Dva SSID-a, dva izlaza: koja politika gdje pobjeđuje?

Dva SSID-a na jednom gatewayju izgledaju kao dvije mreže i nisu, dok ih gateway tako ne tretira. Radio predaje oba istom mostu, osim ako pristupna točka preslika svaki SSID na vlastiti VLAN. I čak i s odvojenim sučeljima, promet slijedi rutu i politiku vatrozida koju gateway primjenjuje na taj ulaz. SSID je oznaka; politika je ono što zapišete.

SSID nije politika

Imenujte dvije mreže i zapišite njihove predviđene izlaze prije nego dotaknete usmjerivač. Dom ide na obični WAN, Posao ide na VPN sučelje, i nijedan ne nasljeđuje put onoga drugoga. Ako oba SSID-a završe na jednom nesegmentiranom mostu, imena nisu stvorila ništa. Taj ravni most najčešći je način na koji ovaj dizajn tiho propada.

Pristupna točka mora ih predstaviti kao odvojena sučelja, označena ili mostom razdvojena. To je preduvjet, ne detalj. Zapišite preslikavanje prije prvog pravila.

Klasificirajte po ulaznom sučelju

Klasificirajte na mjestu gdje paket ulazi u gateway. Birač ulaznog sučelja u pravilu politike odvojen je od prefiksa izvora, i to je iskren način da se kaže da je ovaj promet došao iz Posa. Podudaranje samo po adresi izvora dopušta klijentu na Poslu da traži adresu Doma i preuzme put Doma.

ip rule show

Validirajte izvor i prema ulazu, kako bi se dva testa slagala umjesto da si proturječe. Pravilo koje provjerava samo jedno od njih je pola politike.

Držite vlastiti tunel gatewayja izvan toga

Držite vlastitu vanjsku VPN vezu gatewayja na podlozi koja radi. Pravilo napisano za proslijeđene klijente Posa ne treba rekurzivno hvatati tunel koji ih nosi, jer je to klasičan način da se izgradi petlja koja se pojavljuje samo pod opterećenjem. Izdvojite lokalnu izlaznu putanju ili ograničite pravilo na proslijeđeni promet. Testirajte slučaj petlje velikim prijenosom, a ne jednim pingom.

Prevođenje treba istu pažnju. Ako VPN izlaz zahtijeva adresu tunela gatewayja kao izvor, primijenite to samo na izvore Posa koji napuštaju VPN sučelje. Obično WAN prevođenje Doma drugi je opseg, i jedno bezuvjetno masquerade pravilo ne može izraziti oboje.

Napišite oba pravila jedno uz drugo, kako bi par bio vidljiv kao dizajn, a ne kao dva nepovezana retka. Komentar koji imenuje izvor i predviđeni izlaz dovoljan je.

Odlučite stanje kvara namjerno

Odlučite što se događa kada VPN ruta nestane. Za poslovnu mrežu iskren odgovor obično je odbiti: nema povratka na obični WAN, jer je svrha odvojenog SSID-a da njegov promet ne izlazi pogrešnim putem. Automatsko ponovno povezivanje pogodnost je, a ne politika blokiranja. Pravilo odbijanja koje nikad ne bilježi ne može se razlikovati od pokvarene mreže.

ip route show table work

Testirajte novu vezu sa svakog SSID-a, zatim uklonite tunel i testirajte ponovno. Dom treba zadržati svoj obični put dok Posao pada zatvoreno. Provjerite IPv6 odvojeno, jer dvije IPv4 podmreže ne govore ništa o tome, i referenca za pravila politike dokumentira birače korištene gore.