Due SSID, due uscite: quale criterio vince e dove?

Due SSID su un solo gateway sembrano due reti e non lo sono, finché il gateway non le tratta come tali. La radio consegna entrambe allo stesso bridge a meno che il punto di accesso non associ ogni SSID al proprio VLAN. E anche con interfacce separate, il traffico segue la rotta e la politica del firewall che il gateway applica a quell’ingresso. L’SSID è un’etichetta; la politica è ciò che scrivete.

L’SSID non è la politica

Nominate le due reti e scrivete le uscite previste prima di toccare il router. Casa va sulla WAN ordinaria, Lavoro va sull’interfaccia VPN, e nessuna eredita il percorso dell’altra. Se entrambi gli SSID finiscono su un unico bridge non segmentato, i nomi non hanno creato nulla. Quel bridge piatto è il modo più comune in cui questo progetto fallisce in silenzio.

Il punto di accesso deve presentarli come interfacce separate, taggate o separate da un bridge. È un prerequisito, non un dettaglio. Scrivete la mappatura prima della prima regola.

Classificate per interfaccia d’ingresso

Classificate nel punto in cui il pacchetto entra nel gateway. Il selettore dell’interfaccia d’ingresso in una regola di politica è distinto da un prefisso sorgente, ed è il modo onesto di dire che questo traffico è arrivato da Lavoro. Far corrispondere solo l’indirizzo sorgente permette a un client su Lavoro di rivendicare un indirizzo di Casa e prendere il percorso di Casa.

ip rule show

Validate anche la sorgente rispetto all’ingresso, così che le due prove concordino invece di contraddirsi. Una regola che ne controlla solo una è mezza politica.

Tenete fuori il tunnel del gateway stesso

Tenete la connessione VPN esterna del gateway stesso sullo strato sottostante che funziona. Una regola scritta per i client di Lavoro inoltrati non dovrebbe catturare in modo ricorsivo il tunnel che li trasporta, perché è il modo classico di costruire un ciclo che appare solo sotto carico. Escludete il percorso di uscita locale o limitate la regola al traffico inoltrato. Provate il caso del ciclo con un trasferimento grande, non con un singolo ping.

La traduzione richiede la stessa cura. Se l’uscita VPN richiede l’indirizzo del tunnel del gateway come sorgente, applicatelo solo alle sorgenti di Lavoro che lasciano l’interfaccia VPN. La traduzione WAN ordinaria di Casa è un altro ambito, e una sola regola di masquerade senza qualificazione non può esprimere entrambe.

Scrivete le due regole una accanto all’altra, così che la coppia sia visibile come progetto e non come due righe scollegate. Basta un commento che nomini la sorgente e l’uscita prevista.

Decidete lo stato di guasto di proposito

Decidete cosa succede quando la rotta VPN scompare. Per una rete di lavoro la risposta onesta è di solito negare: nessun ritorno alla WAN ordinaria, perché il senso dell’SSID separato è che il suo traffico non esca dal percorso sbagliato. La riconnessione automatica è una comodità, non la politica di blocco. Una regola di negazione che non registra mai è indistinguibile da una rete guasta.

ip route show table work

Provate una connessione nuova da ogni SSID, poi rimuovete il tunnel e provate di nuovo. Casa dovrebbe mantenere il suo percorso ordinario mentre Lavoro fallisce chiuso. Controllate IPv6 separatamente, perché due sottoreti IPv4 non dicono nulla al riguardo, e il riferimento alle regole di politica documenta i selettori usati sopra.