Kaks SSID-d, kaks väljapääsu: milline poliitika kus võidab?

Kaks SSID-d ühel lüüsil näevad välja nagu kaks võrku ja ei ole seda, kuni lüüs neid nii kohtleb. Raadio annab mõlemad samale sillale, kui juurdepääsupunkt ei seo igat SSID-d oma VLAN-iga. Ja isegi eraldi liidestega järgib liiklus seda marsruuti ja tulemüüri poliitikat, mida lüüs sellele sissepääsule rakendab. SSID on silt; poliitika on see, mille te kirja panete.

SSID ei ole poliitika

Nimetage kaks võrku ja kirjutage nende kavandatud väljapääsud enne, kui ruuterit puudutate. Kodu läheb tavalise WAN-i kaudu, Töö läheb VPN-liidese kaudu ja kumbki ei päri teise teed. Kui mõlemad SSID-d maanduvad ühele segmenteerimata sillale, ei ole nimed midagi loonud. See tasane sild on kõige tavalisem viis, kuidas see disain vaikselt ebaõnnestub.

Juurdepääsupunkt peab need esitama eraldi liidestena, märgistatult või eraldi sillatuna. See on eeldus, mitte detail. Kirjutage vastendus enne esimest reeglit.

Klassifitseerige sissepääsuliidese järgi

Klassifitseerige kohas, kus pakett lüüsile siseneb. Poliitikareegli sissepääsuliidese valija on lähteprefiksist eraldi ning see on aus viis öelda, et see liiklus tuli Töölt. Ainult lähteaadressi järgi sobitamine lubab Töö kliendil nõuda Kodu aadressi ja võtta Kodu tee.

ip rule show

Valideerige lähtekoht ka sissepääsu vastu, et kaks testi oleksid kooskõlas, mitte vasturääkivad. Reegel, mis kontrollib neist ainult ühte, on pool poliitikat.

Hoidke lüüsi enda tunnel sellest väljas

Hoidke lüüsi enda väline VPN-ühendus töötaval aluskihil. Edastatud Töö klientide jaoks kirjutatud reegel ei tohiks rekursiivselt haarata tunnelit, mis neid kannab, sest see on klassikaline viis ehitada silmus, mis ilmub ainult koormuse all. Vabastage kohalik väljundtee või piirake reegel edastatud liiklusega. Testige silmuse juhtu suure ülekandega, mitte ühe pingiga.

Tõlkimine nõuab sama hoolt. Kui VPN-i väljapääs nõuab lähtekohana lüüsi tunneli aadressi, rakendage seda ainult VPN-liideselt lahkuvatele Töö lähtekohtadele. Kodu tavaline WAN-tõlge on teine ulatus ja üks tingimusteta masquerade-reegel ei suuda mõlemat väljendada.

Kirjutage mõlemad reeglid kõrvuti, et paar oleks nähtav disainina, mitte kahe seotud reata. Kommentaar, mis nimetab lähtekoha ja kavandatud väljapääsu, on piisav.

Otsustage rikkeolek sihilikult

Otsustage, mis juhtub, kui VPN-i marsruut kaob. Töövõrgu puhul on aus vastus tavaliselt keelduda: tagasipöördumist tavalisele WAN-ile ei ole, sest eraldi SSID mõte on see, et selle liiklus ei lahku vale tee kaudu. Automaatne taasühendamine on mugavus, mitte blokeerimispoliitika. Keeldumisreegel, mis kunagi logi ei kirjuta, on katkisest võrgust eristamatu.

ip route show table work

Testige värsket ühendust igalt SSID-lt, seejärel eemaldage tunnel ja testige uuesti. Kodu peaks hoidma oma tavalist teed, samal ajal kui Töö ebaõnnestub suletult. Kontrollige IPv6 eraldi, sest kaks IPv4 alamvõrku ei ütle selle kohta midagi, ja poliitikareeglite viide dokumenteerib ülal kasutatud valijad.