二つのSSID、二つの出口：どのポリシーがどこで勝つのか

一つのゲートウェイ上の二つのSSIDは二つのネットワークに見えますが、ゲートウェイがそう扱うまでは二つのネットワークではありません。アクセスポイントが各SSIDをそれぞれのVLANに対応付けない限り、無線はどちらも同じブリッジに渡します。そしてインターフェースが分かれていても、通信はゲートウェイがその入口に適用するルートとファイアウォールポリシーに従います。SSIDはラベルであり、ポリシーこそがあなたが書き留めるものです。

SSIDはポリシーではない

ルーターに触れる前に、二つのネットワークに名前を付け、意図する出口を書き留めます。家庭は通常のWANへ、仕事はVPNインターフェースへ向かい、どちらも他方の経路を継承しません。両方のSSIDが一つの分割されていないブリッジに載れば、名前は何も生み出していません。その平坦なブリッジこそ、この設計が静かに失敗する最も一般的な形です。

アクセスポイントはそれらを別々のインターフェースとして提示する必要があり、タグ付けするか別々にブリッジします。これは前提条件であり、細部ではありません。最初のルールの前にマッピングを書き留めてください。

入口インターフェースで分類する

パケットがゲートウェイに入る地点で分類します。ポリシールールの入力インターフェースセレクターは送信元プレフィックスとは別物であり、この通信が仕事から来たと言う正直な方法です。送信元アドレスだけで照合すると、仕事側のクライアントが家庭のアドレスを主張して家庭の経路を取れてしまいます。

ip rule show

送信元を入口に対しても検証し、二つのテストが矛盾するのではなく一致するようにします。どちらか一方だけを確認するルールは半分のポリシーです。

ゲートウェイ自身のトンネルを巻き込まない

ゲートウェイ自身の外側のVPN接続は、機能しているアンダーレイ上に維持します。転送される仕事のクライアント向けに書いたルールが、それらを運ぶトンネルを再帰的に捕捉してはいけないのは、負荷がかかったときにだけ現れるループを作る古典的な方法だからです。ローカル出力経路を除外するか、ルールを転送通信に限定します。ループのケースは単発のpingではなく、大きな転送でテストします。

翻訳にも同じ注意が必要です。VPN出口が送信元としてゲートウェイのトンネルアドレスを要求するなら、VPNインターフェースを出る仕事の送信元にだけ適用します。家庭の通常のWAN変換は別の範囲であり、条件のないmasqueradeルール一つでは両方を表現できません。

二つのルールを並べて書き、その組が無関係な二行ではなく設計として見えるようにします。送信元と意図する出口を記したコメントで十分です。

障害時の状態を意図的に決める

VPNルートが消えたときに何が起きるかを決めます。仕事のネットワークでは、通常のWANへのフォールバックなしに拒否するのが正直な答えであり、分離したSSIDの意味はその通信が誤った経路から出ないことだからです。自動再接続は利便性であり、遮断ポリシーではありません。ログを一切残さない拒否ルールは、壊れたネットワークと区別できません。

ip route show table work

各SSIDから新しい接続をテストし、次にトンネルを外して再度テストします。家庭は通常の経路を保ち、仕事は閉じたまま失敗するはずです。二つのIPv4サブネットはそれについて何も語らないためIPv6は別に確認し、またポリシールールのリファレンスは上で使ったセレクターを文書化しています。