Zwee SSID, zwee Ausgäng: wéi eng Politik gewënnt wou?

Zwee SSID op engem Gateway gesinn aus wéi zwee Netzwierker a sinn et net, bis de Gateway se sou behandelt. D'Radio gëtt béid un déi selwecht Bréck, ausser den Access Point all SSID sengem eegene VLAN zouuerdent. An och mat getrennten Interfaces follegt den Traffic der Route an der Firewallpolitik, déi de Gateway op dësen Agang applizéiert. Den SSID ass eng Etikett; d'Politik ass dat, wat Dir opschreift.

Den SSID ass net d'Politik

Nennt déi zwee Netzwierker a schreift hir virgesinn Ausgäng op, ier Dir den Router beréiert. Heem geet op de gewéinlechen WAN, Aarbecht geet op den VPN-Interface, an keen ierft de Wee vum aneren. Wann béid SSID op engem net segmentéierte Bréck landen, hunn d'Nimm näischt geschaf. Déi flaach Bréck ass dee heefegste Wee, wéi dëst Design stëll feelt.

Den Access Point muss se als getrennt Interfaces presentéieren, getaggt oder getrennt gebréckt. Dat ass eng Viraussetzung, keen Detail. Schreift d'Zouuerdnung virun der éischter Regel op.

Klassifizéiert no Agangsinterface

Klassifizéiert op där Plaz, wou de Paket an de Gateway erakënnt. Den Agangsinterface-Selektor an enger Politikregel ass getrennt vun engem Quellpräfix, an dat ass déi éierlech Manéier ze soen, datt dësen Traffic vun Aarbecht koum. Nëmmen op d'Quelladress ze passen erlaabt engem Client op Aarbecht eng Heem-Adress ze behaapten an den Heemwee ze huelen.

ip rule show

Validéiert d'Quell och géint den Agang, sou datt déi zwou Tester sech eens sinn, amplaz sech ze widerspriechen. Eng Regel, déi nëmmen eng vun deenen zwee kontrolléiert, ass eng hallef Politik.

Halt den eegene Tunnel vum Gateway dobaussen

Halt dem Gateway seng eege baussenzeg VPN-Verbindung op der Ënnerschicht, déi funktionéiert. Eng Regel, déi fir weidergeleet Aarbechtscliente geschriwwe gouf, soll den Tunnel, dee se dréit, net rekursiv fangen, well dat de klassesche Wee ass fir eng Schlaif ze bauen, déi nëmmen ënner Laascht erschéngt. Maacht de lokalen Ausgangswee aus oder beschränkt d'Regel op weidergeleeten Traffic. Test de Schlaifefall mat engem groussen Transfer, net mat engem eenzegen Ping.

D'Iwwersetzung brauch déi selwecht Suergfalt. Wann den VPN-Ausgang d'Tunneladress vum Gateway als Quell verlaangt, applizéiert dat nëmmen op Aarbechtsquelle, déi den VPN-Interface verloossen. Dem Heem seng gewéinlech WAN-Iwwersetzung ass en aneren Ëmfang, an eng onqualifizéiert Masquerade-Regel kann net béides ausdrécken.

Schreift déi zwou Reegelen niefteneen, sou datt d'Paar als Design siichtbar ass an net als zwou onverbonnen Zeilen. E Kommentar, deen d'Quell an den virgesinn Ausgang nennt, ass genuch.

Entscheet de Feelerzoustand mat Absicht

Entscheet, wat geschitt, wann d'VPN-Route verschwënnt. Fir en Aarbechtsnetzwierk ass déi éierlech Äntwert meeschtens ofleenen: kee Réckfall op de gewéinlechen WAN, well de Sënn vum getrennte SSID ass, datt säin Traffic net iwwer de falsche Wee erausgeet. Automatesch Neiverbindung ass eng Bequemlechkeet, net d'Blockéierungspolitik. Eng Oflehnungsregel, déi ni loggt, ass vu engem futti Netzwierk net z'ënnerscheeden.

ip route show table work

Test eng frësch Verbindung vun all SSID, huel dunn den Tunnel eraus a test nach eng Kéier. Heem soll säi gewéinleche Wee behalen, während Aarbecht zouen feelt. Kontrolléiert IPv6 separat, well zwee IPv4-Subnetzer soen näischt doriwwer, an d'Referenz zu Politikregelen dokumentéiert d'Selektoren, déi uewe benotzt goufen.