Deux SSID, deux sorties : quelle politique gagne où ?

Deux SSID sur une même passerelle ressemblent à deux réseaux et n’en sont pas, tant que la passerelle ne les traite pas comme tels. La radio remet les deux au même pont, sauf si le point d’accès associe chaque SSID à son propre VLAN. Et même avec des interfaces séparées, le trafic suit la route et la politique de pare-feu que la passerelle applique à cette entrée. Le SSID est une étiquette ; la politique est ce que vous écrivez.

Le SSID n’est pas la politique

Nommez les deux réseaux et écrivez leurs sorties prévues avant de toucher au routeur. Maison passe par le WAN ordinaire, Travail passe par l’interface VPN, et aucun n’hérite du chemin de l’autre. Si les deux SSID aboutissent sur un seul pont non segmenté, les noms n’ont rien créé. Ce pont plat est la façon la plus courante dont ce dispositif échoue en silence.

Le point d’accès doit les présenter comme des interfaces distinctes, étiquetées ou séparées par un pont. C’est un prérequis, pas un détail. Écrivez la correspondance avant la première règle.

Classer par interface d’entrée

Classez au point où le paquet entre dans la passerelle. Le sélecteur d’interface d’entrée d’une règle de politique est distinct d’un préfixe source, et c’est la manière honnête de dire que ce trafic vient de Travail. Faire correspondre seulement l’adresse source permet à un client de Travail de revendiquer une adresse de Maison et de prendre le chemin de Maison.

ip rule show

Validez aussi la source par rapport à l’entrée, afin que les deux tests concordent au lieu de se contredire. Une règle qui n’en vérifie qu’un seul est une demi-politique.

Tenir le tunnel propre de la passerelle à l’écart

Gardez la connexion VPN externe de la passerelle sur la couche sous-jacente qui fonctionne. Une règle écrite pour les clients de Travail transférés ne doit pas capturer de façon récursive le tunnel qui les transporte, car c’est la façon classique de construire une boucle qui n’apparaît qu’en charge. Exemptez le chemin de sortie local ou limitez la règle au trafic transféré. Testez le cas de la boucle avec un transfert important, pas avec un seul ping.

La traduction demande le même soin. Si la sortie VPN exige l’adresse du tunnel de la passerelle comme source, appliquez-la uniquement aux sources de Travail qui quittent l’interface VPN. La traduction WAN ordinaire de Maison est une autre portée, et une seule règle de masquerade sans qualification ne peut pas exprimer les deux.

Écrivez les deux règles côte à côte, pour que la paire soit visible comme un dispositif et non comme deux lignes sans rapport. Un commentaire nommant la source et la sortie prévue suffit.

Décider l’état de défaillance exprès

Décidez de ce qui se passe lorsque la route VPN disparaît. Pour un réseau de travail, la réponse honnête est généralement de refuser : pas de repli sur le WAN ordinaire, car l’intérêt du SSID séparé est que son trafic ne sorte pas par le mauvais chemin. La reconnexion automatique est une commodité, pas la politique de blocage. Une règle de refus qui ne journalise jamais est indiscernable d’un réseau en panne.

ip route show table work

Testez une connexion neuve depuis chaque SSID, puis retirez le tunnel et testez de nouveau. Maison devrait garder son chemin ordinaire pendant que Travail échoue fermé. Vérifiez IPv6 séparément, car deux sous-réseaux IPv4 n’en disent rien, et la référence des règles de politique documente les sélecteurs utilisés plus haut.