Dous SSID, dúas saídas: que política gaña e onde?

Dous SSID nunha mesma pasarela parecen dúas redes e non o son ata que a pasarela as trata así. A radio entrega ambas á mesma ponte salvo que o punto de acceso asigne cada SSID á súa propia VLAN. E mesmo con interfaces separadas, o tráfico segue a ruta e a política de cortalumes que a pasarela aplica a esa entrada. O SSID é unha etiqueta; a política é o que vostede escribe.

O SSID non é a política

Nomee as dúas redes e escriba as súas saídas previstas antes de tocar o encamiñador. Casa vai á WAN ordinaria, Traballo vai á interface VPN, e ningunha herda a ruta da outra. Se ambos SSID acaban nunha ponte non segmentada, os nomes non crearon nada. Esa ponte plana é a forma máis común de que este deseño falle en silencio.

O punto de acceso debe presentalas como interfaces separadas, etiquetadas ou separadas por ponte. Iso é un requisito previo, non un detalle. Escriba a correspondencia antes da primeira regra.

Clasifique por interface de entrada

Clasifique no punto onde o paquete entra na pasarela. O selector de interface de entrada dunha regra de política é distinto dun prefixo de orixe, e é a forma honesta de dicir que este tráfico veu de Traballo. Facer coincidir só o enderezo de orixe permite que un cliente en Traballo reclame un enderezo de Casa e tome a ruta de Casa.

ip rule show

Valide tamén a orixe contra a entrada, de xeito que as dúas probas coincidan en lugar de contradicirse. Unha regra que só comproba unha das dúas é media política.

Manteña fóra o túnel propio da pasarela

Manteña a conexión VPN externa da propia pasarela sobre a capa subxacente que funciona. Unha regra escrita para clientes de Traballo reenviados non debería capturar de forma recursiva o túnel que os transporta, porque é a forma clásica de construír un bucle que só aparece baixo carga. Exima a ruta de saída local ou limite a regra ao tráfico reenviado. Probe o caso do bucle cunha transferencia grande, non cun só ping.

A tradución necesita o mesmo coidado. Se a saída VPN esixe o enderezo do túnel da pasarela como orixe, aplíqueo só a orixes de Traballo que saen da interface VPN. A tradución WAN ordinaria de Casa é outro ámbito, e unha soa regra de masquerade sen cualificar non pode expresar ambas.

Escriba as dúas regras unha xunto á outra, para que o par sexa visible como un deseño e non como dúas liñas sen relación. Un comentario que nomee a orixe e a saída prevista abonda.

Decida o estado de fallo a propósito

Decida que ocorre cando desaparece a ruta VPN. Para unha rede de traballo a resposta honesta adoita ser denegar: sen retorno á WAN ordinaria, porque o sentido do SSID separado é que o seu tráfico non saia pola ruta equivocada. A reconexión automática é unha comodidade, non a política de bloqueo. Unha regra de denegación que nunca rexistra é indistinguible dunha rede avariada.

ip route show table work

Probe unha conexión nova desde cada SSID, despois retire o túnel e probe de novo. Casa debería conservar a súa ruta ordinaria mentres Traballo falla pechado. Comprobe IPv6 por separado, porque dúas subredes IPv4 non din nada ao respecto, e a referencia de regras de política documenta os selectores usados arriba.