Du SSID-oj, du eliroj: kiu regulo venkas kie?

Du SSID-oj sur unu enirejo aspektas kiel du retoj kaj ne estas, ĝis la enirejo traktas ilin tiel. La radio transdonas ambaŭ al la sama ponto, se la alirpunkto ne mapas ĉiun SSID-on al ĝia propra VLAN. Kaj eĉ kun apartaj interfacoj, la trafiko sekvas la itineron kaj la fajroŝirmilan politikon, kiujn la enirejo aplikas al tiu eniro. La SSID estas etikedo; la politiko estas tio, kion vi skribas.

La SSID ne estas la politiko

Nomu la du retojn kaj skribu iliajn celatajn elirojn antaŭ ol tuŝi la enkursigilon. Hejmo iras al la ordinara WAN, Laboro iras al la VPN-interfaco, kaj neniu heredas la vojon de la alia. Se ambaŭ SSID-oj surteriĝas sur unu nesegmentita ponto, la nomoj kreis nenion. Tiu plata ponto estas la plej ofta maniero, kiel ĉi tiu dezajno malsukcesas silente.

La alirpunkto devas prezenti ilin kiel apartajn interfacojn, etikeditajn aŭ aparte pontitajn. Tio estas antaŭkondiĉo, ne detalo. Skribu la mapadon antaŭ la unua regulo.

Klasifiku laŭ enira interfaco

Klasifiku ĉe la punkto, kie la pako eniras la enirejon. La elektilo de enira interfaco en politika regulo estas aparta de fonta prefikso, kaj ĝi estas la honesta maniero diri, ke ĉi tiu trafiko venis de Laboro. Kongruigi nur la fontan adreson lasas klienton en Laboro postuli Hejman adreson kaj preni la vojon de Hejmo.

ip rule show

Validigu la fonton ankaŭ kontraŭ la eniro, por ke la du testoj konsentu anstataŭ kontraŭdiri unu la alian. Regulo, kiu kontrolas nur unu el ili, estas duona politiko.

Tenu la propran tunelon de la enirejo ekster tio

Tenu la propran eksteran VPN-konekton de la enirejo sur la suba tavolo, kiu funkcias. Regulo skribita por plusenditaj Laboraj klientoj ne devus rekursive kapti la tunelon, kiu portas ilin, ĉar tio estas la klasika maniero konstrui buklon, kiu aperas nur sub ŝarĝo. Esceptu la lokan eliran vojon aŭ limigu la regulon al plusendita trafiko. Testu la buklan kazon per granda transdono, ne per unu ping.

Traduko bezonas la saman zorgon. Se la VPN-eliro postulas la tunelan adreson de la enirejo kiel fonton, aplikigu tion nur al Laboraj fontoj, kiuj lasas la VPN-interfacon. La ordinara WAN-traduko de Hejmo estas alia amplekso, kaj unu senkondiĉa masquerade-regulo ne povas esprimi ambaŭ.

Skribu ambaŭ regulojn unu apud la alia, por ke la paro estu videbla kiel dezajno anstataŭ kiel du nerilataj linioj. Komento, kiu nomas la fonton kaj la celatan eliron, sufiĉas.

Decidu la malsukcesan staton intence

Decidu, kio okazas, kiam la VPN-itinero malaperas. Por labora reto la honesta respondo kutime estas malpermesi: neniu retroiro al la ordinara WAN, ĉar la punkto de la aparta SSID estas, ke ĝia trafiko ne eliras tra la malĝusta vojo. Aŭtomata rekonekto estas komforto, ne la bloka politiko. Malpermesa regulo, kiu neniam protokolas, ne distingiĝas de rompita reto.

ip route show table work

Testu freŝan konekton de ĉiu SSID, poste forigu la tunelon kaj testu denove. Hejmo devas konservi sian ordinaran vojon, dum Laboro malsukcesas fermite. Kontrolu IPv6 aparte, ĉar du IPv4-subretoj diras nenion pri ĝi, kaj la referenco pri politikaj reguloj dokumentas la elektilojn uzitajn supre.