ორი SSID, ორი გასასვლელი: რომელი პოლიტიკა სად იმარჯვებს?
SSID მხოლოდ იარლიყია, სანამ კარიბჭე მას შემავალ ინტერფეისსა და მარშრუტიზაციის პოლიტიკას მიუკავშირებს. გადაწყვიტეთ ორივე გასასვლელი, შემდეგ შეამოწმეთ გვირაბის დაკარგვის შემთხვევა.
ორი SSID ერთ კარიბჭეზე ორ ქსელად გამოიყურება და არც არის, სანამ კარიბჭე მათ ასე არ მოეპყრობა. რადიო ორივეს ერთსა და იმავე ხიდს გადასცემს, თუ წვდომის წერტილი თითოეულ SSID-ს საკუთარ VLAN-ს არ მიუკავშირებს. და გამოყოფილი ინტერფეისებითაც კი, ტრაფიკი მიჰყვება იმ მარშრუტსა და ფაიერვოლის პოლიტიკას, რომელსაც კარიბჭე ამ შესასვლელზე იყენებს. SSID იარლიყია; პოლიტიკა არის ის, რასაც თქვენ წერთ.
SSID პოლიტიკა არ არის
დაასახელეთ ორი ქსელი და ჩაწერეთ მათი განზრახული გასასვლელები მარშრუტიზატორზე ხელის დაჭერამდე. სახლი ჩვეულებრივ WAN-ზე გადის, სამუშაო VPN ინტერფეისზე გადის, და არც ერთი არ მემკვიდრეობით იღებს მეორის გზას. თუ ორივე SSID ერთ დაუყოფილ ხიდზე მოხვდება, სახელებს არაფერი შეუქმნიათ. სწორედ ის ბრტყელი ხიდია ყველაზე გავრცელებული გზა, რომლითაც ეს დიზაინი ჩუმად ფარზეა.
წვდომის წერტილმა ისინი ცალკე ინტერფეისებად უნდა წარმოადგინოს, ტეგირებული ან ცალ-ცალკე ხიდად ქცეული. ეს წინაპირობაა და არა დეტალი. ჩაწერეთ დაკავშირება პირველ წესამდე.
დააკლასიფიცირეთ შემავალი ინტერფეისით
დააკლასიფიცირეთ იმ წერტილში, სადაც პაკეტი კარიბჭეში შედის. პოლიტიკის წესში შემავალი ინტერფეისის ამომრჩევი ცალკეა წყაროს პრეფიქსისგან, და ეს არის პატიოსანი გზა იმის სათქმელად, რომ ეს ტრაფიკი სამუშაოდან მოვიდა. მხოლოდ წყაროს მისამართზე დამთხვევა საშუალებას აძლევს სამუშაოზე მყოფ კლიენტს მოითხოვოს სახლის მისამართი და აიღოს სახლის გზა.
ip rule showგადაამოწმეთ წყარო შესასვლელის მიმართაც, რათა ორი ტესტი შეთანხმდეს და არა ეწინააღმდეგებოდეს ერთმანეთს. წესი, რომელიც მხოლოდ ერთ მათგანს ამოწმებს, ნახევარი პოლიტიკაა.
კარიბჭის საკუთარი გვირაბი გარეთ დატოვეთ
კარიბჭის საკუთარი გარე VPN კავშირი ისე შეინარჩუნეთ ქვედა ფენაზე, რომელიც მუშაობს. გადაცემული სამუშაო კლიენტებისთვის დაწერილი წესი არ უნდა იჭერდეს რეკურსიულად იმ გვირაბს, რომელიც მათ ატარებს, რადგან ეს არის კლასიკური გზა მარყუჟის ასაშენებლად, რომელიც მხოლოდ დატვირთვის ქვეშ ჩნდება. გამორიცხეთ ლოკალური გასვლის გზა ან შეზღუდეთ წესი გადაცემულ ტრაფიკზე. შეამოწმეთ მარყუჟის შემთხვევა დიდი გადაცემით და არა ერთი ping-ით.
თარგმანს იგივე ზრუნვა სჭირდება. თუ VPN გასასვლელი წყაროდ კარიბჭის გვირაბის მისამართს მოითხოვს, გამოიყენეთ ეს მხოლოდ VPN ინტერფეისიდან გამავალ სამუშაო წყაროებზე. სახლის ჩვეულებრივი WAN თარგმანი სხვა არეალია, და ერთი უპირობო masquerade წესი ვერ გამოხატავს ორივეს.
დაწერეთ ორივე წესი ერთმანეთის გვერდით, რათა წყვილი დიზაინად ჩანდეს და არა ორ დაუკავშირებელ ხაზად. საკმარისია კომენტარი, რომელიც ასახელებს წყაროს და განზრახულ გასასვლელს.
გადაწყვიტეთ მარცხის მდგომარეობა განზრახ
გადაწყვიტეთ რა მოხდება, როცა VPN მარშრუტი გაქრება. სამუშაო ქსელისთვის პატიოსანი პასუხი ჩვეულებრივ უარია: ჩვეულებრივ WAN-ზე დაბრუნების გარეშე, რადგან ცალკე SSID-ის აზრი ის არის, რომ მისი ტრაფიკი არასწორი გზით არ გავიდეს. ავტომატური ხელახალი დაკავშირება კომფორტია და არა დაბლოკვის პოლიტიკა. უარის წესი, რომელიც არასოდეს ილოგება, გატეხილი ქსელისგან არ განსხვავდება.
ip route show table workშეამოწმეთ ახალი კავშირი თითოეული SSID-დან, შემდეგ მოხსენით გვირაბი და კვლავ შეამოწმეთ. სახლმა თავისი ჩვეულებრივი გზა უნდა შეინარჩუნოს, ხოლო სამუშაო დახურულად უნდა ჩავარდეს. შეამოწმეთ IPv6 ცალკე, რადგან ორი IPv4 ქვექსელი ამაზე არაფერს ამბობს, და პოლიტიკის წესების ცნობარი ასახავს ზემოთ გამოყენებულ ამომრჩევლებს.