Dua SSID, dua jalur keluar: kebijakan mana yang menang di mana?

Dua SSID pada satu gateway tampak seperti dua jaringan dan memang bukan, sampai gateway memperlakukannya demikian. Radio menyerahkan keduanya ke jembatan yang sama kecuali titik akses memetakan setiap SSID ke VLAN-nya sendiri. Dan bahkan dengan antarmuka terpisah, lalu lintas mengikuti rute dan kebijakan firewall yang diterapkan gateway pada masukan itu. SSID adalah label; kebijakan adalah yang Anda tuliskan.

SSID bukanlah kebijakan

Beri nama kedua jaringan dan tuliskan jalur keluar yang dimaksud sebelum menyentuh perute. Rumah menuju WAN biasa, Kerja menuju antarmuka VPN, dan tidak ada yang mewarisi jalur yang lain. Jika kedua SSID mendarat di satu jembatan tanpa segmentasi, nama-nama itu belum menciptakan apa pun. Jembatan datar itulah cara paling umum desain ini gagal secara diam-diam.

Titik akses harus menyajikannya sebagai antarmuka terpisah, bertag atau dijembatani terpisah. Itu prasyarat, bukan detail. Tuliskan pemetaan sebelum aturan pertama.

Klasifikasikan menurut antarmuka masuk

Klasifikasikan pada titik tempat paket masuk ke gateway. Pemilih antarmuka masuk dalam aturan kebijakan terpisah dari prefiks sumber, dan itulah cara jujur untuk mengatakan bahwa lalu lintas ini datang dari Kerja. Mencocokkan hanya alamat sumber memungkinkan klien di Kerja mengklaim alamat Rumah dan mengambil jalur Rumah.

ip rule show

Validasi sumber terhadap masukan juga, agar kedua uji sepakat alih-alih saling bertentangan. Aturan yang hanya memeriksa salah satunya adalah setengah kebijakan.

Jauhkan terowongan gateway sendiri dari urusan ini

Pertahankan koneksi VPN luar gateway sendiri pada lapisan dasar yang berfungsi. Aturan yang ditulis untuk klien Kerja yang diteruskan tidak boleh menangkap terowongan yang membawanya secara rekursif, karena itulah cara klasik membangun loop yang hanya muncul di bawah beban. Kecualikan jalur keluaran lokal atau batasi aturan pada lalu lintas yang diteruskan. Uji kasus loop dengan transfer besar, bukan satu ping.

Terjemahan membutuhkan kehati-hatian yang sama. Jika jalur keluar VPN membutuhkan alamat terowongan gateway sebagai sumber, terapkan itu hanya pada sumber Kerja yang meninggalkan antarmuka VPN. Terjemahan WAN biasa untuk Rumah adalah cakupan lain, dan satu aturan masquerade tanpa syarat tidak dapat menyatakan keduanya.

Tuliskan kedua aturan berdampingan, agar pasangan itu terlihat sebagai desain dan bukan dua baris yang tidak berhubungan. Komentar yang menyebut sumber dan jalur keluar yang dimaksud sudah cukup.

Putuskan keadaan gagal dengan sengaja

Putuskan apa yang terjadi ketika rute VPN hilang. Untuk jaringan kerja, jawaban jujur biasanya menolak: tanpa fallback ke WAN biasa, karena inti SSID terpisah adalah agar lalu lintasnya tidak keluar melalui jalur yang salah. Penyambungan ulang otomatis adalah kemudahan, bukan kebijakan pemblokiran. Aturan penolakan yang tidak pernah mencatat log tidak dapat dibedakan dari jaringan rusak.

ip route show table work

Uji koneksi baru dari setiap SSID, lalu hapus terowongan dan uji lagi. Rumah harus mempertahankan jalur biasanya sementara Kerja gagal tertutup. Periksa IPv6 secara terpisah, karena dua subnet IPv4 tidak mengatakan apa pun tentangnya, dan referensi aturan kebijakan mendokumentasikan pemilih yang digunakan di atas.