Dos SSID, dos salidas: ¿qué política gana y dónde?

Dos SSID en una misma puerta de enlace parecen dos redes y no lo son hasta que la puerta de enlace las trata así. La radio entrega ambas al mismo puente salvo que el punto de acceso asigne cada SSID a su propia VLAN. E incluso con interfaces separadas, el tráfico sigue la ruta y la política de cortafuegos que la puerta de enlace aplica a esa entrada. El SSID es una etiqueta; la política es lo que usted escribe.

El SSID no es la política

Nombre las dos redes y escriba sus salidas previstas antes de tocar el enrutador. Casa va a la WAN ordinaria, Trabajo va a la interfaz VPN, y ninguna hereda la ruta de la otra. Si ambos SSID acaban en un puente no segmentado, los nombres no han creado nada. Ese puente plano es la forma más común de que este diseño falle en silencio.

El punto de acceso debe presentarlas como interfaces separadas, etiquetadas o separadas por puente. Eso es un requisito previo, no un detalle. Escriba la correspondencia antes de la primera regla.

Clasifique por interfaz de entrada

Clasifique en el punto donde el paquete entra en la puerta de enlace. El selector de interfaz de entrada de una regla de política es distinto de un prefijo de origen, y es la forma honesta de decir que este tráfico vino de Trabajo. Hacer coincidir solo la dirección de origen permite que un cliente en Trabajo reclame una dirección de Casa y tome la ruta de Casa.

ip rule show

Valide también el origen contra la entrada, de modo que las dos pruebas coincidan en lugar de contradecirse. Una regla que solo comprueba una de las dos es media política.

Mantenga fuera el túnel propio de la puerta de enlace

Mantenga la conexión VPN externa de la propia puerta de enlace sobre la capa subyacente que funciona. Una regla escrita para clientes de Trabajo reenviados no debería capturar de forma recursiva el túnel que los transporta, porque es la forma clásica de construir un bucle que solo aparece bajo carga. Exima la ruta de salida local o limite la regla al tráfico reenviado. Pruebe el caso del bucle con una transferencia grande, no con un solo ping.

La traducción necesita el mismo cuidado. Si la salida VPN exige la dirección del túnel de la puerta de enlace como origen, aplíquelo solo a orígenes de Trabajo que salgan de la interfaz VPN. La traducción WAN ordinaria de Casa es otro ámbito, y una sola regla de masquerade sin calificar no puede expresar ambas.

Escriba las dos reglas una junto a otra, para que el par sea visible como un diseño y no como dos líneas sin relación. Un comentario que nombre el origen y la salida prevista basta.

Decida el estado de fallo a propósito

Decida qué ocurre cuando desaparece la ruta VPN. Para una red de trabajo la respuesta honesta suele ser denegar: sin retorno a la WAN ordinaria, porque el sentido del SSID separado es que su tráfico no salga por la ruta equivocada. La reconexión automática es una comodidad, no la política de bloqueo. Una regla de denegación que nunca registra es indistinguible de una red averiada.

ip route show table work

Pruebe una conexión nueva desde cada SSID, luego retire el túnel y pruebe de nuevo. Casa debería conservar su ruta ordinaria mientras Trabajo falla cerrado. Compruebe IPv6 por separado, porque dos subredes IPv4 no dicen nada al respecto, y la referencia de reglas de política documenta los selectores usados arriba.