دو SSID، دو خروجی: کدام سیاست کجا برنده می‌شود؟
SSID تنها یک برچسب است تا زمانی که دروازه آن را به یک رابط ورودی و یک سیاست مسیریابی نسبت دهد. هر دو خروجی را تعیین کنید و سپس حالت از دست رفتن تونل را بیازمایید.
دو SSID روی یک دروازه شبیه دو شبکه به نظر می‌رسند و نیستند، مگر آنکه دروازه آنها را چنین در نظر بگیرد. رادیو هر دو را به یک پل تحویل می‌دهد، مگر اینکه نقطه دسترسی هر SSID را به VLAN خودش نسبت دهد. و حتی با رابط‌های جداگانه، ترافیک از مسیر و سیاست دیوار آتشی پیروی می‌کند که دروازه بر آن ورودی اعمال می‌کند. SSID یک برچسب است؛ سیاست آن چیزی است که می‌نویسید.
SSID همان سیاست نیست
دو شبکه را نام ببرید و خروجی‌های مورد نظرشان را پیش از دست زدن به مسیریاب بنویسید. خانه به WAN معمولی می‌رود، کار به رابط VPN می‌رود، و هیچ‌کدام مسیر دیگری را به ارث نمی‌برد. اگر هر دو SSID روی یک پل تقسیم‌نشده بیفتند، نام‌ها چیزی نساخته‌اند. همان پل تخت رایج‌ترین راهی است که این طراحی بی‌صدا شکست می‌خورد.
نقطه دسترسی باید آنها را به‌عنوان رابط‌های جداگانه ارائه دهد، برچسب‌خورده یا با پل جدا شده. این یک پیش‌نیاز است، نه یک جزئیات. نگاشت را پیش از نخستین قاعده بنویسید.
بر اساس رابط ورودی دسته‌بندی کنید
در همان نقطه‌ای دسته‌بندی کنید که بسته وارد دروازه می‌شود. انتخابگر رابط ورودی در یک قاعده سیاست از پیشوند مبدأ جداست، و این راه صادقانه گفتن این است که این ترافیک از کار آمده است. تطبیق تنها بر اساس نشانی مبدأ به کارگیری در شبکه کار اجازه می‌دهد نشانی خانه را ادعا کند و مسیر خانه را در پیش بگیرد.
ip rule showمبدأ را در برابر ورودی هم اعتبارسنجی کنید تا دو آزمون به جای تناقض با یکدیگر همخوان باشند. قاعده‌ای که فقط یکی از آنها را بررسی می‌کند نیمی از یک سیاست است.
تونل خود دروازه را بیرون از این کار نگه دارید
اتصال VPN بیرونی خود دروازه را روی لایه زیرینی که کار می‌کند نگه دارید. قاعده‌ای که برای کارخواهان ارسال‌شده کار نوشته شده نباید تونلی را که آنها را حمل می‌کند به‌صورت بازگشتی بگیرد، زیرا این راه کلاسیک ساختن حلقه‌ای است که فقط زیر بار ظاهر می‌شود. مسیر خروج محلی را مستثنا کنید یا قاعده را به ترافیک ارسال‌شده محدود کنید. حالت حلقه را با یک انتقال بزرگ بیازمایید، نه با یک پینگ.
ترجمه هم همان دقت را می‌خواهد. اگر خروجی VPN نشانی تونل دروازه را به‌عنوان مبدأ لازم دارد، آن را فقط به مبدأهای کار که از رابط VPN بیرون می‌روند اعمال کنید. ترجمه معمولی WAN برای خانه دامنه دیگری است و یک قاعده masquerade بدون قید نمی‌تواند هر دو را بیان کند.
هر دو قاعده را کنار هم بنویسید تا این جفت به‌عنوان یک طراحی دیده شود، نه دو خط بی‌ربط. یادداشتی که مبدأ و خروجی مورد نظر را نام ببرد کافی است.
حالت شکست را آگاهانه تعیین کنید
تعیین کنید وقتی مسیر VPN ناپدید می‌شود چه اتفاقی می‌افتد. برای یک شبکه کاری پاسخ صادقانه معمولاً رد کردن است: بدون بازگشت به WAN معمولی، زیرا هدف SSID جدا این است که ترافیکش از مسیر نادرست بیرون نرود. اتصال مجدد خودکار یک راحتی است، نه سیاست مسدودسازی. قاعده ردی که هرگز ثبت نمی‌کند از یک شبکه خراب قابل تشخیص نیست.
ip route show table workاز هر SSID یک اتصال تازه بیازمایید، سپس تونل را بردارید و دوباره بیازمایید. خانه باید مسیر معمولی خود را نگه دارد در حالی که کار بسته شکست می‌خورد. IPv6 را جداگانه بررسی کنید، زیرا دو زیرشبکه IPv4 چیزی درباره آن نمی‌گویند، و مرجع قواعد سیاست انتخابگرهای به‌کاررفته در بالا را مستند می‌کند.