Két SSID, két kijárat: melyik szabály hol győz?

Két SSID egy átjárón két hálózatnak látszik, és nem az, amíg az átjáró így nem kezeli őket. A rádió mindkettőt ugyanarra a hídra adja, hacsak a hozzáférési pont nem rendeli mindegyik SSID-t a saját VLAN-jához. És még külön interfészekkel is a forgalom azt az útvonalat és tűzfal-szabályt követi, amelyet az átjáró erre a bejövetre alkalmaz. Az SSID címke; a szabály az, amit leír.

Az SSID nem a szabály

Nevezze meg a két hálózatot, és írja le a szándékolt kijárataikat, mielőtt hozzányúlna az útválasztóhoz. Az Otthon a szokásos WAN-ra megy, a Munka a VPN-interfészre megy, és egyik sem örökli a másik útvonalát. Ha mindkét SSID egyetlen fel nem osztott hídra kerül, a nevek semmit nem hoztak létre. Az a lapos híd a leggyakoribb módja annak, hogy ez a terv csendben elbukik.

A hozzáférési pontnak külön interfészként kell bemutatnia őket, címkézve vagy külön áthidalva. Ez előfeltétel, nem részlet. Írja le a hozzárendelést az első szabály előtt.

Osztályozzon bejövő interfész szerint

Ott osztályozzon, ahol a csomag belép az átjáróba. A szabályban szereplő bejövő interfész választó elkülönül a forrás-előtagtól, és ez az őszinte módja annak kimondására, hogy ez a forgalom a Munkából jött. Ha csak a forráscímre illeszt, a Munkán lévő kliens Otthon-címet igényelhet és az Otthon útvonalát veheti.

ip rule show

A forrást a bejövet ellenében is ellenőrizze, hogy a két teszt egyezzen, ne pedig ellentmondjon egymásnak. Az a szabály, amely csak az egyiket vizsgálja, fél szabály.

Tartsa ki az átjáró saját tuneljét ebből

Tartsa az átjáró saját külső VPN-kapcsolatát a működő hordozórétegen. A továbbított Munka-kliensekhez írt szabálynak nem szabad rekurzívan elkapnia az őket szállító tunelt, mert ez a klasszikus módja egy olyan hurok építésének, amely csak terhelés alatt jelenik meg. Vegyen ki a helyi kimeneti útvonalat, vagy korlátozza a szabályt a továbbított forgalomra. A hurok esetét nagy átvitellel tesztelje, ne egyetlen pinggel.

A fordítás ugyanazt a gondosságot igényli. Ha a VPN-kijárat forrásként az átjáró tunelcímét kéri, ezt csak a VPN-interfészt elhagyó Munka-forrásokra alkalmazza. Az Otthon szokásos WAN-fordítása más hatókör, és egyetlen feltétel nélküli masquerade-szabály nem tudja kifejezni mindkettőt.

Írja a két szabályt egymás mellé, hogy a pár tervezetként legyen látható, ne két összefüggéstelen sorként. Elég egy megjegyzés, amely megnevezi a forrást és a szándékolt kijáratot.

Döntse el szándékosan a hibaállapotot

Döntse el, mi történik, amikor a VPN-útvonal eltűnik. Munkahálózat esetén az őszinte válasz általában az elutasítás: nincs visszaesés a szokásos WAN-ra, mert a külön SSID lényege, hogy a forgalma nem a rossz úton távozik. Az automatikus újracsatlakozás kényelem, nem a blokkolási szabály. Az a tiltó szabály, amely soha nem naplóz, megkülönböztethetetlen egy tönkrement hálózattól.

ip route show table work

Teszteljen friss kapcsolatot mindegyik SSID-ről, majd távolítsa el a tunelt, és teszteljen újra. Az Otthonnak meg kell tartania a szokásos útvonalát, miközben a Munka zártan meghiúsul. Ellenőrizze az IPv6-ot külön, mert két IPv4-alhálózat semmit nem mond róla, és a szabályhivatkozás dokumentálja a fent használt választókat.