दो SSID, दो निकास: कौन-सी नीति कहाँ जीतती है?

एक ही गेटवे पर दो SSID दो नेटवर्क जैसे दिखते हैं और तब तक नहीं हैं जब तक गेटवे उन्हें वैसा न माने। रेडियो दोनों को एक ही ब्रिज को सौंपता है, जब तक एक्सेस पॉइंट हर SSID को उसके अपने VLAN से न जोड़े। और अलग इंटरफ़ेस होने पर भी ट्रैफ़िक उसी मार्ग और फ़ायरवॉल नीति का पालन करता है जो गेटवे उस इनग्रेस पर लागू करता है। SSID एक लेबल है; नीति वह है जो आप लिखते हैं।

SSID नीति नहीं है

राउटर छूने से पहले दोनों नेटवर्क के नाम तय करें और उनके इच्छित निकास लिखें। घर सामान्य WAN पर जाता है, काम VPN इंटरफ़ेस पर जाता है, और कोई भी दूसरे का मार्ग विरासत में नहीं लेता। यदि दोनों SSID एक ही अविभाजित ब्रिज पर पहुँचें तो नामों ने कुछ भी नहीं बनाया। वही सपाट ब्रिज इस डिज़ाइन के चुपचाप विफल होने का सबसे सामान्य तरीका है।

एक्सेस पॉइंट को उन्हें अलग इंटरफ़ेस के रूप में प्रस्तुत करना होगा, टैग किए हुए या अलग ब्रिज किए हुए। यह पूर्वशर्त है, कोई ब्यौरा नहीं। पहला नियम लिखने से पहले मैपिंग लिखें।

इनग्रेस इंटरफ़ेस से वर्गीकृत करें

उस बिंदु पर वर्गीकृत करें जहाँ पैकेट गेटवे में प्रवेश करता है। नीति नियम में इनग्रेस इंटरफ़ेस चयनक स्रोत प्रीफ़िक्स से अलग है, और यह कहने का ईमानदार तरीका यही है कि यह ट्रैफ़िक काम से आया है। केवल स्रोत पते पर मिलान करने से काम पर बैठा क्लाइंट घर का पता दावा कर सकता है और घर का मार्ग ले सकता है।

ip rule show

इनग्रेस के विरुद्ध स्रोत को भी सत्यापित करें, ताकि दोनों परीक्षण एक-दूसरे का विरोध करने के बजाय मेल खाएँ। जो नियम उनमें से केवल एक की जाँच करता है वह आधी नीति है।

गेटवे की अपनी टनल को इससे बाहर रखें

गेटवे के अपने बाहरी VPN कनेक्शन को उसी अंडरले पर रखें जो काम करता है। काम के फ़ॉरवर्ड किए गए क्लाइंट के लिए लिखा नियम उन्हें ले जाने वाली टनल को पुनरावृत्त रूप से नहीं पकड़ना चाहिए, क्योंकि भार के समय ही दिखने वाला लूप बनाने का यही चिरपरिचित तरीका है। स्थानीय आउटपुट पथ को छूट दें या नियम को फ़ॉरवर्ड ट्रैफ़िक तक सीमित रखें। लूप की स्थिति बड़े स्थानांतरण से जाँचें, एक पिंग से नहीं।

अनुवाद को भी वही सावधानी चाहिए। यदि VPN निकास को स्रोत के रूप में गेटवे का टनल पता चाहिए, तो उसे केवल VPN इंटरफ़ेस छोड़ने वाले काम के स्रोतों पर लागू करें। घर का सामान्य WAN अनुवाद अलग दायरा है, और एक बिना शर्त masquerade नियम दोनों को व्यक्त नहीं कर सकता।

दोनों नियम एक-दूसरे के बगल में लिखें, ताकि जोड़ी दो असंबंधित पंक्तियों के बजाय एक डिज़ाइन के रूप में दिखे। स्रोत और इच्छित निकास का नाम देने वाली टिप्पणी पर्याप्त है।

विफलता की स्थिति जानबूझकर तय करें

तय करें कि VPN मार्ग गायब होने पर क्या होगा। काम के नेटवर्क के लिए ईमानदार उत्तर आमतौर पर इनकार है: सामान्य WAN पर कोई फ़ॉलबैक नहीं, क्योंकि अलग SSID का उद्देश्य यही है कि उसका ट्रैफ़िक गलत रास्ते से बाहर न जाए। स्वतः पुनः कनेक्शन एक सुविधा है, ब्लॉकिंग नीति नहीं। जो इनकार नियम कभी लॉग नहीं करता उसे टूटे हुए नेटवर्क से अलग नहीं पहचाना जा सकता।

ip route show table work

हर SSID से नया कनेक्शन जाँचें, फिर टनल हटाकर दोबारा जाँचें। घर को अपना सामान्य रास्ता बनाए रखना चाहिए जबकि काम बंद रूप में विफल हो। IPv6 अलग से जाँचें, क्योंकि दो IPv4 सबनेट इसके बारे में कुछ नहीं कहते, और नीति नियमों का संदर्भ ऊपर प्रयुक्त चयनकों का दस्तावेज़ीकरण करता है।