Екі SSID, екі шығу: қай саясат қайда жеңеді?

Бір шлюздегі екі SSID екі желіге ұқсайды және шлюз оларды солай қарай бастамайынша екі желі емес. Радио екеуін де бір көпірге береді, егер қатынау нүктесі әр SSID-ны өз VLAN-ына байланыстырмаса. Және жеке интерфейстер болса да, трафик шлюздің сол кіріске қолданатын маршруты мен брандмауэр саясатына бағынады. SSID — белгі; саясат — сіз жазып қоятын нәрсе.

SSID саясат емес

Маршрутизаторға қол тигізбес бұрын екі желіні атап, олардың көзделген шығуларын жазыңыз. Үй әдеттегі WAN-ға шығады, Жұмыс VPN интерфейсіне шығады, және ешқайсысы екіншісінің жолын мұра етпейді. Егер екі SSID бір бөлінбеген көпірге түссе, атаулар ештеңе жасаған жоқ. Сол тегіс көпір осы дизайнның үнсіз сәтсіз болуының ең көп тараған жолы.

Қатынау нүктесі оларды жеке интерфейстер ретінде ұсынуға тиіс, тегтелген немесе бөлек көпірленген. Бұл алғышарт, бөлшек емес. Бірінші ережеден бұрын салыстыруды жазыңыз.

Кіріс интерфейсі бойынша жіктеңіз

Пакет шлюзге кіретін нүктеде жіктеңіз. Саясат ережесіндегі кіріс интерфейсінің таңдаушысы бастау префиксінен бөлек, және бұл трафиктің Жұмыстан келгенін айтудың адал жолы. Тек бастау мекенжайы бойынша сәйкестендіру Жұмыстағы клиентке Үй мекенжайын талап етіп, Үйдің жолына түсуге мүмкіндік береді.

ip rule show

Бастауды кіріске қатысты да тексеріңіз, сонда екі тест бір-біріне қайшы келмей, келіседі. Олардың тек біреуін тексеретін ереже — жарты саясат.

Шлюздің өз туннелін бұдан тыс ұстаңыз

Шлюздің өз сыртқы VPN байланысын жұмыс істейтін төменгі қабатта ұстаңыз. Жіберілетін Жұмыс клиенттері үшін жазылған ереже оларды тасымалдайтын туннельді рекурсивті түрде ұстамауы керек, өйткені бұл тек жүктеме кезінде көрінетін ілмек құрудың классикалық жолы. Жергілікті шығу жолын босатыңыз немесе ережені жіберілетін трафикпен шектеңіз. Ілмек жағдайын үлкен тасымалдаумен тексеріңіз, бір ping-мен емес.

Аударма да сол қамқорлықты қажет етеді. Егер VPN шығуы бастау ретінде шлюздің туннель мекенжайын талап етсе, оны тек VPN интерфейсінен шығатын Жұмыс бастауларына қолданыңыз. Үйдің әдеттегі WAN аудармасы — басқа ая, және бір шартсыз masquerade ережесі екеуін де білдіре алмайды.

Екі ережені қатар жазыңыз, сонда жұп екі байланыссыз жол емес, дизайн ретінде көрінеді. Бастауды және көзделген шығуды атайтын түсініктеме жеткілікті.

Сәтсіздік күйін әдейі шешіңіз

VPN маршруты жоғалғанда не болатынын шешіңіз. Жұмыс желісі үшін адал жауап әдетте бас тарту: әдеттегі WAN-ға қайта оралу жоқ, өйткені жеке SSID-ның мәні — оның трафигі қате жолмен кетпеуі. Автоматты қайта қосылу — қолайлылық, бірақ блоктау саясаты емес. Ешқашан журналға жазбайтын бас тарту ережесін бұзылған желіден ажырату мүмкін емес.

ip route show table work

Әр SSID-дан жаңа қосылымды тексеріңіз, содан кейін туннельді алып тастап, қайта тексеріңіз. Үй әдеттегі жолын сақтауы керек, ал Жұмыс жабық күйде сәтсіз болуы тиіс. IPv6-ны бөлек тексеріңіз, өйткені екі IPv4 қосалқы желісі бұл туралы ештеңе айтпайды, және саясат ережелерінің анықтамасы жоғарыда қолданылған таңдаушыларды құжаттайды.