμένο δίκτυο.

ip route show table work

Δοκιμάστε μια νέα σύνδεση από κάθε SSID, μετά αφαιρέστε τη σήραγγα και δοκιμάστε ξανά. Το Σπίτι πρέπει να κρατήσει τη συνηθισμένη του διαδρομή ενώ η Εργασία αποτυγχάνει κλειστά. Ελέγξτε το IPv6 χωριστά, γιατί δύο υποδίκτυα IPv4 δεν λένε τίποτα γι' αυτό, και η αναφορά κανόνων πολιτικής τεκμηριώνει τους επιλογείς που χρησιμοποιήθηκαν παραπάνω.