Kaksi SSID:tä, kaksi uloskäyntiä: mikä käytäntö voittaa missä?

Kaksi SSID:tä yhdellä yhdyskäytävällä näyttävät kahdelta verkolta eivätkä ole, ennen kuin yhdyskäytävä kohtelee niitä niin. Radio antaa molemmat samalle sillalle, ellei tukiasema yhdistä kumpaakin SSID:tä omaan VLAN:iin. Ja vaikka liitännät olisivat erilliset, liikenne seuraa sitä reittiä ja palomuurikäytäntöä, jota yhdyskäytävä soveltaa kyseiseen tuloon. SSID on merkintä; käytäntö on se, minkä kirjoitat muistiin.

SSID ei ole käytäntö

Nimeä kaksi verkkoa ja kirjoita niiden aiottu uloskäynti ennen kuin kosket reitittimeen. Koti menee tavalliseen WAN:iin, Työ menee VPN-liitäntään, eikä kumpikaan peri toisen polkua. Jos molemmat SSID:t päätyvät yhdelle segmentoimattomalle sillalle, nimet eivät ole luoneet mitään. Se tasainen silta on yleisin tapa, jolla tämä suunnittelu epäonnistuu hiljaa.

Tukiaseman on esitettävä ne erillisinä liitäntöinä, merkittyinä tai erikseen sillattuina. Se on edellytys, ei yksityiskohta. Kirjoita kuvaus ennen ensimmäistä sääntöä.

Luokittele tuloliitännän mukaan

Luokittele kohdassa, jossa paketti saapuu yhdyskäytävälle. Käytäntösäännön tuloliitännän valitsin on erillään lähde-etuliitteestä, ja se on rehellinen tapa sanoa, että tämä liikenne tuli Työstä. Vain lähdeosoitteeseen täsmääminen sallii Työn asiakkaan vaatia Kodin osoitteen ja ottaa Kodin polun.

ip rule show

Validoi lähde myös tuloa vasten, jotta kaksi testiä ovat yhtä mieltä sen sijaan että olisivat ristiriidassa. Sääntö, joka tarkistaa vain toisen niistä, on puoli käytäntöä.

Pidä yhdyskäytävän oma tunneli sen ulkopuolella

Pidä yhdyskäytävän oma ulkoinen VPN-yhteys toimivalla alustalla. Edelleen välitetyille Työn asiakkaille kirjoitettu sääntö ei saisi rekursiivisesti napata tunnelia, joka kuljettaa heitä, sillä se on klassinen tapa rakentaa silmukka, joka ilmestyy vain kuormituksen alla. Vapauta paikallinen lähtöpolku tai rajaa sääntö välitettyyn liikenteeseen. Testaa silmukan tapaus suurella siirrolla, älä yhdellä pingillä.

Käännös vaatii saman huolen. Jos VPN:n uloskäynti vaatii yhdyskäytävän tunneliosoitteen lähteeksi, sovella sitä vain Työn lähteisiin, jotka poistuvat VPN-liitännästä. Kodin tavallinen WAN-käännös on eri laajuus, eikä yksi ehdoton masquerade-sääntö pysty ilmaisemaan molempia.

Kirjoita molemmat säännöt vierekkäin, jotta pari näkyy suunnitteluna eikä kahtena irrallisena rivinä. Kommentti, joka nimeää lähteen ja aiotun uloskäynnin, riittää.

Päätä vikatila tarkoituksella

Päätä, mitä tapahtuu, kun VPN-reitti katoaa. Työverkolle rehellinen vastaus on yleensä hylätä: ei paluuta tavalliseen WAN:iin, koska erillisen SSID:n tarkoitus on, ettei sen liikenne lähde väärää polkua. Automaattinen uudelleenyhdistäminen on mukavuus, ei estokäytäntö. Hylkäyssääntö, joka ei koskaan kirjaa lokiin, on erottamaton rikkinäisestä verkosta.

ip route show table work

Testaa tuore yhteys kummastakin SSID:stä, poista sitten tunneli ja testaa uudelleen. Kodin pitäisi pitää tavallinen polkunsa, kun Työ epäonnistuu suljetusti. Tarkista IPv6 erikseen, koska kaksi IPv4-aliverkkoa ei kerro siitä mitään, ja käytäntösääntöjen viite dokumentoi edellä käytetyt valitsimet.