שני SSID, שני מוצאים: איזו מדיניות מנצחת והיכן?

שני SSID על שער אחד נראים כמו שני רשתות ואינם, עד שהשער מתייחס אליהם כך. הרדיו מוסר את שניהם לאותו גשר אלא אם נקודת הגישה ממפה כל SSID ל-VLAN משלו. וגם עם ממשקים נפרדים, התעבורה עוקבת אחרי המסלול ומדיניות חומת האש שהשער מחיל על הכניסה הזו. SSID הוא תווית; המדיניות היא מה שאתם כותבים.

ה-SSID אינו המדיניות

נקבו בשמות של שתי הרשתות ורשמו את המוצאים המיועדים שלהן לפני שאתם נוגעים בנתב. הבית עובר ל-WAN הרגיל, העבודה עוברת לממשק ה-VPN, ואף אחד מהם לא יורש את המסלול של האחר. אם שני ה-SSID נוחתים על גשר אחד לא מחולק, השמות לא יצרו דבר. אותו גשר שטוח הוא הדרך הנפוצה ביותר שבה התכנון הזה נכשל בשקט.

נקודת הגישה חייבת להציג אותם כממשקים נפרדים, מתויגים או מגושרים בנפרד. זהו תנאי מוקדם, לא פרט. רשמו את המיפוי לפני הכלל הראשון.

סווגו לפי ממשק הכניסה

סווגו בנקודה שבה החבילה נכנסת לשער. בורר ממשק הכניסה בכלל מדיניות נפרד מקידומת מקור, וזו הדרך הישרה לומר שהתעבורה הזו הגיעה מהעבודה. התאמה לפי כתובת המקור בלבד מאפשרת ללקוח בעבודה לתבוע כתובת בית ולקחת את המסלול של הבית.

ip rule show

אמתו את המקור גם מול הכניסה, כך ששתי הבדיקות יסכימו זו עם זו במקום לסתור זו את זו. כלל שבודק רק אחת מהן הוא חצי מדיניות.

השאירו את המנהור של השער עצמו מחוץ לתמונה

השאירו את חיבור ה-VPN החיצוני של השער עצמו על שכבת הבסיס שעובדת. כלל שנכתב עבור לקוחות עבודה מועברים לא צריך ללכוד באופן רקורסיבי את המנהור שנושא אותם, כי זו הדרך הקלאסית לבנות לולאה שמופיעה רק בעומס. פטרו את נתיב הפלט המקומי או הגבילו את הכלל לתעבורה מועברת. בחנו את מקרה הלולאה בהעברה גדולה, לא בפינג בודד.

התרגום דורש את אותה זהירות. אם מוצא ה-VPN דורש את כתובת המנהור של השער כמקור, החילו זאת רק על מקורות עבודה שיוצאים מממשק ה-VPN. תרגום ה-WAN הרגיל של הבית הוא היקף אחר, וכלל masquerade אחד ללא סייג לא יכול לבטא את שניהם.

כתבו את שני הכללים זה לצד זה, כדי שהזוג ייראה כתכנון ולא כשני קווים לא קשורים. הערה שמציינת את המקור ואת המוצא המיועד מספיקה.

החליטו על מצב הכשל בכוונה

החליטו מה קורה כשמסלול ה-VPN נעלם. עבור רשת עבודה התשובה הישרה היא בדרך כלל לדחות: בלי נסיגה ל-WAN הרגיל, כי מטרת ה-SSID הנפרד היא שהתעבורה שלו לא תצא בדרך הלא נכונה. התחברות מחדש אוטומטית היא נוחות, לא מדיניות החסימה. כלל דחייה שלא מתעד לעולם אינו ניתן להבחנה מרשת מקולקלת.

ip route show table work

בחנו חיבור חדש מכל SSID, ואז הסירו את המנהור ובחנו שוב. הבית צריך לשמור על המסלול הרגיל שלו בעוד העבודה נכשלת סגור. בדקו IPv6 בנפרד, כי שתי תת-רשתות IPv4 לא אומרות עליו דבר, וכן מתעד עיון בכללי המדיניות את הבוררים ששימשו לעיל.